Leitfaden zur Verbesserung des Cyber-Schutzes in Zahnarztpraxen

Zahnarztpraxen werden immer abhängiger von Technologie und damit einhergehend ein erhöhtes Risiko von Cyberangriffen.

Der erste Schritt zum Schutz Ihrer Zahnarztpraxis vor Cyberangriffen besteht darin, die Risiken zu verstehen. Dieser Leitfaden wurde erstellt, um Praktiken dabei zu unterstützen, potenzielle Risiken zu identifizieren und einen geeigneten Cyber-Sicherheitsplan zu entwickeln. Cyberkriminelle werden immer raffinierter und sind besser in der Lage, gefährdete Zahnarztpraxen anzugreifen, indem sie eine Vielzahl von Techniken verwenden, darunter Phishing, Malware und Ransomware. Diese Angriffe können mehrere Jahre lang unbemerkt bleiben, bis die Praxis kompromittiert wird.

Es ist jedoch möglich, das Risiko von Cyberangriffen durch eine Reihe einfacher Maßnahmen zu verringern. Dieser Leitfaden enthält einige praktische Empfehlungen zur Cybersicherheit, die Sie sofort umsetzen können, um Ihre Daten zu schützen.

Was sind die häufigsten Bedrohungen für Zahnarztpraxen?

Nach Angaben des Ponemon Institute, im Jahr 2017 beliefen sich die durchschnittlichen Kosten einer Datenschutzverletzung auf 3.62 Millionen US-Dollar. Das Ponemon Institute berichtet auch, dass die Gesundheitsbranche die meisten Cyberangriffe aller anderen Branchen erlebt. Auch Zahnarztpraxen sind vor Cyberangriffen und Datenschutzverletzungen nicht gefeit.

In der Tat, eine Studie der Resource Center für Identitätsdiebstahl fanden heraus, dass im Jahr 2021 die Gesamtzahl der Datenschutzverletzungen (1,862) gegenüber dem Vorjahr um mehr als 68 Prozent gestiegen ist. Damit wurde ein neuer Rekord gegenüber dem bisherigen Allzeithoch aus dem Jahr 2017 (1506 Fälle) erreicht. Ransomware-bezogene Cyberkriminalität hat sich in den Folgejahren ab 2020 verdoppelt. Bei der Geschwindigkeit, mit der die Dinge voranschreiten, wird prognostiziert, dass Ransomware-Angriffe Phishing als Hauptursache für Datenschutzverletzungen im Jahr 2022 übertreffen werden.

Im Folgenden finden Sie Beispiele für häufige Cyber-Bedrohungen für Zahnarztpraxen:

E-Mail-basierte Malware

Etwa 30 % der Datenschutzverletzungen werden durch E-Mail-Malware verursacht. Diese Art von Malware kann von einer Phishing-Website heruntergeladen werden und die Schadsoftware kann einen Computer über E-Mail-Anhänge oder Links infizieren.

Phishing-Angriffe

Ein Phishing-Angriff, auch als „Spear-Phishing“-Angriff bekannt, ist ein Versuch, an vertrauliche Informationen wie Passwörter, Kreditkartennummern und persönliche Identifikationsnummern zu gelangen, indem E-Mails versendet werden, die scheinbar von einer legitimen Quelle stammen.

Ransomware

Ransomware-Angriffe werden immer häufiger mit der Bedrohung durch Cyberkriminelle, die auf Zahnarztpraxen abzielen. Diese Angriffe treffen eher kleine Büros und Praxen, die nicht über robuste Computertechnologien verfügen, da sie schwer zu erkennen und zu beheben sind.

Spyware-Malware

Dies kann über USB-Sticks und andere tragbare Medien verbreitet werden. Es kann über einen infizierten E-Mail-Anhang oder Link installiert werden.

Schädliche Browsererweiterungen

Diese schädliche Browsererweiterung ist häufig eine Art Adware, die die URL-Leiste verbirgt und durch Werbung, Weiterleitungen oder andere unerwünschte Werbung ersetzt.

Viren

Ein Virus ist eine Art bösartiger Software, die einen Computer oder ein elektronisches Gerät beschädigen kann, indem sie Dateien beschädigt, sich über ein Netzwerk ausbreitet oder sogar das Betriebssystem verändert.

Worms

Ein Wurm ist eine Art Malware, die sich verbreitet, indem sie sich auf anderen Computern im Internet repliziert. Ein Wurm kann so geschrieben werden, dass er Sicherheitslücken ausnutzt und sich mithilfe von Social-Engineering-Taktiken, Netzwerkausnutzungstechniken oder per E-Mail verbreitet.

Best-Practice-Methoden für Ihre Zahnarztpraxis zum Schutz Ihrer Daten

Verwenden Sie sichere Apps

Laden Sie nur Apps aus den offiziellen Stores herunter und verwenden Sie sie. Wenn Sie nicht mehr benötigt werden, löschen Sie Apps vollständig.

Da die offiziellen App-Stores (Apple App Store oder Google Play Store) Apps zumindest einer gewissen Kontrolle unterziehen, bevor sie dort angeboten werden dürfen, ist die Wahrscheinlichkeit, dass Sicherheitsrisiken eingedämmt werden, deutlich geringer. 

Laden Sie jedoch nur Apps auf Ihr Gerät, die Sie wirklich benötigen und deinstallieren Sie alle Apps, die Sie nicht mehr benötigen, möglichst vollständig.

Installieren Sie immer die aktuelle App-Version

Installieren Sie Updates immer zeitnah, um Schwachstellen zu vermeiden.

Ebenso wie die Betriebssysteme enthalten die Updates neben neuen Funktionen in der Regel auch die neusten Sicherheitspatches, sodass zuvor eventuell vorhandene Sicherheitslücken geschlossen werden können.

Sichere Speicherung lokaler App-Daten

Verwenden Sie nur Apps, die Dokumente verschlüsseln und lokal speichern.

Bitte beachten Sie, dass möglichst keine Daten in der Cloud gespeichert werden. Erstellen Sie Backups Ihrer Mobilgeräte und nutzen Sie die vom Betriebssystem angebotene Möglichkeit, verschlüsselte Backups zu erstellen und diese nur auf Geräten zu speichern, die unter Ihrer Kontrolle stehen. Verzichten Sie auf Backups in der Cloud, auch wenn diese verschlüsselt angeboten werden.

Senden Sie keine vertraulichen Daten über Apps

Um das ungewollte Abfließen möglicherweise vertraulicher Daten zu verhindern, nutzen Sie möglichst restriktive Datenschutzeinstellungen, bei denen unkontrollierter Zugriff auf andere sensible Daten des Smartphones (zB allgemeiner Zugriff auf das Adressbuch und damit alle gespeicherten Kontaktdaten, Foto Album usw.) nicht möglich ist nicht zu verhindern darf nicht verwendet werden.

Das gilt beispielsweise auch für gängige Messenger und Social-Media-Apps.

Keine Cloud-Speicherung personenbezogener Daten

Keine Nutzung des in Office-Produkten integrierten Cloud-Speichers zur Speicherung persönlicher Informationen.

Verzichten Sie auch hier auf die Verwendung von Cloud-Speicher. Insbesondere wenn es um personenbezogene Daten geht, dürfen diese Daten ohne gesetzliche Grundlage und die dort definierten Vorgaben nicht in der Cloud gespeichert werden.

Authentifizierung für Webanwendungen

Verwenden Sie nur Internetanwendungen, die Ihren Zugang strikt absichern (Login-Seite und -Prozess, Passwort, Benutzerkonto etc.).

Dazu sollte es zumindest mit einem Login mit Benutzername und Passwort geschützt werden. Wird diese angeboten, sollten sie eine sogenannte „Zwei-Faktor-Authentifizierung“ aktivieren, die neben der Eingabe eines Passworts noch ein zweites Sicherheitsmerkmal erfordert. Dabei handelt es sich häufig um eine PIN, die über eine separate App an ein zuvor festgelegtes vertrauenswürdiges Gerät (Smartphone, Tablet, PC) oder als SMS an eine zuvor von Ihnen hinterlegte Mobilfunknummer gesendet wird.

Ein besonders sicheres Verfahren ist die Registrierung per Chipkarte (z. B. e-Zahnarztkarte, ZOD-Karte, SMC-B), die ebenfalls eine Zwei-Faktor-Authentifizierung darstellt, da einerseits Besitz der entsprechenden Chipkarte und andererseits die zugehörige PIN ist erforderlich.

Richten Sie keine automatisierten Zugriffe oder Aufrufe von Webanwendungen ein oder erlauben Sie diese nicht

Der Zugriff auf das Internet sollte immer bewusst und kontrolliert erfolgen. Lassen Sie daher unter keinen Umständen heruntergeladene Anwendungen oder andere Anwendungen automatisch auf Webanwendungen zugreifen.

Regeln Sie Berechtigungen und Zugriffe pro Personenkreis und pro Person

Achten Sie besonders bei der Freigabe von Ordnern im Netzwerk auf eine eindeutige Zuordnung. Weisen Sie Personen oder Gruppen nur die unbedingt notwendigen Ordner zu und schränken Sie die zugewiesenen Ordner weiter ein. Legen Sie fest, welche Rechte (Lesen, Schreiben, Löschen, …) die einzelnen Personen oder Gruppen haben.

Wechseldatenträger müssen bei jeder Verwendung mit einem aktuellen Schutzprogramm auf Schadsoftware überprüft werden.

Wenn Sie Wechseldatenträger wie einen USB-Stick verwenden, überprüfen Sie diese vor jeder Verwendung mit der auf Ihrem Computer installierten Virenschutzsoftware, insbesondere wenn sie zwischen verschiedenen Systemen ausgetauscht werden und bevor Sie sie weitergeben.

Datenträger nach Gebrauch immer sicher und vollständig löschen. Ihr Computer bietet dazu verschiedene Möglichkeiten

Je nach verwendetem Betriebssystem haben Sie hier verschiedene Möglichkeiten. Mit Hilfe zusätzlicher Spezialanwendungen kann eine ggf. notwendige intensivere Löschung durchgeführt werden, da bei einem „normalen“ Löschvorgang in der Regel nicht die Daten selbst gelöscht werden, sondern nur der Verweis darauf, sodass diese nicht mehr angezeigt werden durch das System. 

Allerdings lassen sich die Daten mit einigen frei erhältlichen Programmen vergleichsweise einfach wiederherstellen. Geeignete Löschprogramme überschreiben die zu löschenden Daten in der Regel mehrfach, sodass sie anschließend nicht mehr wiederhergestellt werden können.

Für den Verwaltungszugriff auf Netzwerkkomponenten und Verwaltungsinformationen muss eine geeignete Authentifizierung verwendet werden

Im Netzwerk eingesetzte Komponenten wie Firewalls, Router, Switches etc. müssen mindestens durch sichere Passwörter geschützt werden. Der Zugriff auf diese Geräte und damit auf die Konfiguration oder die dort gespeicherten Informationen darf nicht ohne Passwort oder andere sichere Authentifizierung möglich sein.

Backup und Disaster Recovery

Die Sicherung und Notfallwiederherstellung ist ein wichtiger Bestandteil der Sicherheit. Backups sollten an mindestens zwei oder drei verschiedenen Orten gespeichert werden. Nicht nur ein Backup-System muss geschützt werden, sondern auch gesicherte Dateien, damit Sie diese bei Bedarf wiederherstellen können.

Sicherheitsrichtlinien und -verfahren

Die Sicherheitsrichtlinien und -verfahren sollten detailliert beschreiben, wie die Informationsbestände der Organisation geschützt werden. Die Richtlinien und Verfahren sollten mindestens einmal jährlich dokumentiert, genehmigt und aktualisiert werden.

Physische Sicherheit

Der physische Zugang zu Computersystemen muss streng kontrolliert werden. Alle Türen müssen verschlossen sein, Zugangskarten und Schlüssel sollten verwendet werden, und alle Räume sollten gut beleuchtet sein und über ausreichend natürliches Licht verfügen, um die Informationen zu sehen.

Elektronische Sicherheit

Alle Computersysteme und Netzwerkdienste müssen über geeignete Sicherheitsmaßnahmen verfügen. Alle Benutzer sollten ihre eigenen Anmeldenamen und Passwörter verwenden. Informationssicherheitsrichtlinien und -verfahren müssen in die gesamten Risikomanagementbemühungen der Organisation integriert werden, einschließlich der Personalabteilung, der physischen Sicherheit, der Planung der Geschäftskontinuität und der Notfallwiederherstellung.

Zusammenfassung

Die beste Computersicherheit wird durch einen mehrschichtigen Ansatz zur Informationssicherheit erreicht. Jede Ebene bietet einen anderen Satz von Kontrollen, um sicherzustellen, dass Daten sicher abgerufen und verwendet werden können, aber jede Ebene hat ihre eigenen Schwachstellen.

Es ist wichtig, diese Schwachstellen zu erkennen und die entsprechenden Kontrollmaßnahmen anzuwenden, wie oben angegeben. Es ist wichtig, über eine starke und solide Sicherheitsrichtlinie zu verfügen, da sie dazu beiträgt, alle Vermögenswerte der Organisation zu schützen. Eine gute Sicherheitsrichtlinie hilft einer Zahnarztpraxis, eine sichere und zuverlässige Netzwerkumgebung aufrechtzuerhalten.

Zahnärzte sollten die notwendigen Vorkehrungen treffen, um ihre Zahnarztpraxen vor Cyberkriminalität zu schützen. Dazu gehören die Verwendung sicherer Passwörter, die regelmäßige Aktualisierung der Software und die Schulung der Mitarbeiter in Best Practices. Indem sie die Tipps in diesem Artikel befolgen, können Ärzte dazu beitragen, das Risiko eines Cyberangriffs zu minimieren und die Daten ihrer Patienten zu schützen.