Wie ist die Bedrohungslage für IT-Systeme im Gesundheitswesen?

Dr. Thomas Kriedel, Mitglied des Vorstands der KBV: „Sie steigt ständig. Das ist uns allen klar. Wir haben wahrscheinlich alle schon mal in der Presse gelesen, dass einige Krankenhäuser lahmgelegt worden sind. Von Praxen hat man das nicht so deutlich gehört. Aber die Bedrohungslage ist so. Wir selbst als KBV bekommen täglich Hunderte von Angriffen, die wir natürlich mit unserer Software, unseren Sicherheitsmaßnahmen abwehren können. Man kann nie sicher sein, das ist immer ein Wettlauf zwischen den Angreifern und den Schutzmaßnahmen. Wir hoffen immer, dass wir die Nase vorne haben. Und dasselbe gilt natürlich für die Arztpraxen. Die werden auch zunehmend bedroht. Da gibt es verschiedene Bedrohungsszenarien zu Ransomware, dass also die Server verschlüsselt werden. Dann läge eine Praxis natürlich lahm, wenn das der Fall wäre, sie kämen nicht mehr auf ihre Patientendaten zugreifen. Das sind alles Szenarien. Und deshalb fordern wir alle Ärzte auf, alle Praxen auch noch mal ihre Sicherheitsmaßnahmen zu überprüfen und abzugleichen mit der IT-Sicherheitsrichtlinie, die jetzt in Stufen eingeführt worden ist. Da sind die wesentlichen Features, die wesentlichen Maßnahmen drin. Und wenn man die befolgt, umsetzt und jeweils aktuell hält, kann man sehr vieles auch schon abfangen. Und ein Großteil der Sicherheit ist damit auch gegeben.“

Können Praxen einen solchen Mehraufwand leisten?

Dr. Thomas Kriedel, Mitglied des Vorstands der KBV: „Das ist aber eine Aufgabe, die natürlich eine Praxis, jeder Betrieb natürlich machen muss und das, was die Sicherheit betrifft, das sind Features, die jeder umsetzen muss. Das sind so Dinge wie beispielsweise, dass man dafür sorgt, die Passwörter nicht weiterzugeben, regelmäßig zu ändern, dass man dafür sorgt, dass beispielsweise der Konnektor nicht in einem Raum steht, wo ein Fremder drauf zugreifen kann, nicht unbeaufsichtigt bleibt. Das sind alles Dinge, die fast common sense sind. Ich meine, das werden die meisten Praxen, alle Praxen auch wissen und umsetzen. Das Problem ist eben häufig in der Routine, dass man immer dran denkt. Ändert man die Passwörter rechtzeitig, werden die abgefischt. Es gibt auch Beispiele, dass jemand zum Beispiel seine Daten auf einem Stick mit nach Hause genommen hat. An sich sicher mit auf einem Stick, aber der Stick geht verloren. Ist er vielleicht nicht gesichert gewesen, dann ist Holland in Not, wenn man solche Maßnahmen macht. Deshalb also nochmal die dringende Bitte auch an die Praxen: Schauen Sie sich die Sicherheitsrichtlinie an der KBV, setzen Sie die um. Das ist ein Mindeststandard. Wenn Sie das schon haben, beachten und auch jeweils aktualisieren, ist schon viel gewonnen. Denn die Bedrohungen werden zunehmen.“

Ist die IT-Sicherheitsrichtlinie immer auf dem neuesten Stand?

Dr. Thomas Kriedel, Mitglied des Vorstands der KBV: „Der Gesetzgeber hat uns aufgetragen, diese Sicherheitsrichtlinie jährlich zu überprüfen, ob sie noch dem Stand der Technik, der Bedrohungsszenarien entspricht. Das werden wir auch tun. Wir sind jetzt im Gespräch mit dem BSI, das zu aktualisieren und ich kann nicht sagen, wann das der Fall sein wird. Wir arbeiten aber ständig daran, die aktuell zu halten und auf die neuen Szenarien anzupassen.“

Die TI 2.0 bringt Änderungen mit sich. Auch beim Thema Sicherheit?

Dr. Thomas Kriedel, Mitglied des Vorstands der KBV: „Ja, das macht uns große Sorgen, weil wir noch nicht genau wissen, was die TI 2.0, die die gematik vorantreiben will und auch beschlossen hat, was das wirklich für die Arztpraxen bedeutet. Weil diese Konzeption ist klar, wir werden vom Konnektor wegkommen müssen. Das ist eine überholte Technik, die ist sicher, aber sie ist überholt. Und was die neue Softwarelösung betrifft: Ein Software-Konnektor bedeutet nach unserer Auffassung mehr Verantwortung für die Praxen. Sie müssen mehr für die Sicherheit tun als heute. Wenn ein Konnektor heute richtig angeschlossen ist, seriell angeschlossen ist, dann bietet er ein hohes Maß an Sicherheit, auch für die Praxis vor Angriffen aus dem Internet oder sogar aus der TI heraus. Das alles wird zukünftig nicht mehr der Fall sein. Es wird ein anderes Sicherheitskonzept geben. Wir wissen noch nicht genau, wie das aussieht. Aber für uns ist eins klar: Es kann nicht sein, dass die Arztpraxen mit einer Verantwortung belastet werden, die sie gar nicht händeln können und die eventuell viele oder hohe Investitionen betreffen. Das heißt, sie müssten wahrscheinlich eine professionelle Firewall haben, viel, viel teurer als die heutige. Der Konnektor ist weg und dann erwarten wir, dass es eine klare gesetzliche Regelung gibt, wer die Verantwortung hat und insbesondere, wer die Kosten zu tragen hat. Aber das ist ein Thema, was wir mit Argusaugen betrachten werden, wie die gematik dieses Problem angehen wird. Und wir werden uns entsprechend einschalten, um die Interessen der Praxen zu wahren.“