Digitalisierung in der Praxis
…und die Datensicherheit
Jede Zahnarztpraxis ist heute irgendwie digitalisiert: schon die Tatsache dass nur noch Abrechnungen auf Datenträger eingereicht werden dürfen bzw. die Abrechnung sogar nur mehr per Internet bei der KZV einlaufen darf stellt das Thema Datensicherheit und digitale Praxis in den Vordergrund.
Digitale Geräte in der Praxis machen Sinn, wenn sie im Praxisnetzwerk integriert sind, so dass jeder Mitarbeiter an jedem Arbeitsplatz jederzeit darauf zugreifen kann. Ohne die Vernetzung wäre das Ballast, der nur Mehrarbeit verursacht.
Mittelpunkt eines solchen Netzwerks ist der zentrale Rechner. Dieser sollte – denken wir an die Abrechnung – einen Zugang zum Internet haben. Dies ist vermutlich das schwächste Glied, hier ist die größte Gefährdung zu sehen. Dabei gibt es relativ einfache Vorkehrungen, die maximalen Schutz versprechen.
Daneben hat dann die Praxis ein Intranet, ein praxisinternes Netzwerk, in das die vielen digitalen Gerätschaften eingebunden sind. Digitale Geräte – das beginnt mit der Intraoralen Kamera und hört mit dem digitalen Röntgen immer noch nicht auf. Wir leben im digitalen Zeitalter – und wir müssen uns Gedanken machen, wie wir unsere Daten schützen.
Internetsicherheit
Es gibt die „Cyber“-Kriminalität, ohne Zweifel, das sind die modernen Einbrecher, die nicht mehr mit der Brechstange kommen, sondern mit „Viren“, Trojanern“ und ähnlichen Programmen, mit deren Hilfe in Computer eingebrochen wird, um Daten zu klauen. Der Schaden, den solche Aktionen hervorrufen, geht in den mehrstelligen Milliardenbereich jährlich, alleine in Deutschland.
Was kann man für die Sicherheit tun?
– Wichtigste Vorsichtsmaßnahme ist : nie eine Mail öffnen, wenn man nicht sicher ist, dass der Absender bekannt und vertrauenswürdig ist
– Viele Kriminelle tarnen sich mit bekannten Namen und Tarnadressen – deshalb: nie Anhänge öffnen, die schädlich sein könnten (pdf!), wenn nicht eindeutig feststeht, dass der Anhang von einem korrekten Absender stammt
– Nie irgendwelche Mail-Adressen an nicht absolut vertrauenswürdige Empfänger herausgeben
– PINs werden im Internet nicht benötigt (außer zum einloggen), deshalb nie PIN´s preisgeben
– Wenn möglich Zahlungsvorgänge über PayPal abwickeln, da wird ein Maximum an Sicherheit geboten!
– Internet-„surfen“ für Mitarbeiter generell verbieten und Ausnahmen präzise definieren und Überwachen
– Nur mit installierter Firewall und aktuellem Virenschutz die Verbindung ins Netz herstellen
– Eine Verbindung von Intranet und Internet per Einstellung verhindern (keine Dateifreigabe zulassen!)
Das größte Sicherheitsrisiko ist stets der Mensch. Es werden Millionen von e-mails versandt mit erotischem Inhalt, mit Versprechen Geld zu erhalten, mit dubiosen Zahlungsaufforderungen, von angeblichen Anwälten, von angeblichen Finanz Beratern, Gewinnmitteilungen, usw. Kurz, es wird versucht, die Adressaten emotional anzusprechen. Irgendeine Schwachstelle hat Jeder, so der gedankliche Ansatz. Sobald man dann die infizierte Mail öffnet, installiert sich die Schadsoftware unbemerkt auf dem Rechner und der Angreifer erhält Zugriff auf alle Daten. Ein Zentralrechner sollte mit Administratorrechten nur für den Chef zugänglich sein, alles per Passwort geschützt (aber, bitte keine lächerlichen Passwörter wie den Geburtstag eines Sohnes o.ä.) – gute Passwörter setzen sich aus Buchstaben und Ziffern sowie Sonderzeichen zusammen, die willkürlich zusammengewürfelt werden. Dazu sollte man nie zweimal dasselbe Passwort verwenden für unterschiedliche Zwecke (e-mail-Konto, Bankzugang, Computer-Login, usw.), und um den Überblick nicht zu verlieren kann man die Passwörter in einem elektronischen Safe abspeichern, dessen Passwort dann das einzige ist das man sich wirklich merken muss. Es gibt solche Safes mit extrem hoher Sicherheit, z.B. Steganos, vertrieben von einem deutschen Anbieter, mit so hoher Sicherheit, dass bisher kein Fall bekannt ist dass ein solcher Safe je geknackt worden wäre.
Wird der Unsicherheitsfaktor Mensch eingegrenzt ist (man kann Mitarbeitern schon erklären, weshalb unbefugter Zugriff vom Praxisrechner aus strikt verboten ist! Muss jedoch schriftlich niedergelegt werden!) kann man sich dem Faktor Maschine widmen.
Hier ist unbedingt darauf zu achten dass alle bekannt gewordenen Sicherheitslücken permanent geschlossen werden – dazu müssen kontinuierlich „Updates“ heruntergeladen und installiert werden. Sicherheitsrisiken liegen besonders in den Programmen zur Internetnutzung, den „Browsern“, und da besonders bei Internet Explorer, nicht etwa, weil das ein besonders schlechtes Produkt wäre, sondern weil es Kriminellen darum geht, mit möglichst wenig Arbeit größtmöglichen Schaden anzurichten, und da bietet es sich an, die am weitesten verbreiteten Programme auszuspähen. Mozilla Firefox, Opera und Google Chrome sind Alternativen zu Internetexplorer und lassen sich kinderleicht installieren und bedienen und bieten meist mehr Sicherheit. Die EU-Behörden haben Microsoft dazu gezwungen die Installation der Alternativbrowser nicht zu behindern.
Ebenso müssen Virenscanner und Firewall stets auf aktuellem Stand gehalten werden. Eine Firewall dient dem Zweck unbefugtes einloggen ins Internet zu unterbinden, dabei muss darauf geachtet werden, dass nicht versehentlich Programmen der Zugriff erlaubt wird, bei denen das nicht erwünscht ist. Die Firewall fragt (wenn das so eingestellt ist) bei jedem Zugriff nach, ob man das erlauben möchte, und wenn man da strikte Regeln anwendet (Faktor Mensch!), kann nichts passieren. Virenscanner dienen dem Zweck Schadsoftware wie Viren oder Trojaner zu erkennen und zu blockieren. Viren können den Datenbestand des ganzen Netzwerks vernichten, sie sind nur zur Zerstörung da. Trojaner hingegen sind heimtückische Programme, die den Computer ausspähen, die Ergebnisse den Angreifern mitteilen und im Extremfall sogar die Kontrolle über den Rechner komplett übernehmen. Deshalb müssen Virenscanner stets auf dem neuesten Stand gehalten werden (tägliche Updates), und es empfiehlt sich, auch regelmäßig einen Komplettscan durchzuführen, am besten beim Computerstart, da können Root-Viren ebenfalls erkannt und unschädlich gemacht werden (das sind solche Viren bzw. Trojaner, die schon beim Hochfahren die Kontrolle übernehmen und hinterher dafür sorgen dass man sie nicht mehr entdecken kann).
Diese Vorsichtsmaßnahmen sollten im Praxiseigenen QM-Handbuch bzw. – protokoll gelistet und niedergelegt sein, eine regelmäßige Schulung der Mitarbeiter mit konkreten Dienstanweisungen ist obligat. Wenn ein Firmennetz geknackt wird, dann meistens durch Fehler der Mitarbeiter!
Diese allgemein gültigen Vorsichtsmaßnahmen gelten immer, unabhängig davon, ob die Installation von einem Dienstleister oder selbst vorgenommen wurde. Es gibt keine käufliche Sicherheit, wenn der Mensch als Unsicherheitsfaktor vergessen wird.
Datensicherheit
Patientendaten unterliegen einer besonderen Geheimhaltungspflicht, und, es gibt eine Aufbewahrungspflicht. Wenn eine herkömmliche Kartei geführt wird mit schriftlichen Aufzeichnungen müssen Sicherheitsvorkehrungen getroffen werden gegen
-Verlust
und
-Diebstahl.
Um einen Verlust zu vermeiden muss das Datenmaterial in einem feuerfesten einbruchssicheren Schrank aufbewahrt werden (Holzschränke sind nicht zugelassen, weil brennbar). Ein zumutbarer Schutz vor Diebstahl muss vorgesehen sein (QM-Handbuch).
Analog gilt dies auch für digitale Unterlagen. Deshalb wird vermehrt damit geworben, Daten in sog. „Clouds“ zu lagern, wobei da der Anbieter die Sicherheitsgarantien übernimmt. Wer solchen Anbietern nicht misstraut sollte sich für diese Möglichkeit entscheiden.
Wer selbst für die nötige Sicherheit sorgen möchte, muss folgendes beachten:
– Alle gewonnenen Daten (Röntgen, digitale Bilder, Patientenkarteien, usw.) müssen täglich (!) zum Ende der Tätigkeit zentral gesichert werden. Die Sicherung kann auf einem dafür geeigneten Datenträger erfolgen. Da die Datenmengen einen beträchtlichen Umfang annehmen können muss der vorgesehene Datenträger auch die nötige Kapazität aufweisen. Der Datenträger mit den gesicherten Dateien muss dann getrennt von der EDV in einem brandsicheren und gegen Einbruch bzw. Diebstahl abgesicherten Behälter gelagert werden, am besten einem an der Wand verankerten Tresor. Mehr wäre unzumutbar. Wenn Diebe einen solchen Tresor aus der Wand reißen und mitnehmen kann man der Praxis kaum Vorwürfe machen. Sinnvoll wäre allerdings der Einbau einer Alarmanlage, Arztpraxen sind gesuchte Ziele für Einbrecher, da wird stets Geld bzw. geldwerte Güter vermutet. Hier wäre an einen sog. stillen Alarm zu denken: wenn der Alarm ausgelöst wird kommt das Alarmsignal über die Telefonleitung zum Alarmempfänger, der dann reagieren kann.
– Alternativ könnte man den Datenträger mit den wichtigen Informationen auch mit nach Hause nehmen und dort in den Tresor packren.
Da die zu sicherden Datenmengen abhängen von der Praxis (was wird alles digital erfasst?) sind, können durchaus unterschiedliche Datenträger sinnvoll sein.
Die derzeit wohl besten Datenträger sind portable Festplatten. Sie sind außerordentlich preiswert, klein und können via USB an jeden Rechner leicht angeschlossen werden. Die Kapazität ist enorm – 1 TB (1.000 GB) passen auf eine kleine Festplatte in Westentaschenformat (3,5 Zoll) – sie wiegt kaum etwas, und die Kosten liegen bei deutlich und 100 €. Einzige wirklich zu beachtende Vorsichtsmaßnahme: die Festplatten sind stoßempfindlich, also sollte man sicherstellen, dass die Festplatte gut stoßsicher verpackt wird (da ist z.B. an Verpackungsmaterial zu denken, ist Abfall und kostet gar nichts), und sie ist hitzesensibel, was bei Karteikarten aus Papier jedoch auch der Fall ist.
Die üblichen Sicherungsprogramme der Softwareanbieter müssen nur auf das Laufwerk eingestellt werden (der Computer weist nach Anschluss einer solchen Festplatte einen Laufwerks Namen zu, und das gibt man dann im Programm ein). Der enorme Vorteil ist, dass man diesen Datenträger auch mitnehmen kann um am heimischen Computer auch mal die Abrechnung checken könnte.
Eine weitere Sicherheitsmaßnahme ist die Speicherung auf einem zentralen Laufwerk mit Datenspiegelung. Solche Laufwerke stellt man einfach ins Intranet und nutzt sie als zentralen Daten Speicher. Sie enthalten mehrere Festplatten, auf denen parallel die Daten geschrieben werden –fällt eine Festplatte aus, so finden sich die Daten immer noch auf den anderen. Die Kosten belaufen sich auf cá 200 bis 300 € und sind ebenfalls überschaubar. Diese Datenspeicher dienen primär der permanenten Datensicherheit, d.h., ein Computer- oder Festplattenschaden kann dann keinen Daten Verlust mehr auslösen. Dieser Speicher sollte dann aber in einem separaten Raum eingeschlossen werden, am besten mit Stahltür, um gegen Diebstahl/Einbruch und Brand möglichst abgesichert zu sein.
Daneben können auch Datenspeicher, wie Blu-ray (das sind DVD´s mit besonders großer Kapazität), oder USB-Sticks eingesetzt werden. Hier sind die Kapazitäten jedoch begrenzt und sie sind relativ teuer (die Rechnung: € je Gigabyte). Solche Datenträger müssen selbstverständlich ebenfalls in gesicherte Räume verbracht werden.
Durch diese Sicherheitsmaßnahmen kann definitiv sichergestellt werden dass es zu keinen Daten Verlusten kommt.
Intranet
Alle in der Praxis gewonnenen Daten werden auf einem zentralen Speicher im Intranet (Praxisnetzwerk) abgelegt. Wie oben dargelegt ist dies idealerweise ein Sicherheitsspeicher mit gespiegelten Daten. Es ist anzuraten, wirklich alle Daten dort einzuspeisen – üblicherweise sollte dies via Standardschnittstellen geschehen (drahtgebundenes oder drahtloses Netzwerk). Die Microsoft-Betriebssysteme (aktuell: Windows 8.1) enthalten als zentralen Baustein das „Netzwerk“. Auch Linux arbeitet mit integriertem Netzwerk. Die Netzwerke sind heute sehrt stabil, da gibt es kaum Probleme, und Peripheriegeräte haben normalerweise alle eine Standardschnittstelle (über den RJ45 5tecker zu verbinden). Daneben könnte man auch USB nutzen, um eine Verbindung zu bewerkstelligen. Andere Netzwerke sind exotisch.
Nun hat Mikrosoft zum April des Jahres die Unterstützung für Windows XP eingestellt, es werden nur noch Windows 7 und Windows 8 unterstützt. Das heißt, alle Praxiscomputer müssen auf ein modernes Betriebssystem umgestellt werden, da keine Unterstützung im Klartext bedeutet, dass es keine Sicherheitsupdates mehr gibt. Damit sind die Daten nicht mehr sicher, der Betrieb eines alten Betriebssystems wäre nicht mehr zulässig. Da macht es Sinn, bei der Umstellung bei Bedarf gleich das ganze Praxisnetzwerk neu aufzustellen.
Die Empfehlung geht zum WiFi (Wireless Network), da eine Verkabelung teuer und aus Arbeitsschutzgründen (Stolperfallen) bedenklich ist.
Die Sicherheit des Intranet muss jedoch gewährleistet sein. Nach heutigem Kenntnisstand ist die Verschlüsselung nach WPA 2 extrem sicher, es ist nicht bekannt, dass es gelungen wäre, die Verschlüsselung zu knacken – es sei denn, Mitarbeiter hätten den Code weitergegeben. Das bedeutet: die Verschlüsselung des Netzwerks sollte nur vom Systemadministrator (dem Praxis Chef) definiert werden, der Code muss dann sinnigerweise in einem sicheren Tresor verschwinden.
Das Intranet kann mit dem Internet mittels eines Routers verbunden werden (heute werden nur noch solche Kombigeräte angeboten, z.B. Fritzbox), Kosten etwa 200 € maximal. Der Router verbindet den Computer mit dem Internet und gleichzeitig mit dem Intranet. Meist hat der Router nur 4 Steckplätze für RJ45 Stecker mit Kabel, was kein Problem ist. Es gibt für ganz wenig Geld Zwischenschaltgeräte, die das beliebig erweitern können. Nur: im wireless Network braucht man die sowieso nicht, weil da alles über Funk passiert. Die angebotenen Adressen sind so zahlreich dass man nie an die Kapazitätsgrenzen stößt. Einziges Problem: wenn sehr viele User im Netz aktiv sind sinkt die Datentransferrate – nur, so viele kann es im Praxisnetzwerk gar nicht geben…
Gilt nur noch zu klären, dass alle Geräte irgendwie mit dem Praxisnetzwerk kommunizieren können, d.h., alle müssen eine Schnittstelle haben, und wenn dies nicht direkt möglich ist, müsste man einen Umwandler einschalten, dann klappt es!