10 IT-Schutzmaßnahmen, die jede Praxis haben sollte

Für eine ganzheitliche IT-Sicherheit sollten Sie den Faktor Mensch nicht unterschätzen. Zu den häufigsten Infektionswegen mit Schadprogrammen gehören nämlich E-Mail-Anhänge und die unbemerkte Infektion beim Besuch von Webseiten. 90 % der Schadprogramme wurden im Jahr 2018 als Anhang oder Link in einer E-Mail verteilt.⁵ 

Beim Erhalt dubioser E-Mails, Links und E-Mail-Anhängen sowie Anfragen sollte zunächst der gesunde Menschenverstand genutzt werden. Denn: Banken und andere Unternehmen bitten ihre Kunden niemals per E-Mail, vertrauliche Daten im Internet einzugeben. E-Mails solcher Art oder auch verdächtige Anfragen in sozialen Netzwerken sollten sofort gelöscht werden.

Als erste Maßnahme sollten Sie deshalb alle Praxismitarbeiter für potenzielle Gefahren und Einfallstore im Internet sensibilisieren. Regelmäßige Schulungen zu Fragen der IT-Sicherheit schärfen das Bewusstsein für potenzielle Gefahren im Zusammenhang mit dem Internet und können so einen Großteil der Vorfälle präventiv verhindern. Im Falle eines bereits erfolgten Cybervorfalls, sind geschulte Mitarbeiter vorbereitet und können so ggf. schneller reagieren.⁴

Eine Mitarbeiter-Schulung sollte idealerweise eine vorausschauende Planung beinhalten, die auch einen Krisenfall umfasst. Nicht nur präventive Maßnahmen und Detektion, sondern vor allem eine schnelle und professionelle Reaktion sind im Ernstfall wichtig, damit die Schäden eines erfolgten Cybervorfalls begrenzt werden können. Die Erstellung eines Krisenplans und ggf. regelmäßige Probesimulationen können hier hilfreich sein. Ein guter Krisenplan definiert den Krisenfall, die Verantwortlichkeiten und enthält Handlungsanweisungen für die interne und externe Kommunikation des Betriebs.

Technische Abwehrsysteme wie einen Virenschutz mittels einem Virenscanner gehören zur Standardausstattung jeden Computers und erschweren Kriminellen den Zugriff. Ein Virenscanner durchsucht die Festplatte immer wieder nach Schadprogrammen. Er kann insbesondere nicht zielgerichtete Angriffe auf ein Netzwerk abwehren und ein notwendiges Mindestmaß an IT-Sicherheit herstellen. Insbesondere in Betrieben, in denen mehrere Mitarbeiter an einem Computer oder in einem Netzwerk arbeiten, ist ein Virenschutz absolute Pflicht. 

Informieren Sie sich und erhöhen Sie ggf. die Sicherheitsstandards der Praxis-PCs. Während für Privat­anwender einige gute kostenlose Programme zur Verfügung stehen, müssen Betriebe meist zahlen. 

► z. B. gibt es Angebote für Virenschutz-Installationen, die auf die spezifischen Bedürfnisse einer Arztpraxis abgestimmt sind.

Sicherheitslücken sind meist Programmierfehler, durch die sich Viren und Schadprogramme Zugang zu den Daten verschaffen. Sicherheitsupdates schließen diese Lücken. Deshalb sollten sie schnellstmöglich installiert werden. Wenn Programme Updates automatisch einspielen können, sollte dies in den Einstellungen aktiviert werden. Denn nur wenn der Virenschutz auf dem aktuellsten Stand ist, kann er auch die neuesten Schadprogramme erkennen.

Auch eine Software zur Sicherheitsüberwachung (sogenanntes Security Monitoring) oder zur Erkennung von Eindringlingen (sogenanntes Intrusion Detection System) sind Maßnahmen, um die Sicherheit des eigenen Netzwerks zu stärken.

An den Schnittstellen zwischen internen und externen Netzen unterbindet eine Firewall-Struktur unerwünschte Zugriffe. Sie funktioniert wie eine Grenzkontrolle: Nur mit gültigen Ein- und Ausreisepapieren dürfen Datenpakete vom eigenen Netzwerk ins offene Internet und umgekehrt passieren. Diesen Grundschutz sollte jeder Server haben, um potenzielle Angriffe aus dem Internet abwehren zu können. 

Der Schutz kann weiter erhöht werden, indem eine mehrstufige Fire­wall-Struktur mit Systemen unterschiedlicher Anbieter gewählt wird – so können auch Schwachstellen innerhalb der einzelnen Systeme aufgefangen werden.

Mit einem konsequenten Berechtigungskonzept können Sie die IT-Sicherheit weiter verbessern. Bei der Einrichtung eines Computers, sollte ein Administratorprofil mit gesondertem Kennwort eingerichtet werden. Dieses Profil sollte nur genutzt werden, wenn neue Programme eingerichtet werden oder das Betriebssystem konfiguriert wird. 
Jeder Praxismitarbeiter sollte ein individuelles Konto haben und nur auf die Daten zugreifen können, die für seine spezifischen Tätigkeiten wirklich benötigt werden. Sollte sich ein Benutzer mit einem einfachen Zugang einen Virus einfangen, kann dieser häufig nur begrenzten Schaden anrichten, selbst wenn der Schädling die Kontrolle übernimmt – ohne Administratorenkennwort kann sich der Virus weniger ausbreiten.

Auf die Daten sollte im Regelbetrieb ohne administrative Rechte kein Zugriff gestattet sein. Bei einer manuellen Datensicherung können schnell und unbemerkt Fehler passieren. Da Datenverlust zu den häufigsten Cybervorfällen in Unternehmen gehört, empfehlen IT-Experten eine Datensicherung auf einem Speicher, der nur mit gesonderten administrativen Rechten zugänglich ist, mindestens einmal täglich höchstens jedoch einmal wöchentlich.

3-fach-Regel nutzen:

1. Halten Sie die Daten in dreifacher Ausführung vor, einmal im System und zweimal auf Backups
2. Sichern Sie die Daten auf zwei verschiedenen Wegen, zum Beispiel Festplatte, Network Attached Storage (NAS, englisch für netzgebundener Speicher), CD, Cloud etc.
3. Bewahren Sie eine Datensicherung außer Haus auf. So können Sie die Wahrscheinlichkeit von einem Datenverlust minimieren.

Kriminelle Hacker haben Werkzeuge, die vollautomatisch alle möglichen Zeichenkombinationen ausprobieren und sie bei etwaigen Diensten testen. Um das zu verhindern, sollte ein Passwort bestimmte Qualitätsanforderungen erfüllen und immer nur für einen Zugang genutzt werden:

• Man sollte sich das Passwort gut merken können. Hierfür gibt es unterschiedliche Hilfsstrategien.
• Je länger, desto besser: Ein gutes Passwort sollte mindestens acht Zeichen lang sein.

► Wie genau ein sicheres Passwort aussehen kann, lesen Sie hier.

Mit Cyberversicherungen können sich Unternehmen vor den Folgen eines Cyberangriffs schützen. Versicherer bieten Deckungen an, die Eigenschäden wie z. B. Kostenübernahme bei Betriebsunterbrechung und Datenwiederherstellung sowie Fremdschäden umfassen, etwa Ansprüche Dritter bei Schäden. Serviceleistungen wie die Bereitstellung von IT-Forensikern, zur Analyse und Beweissicherung des Cybervorfalls werden meist auch abgedeckt.