IT Sicherheit in Arztpraxen: Patientendaten schützen

Wenn die Praxissoftware am Morgen nicht verfügbar ist

Am Empfang warten die ersten Patientinnen und Patienten, doch die Praxissoftware startet nicht und niemand weiss, ob Termine und Befunde noch erreichbar sind. Patientendaten sind besonders schützenswert; im Praxisalltag müssen sie zugleich verfügbar bleiben. Gute IT-Sicherheit verbindet Datenschutz mit einem konkreten Ablauf.

Eine Praxis braucht keine komplizierte Sicherheitsorganisation, die neben dem Alltag läuft. Sie braucht wenige Massnahmen, die Zugriffe begrenzen und dem Team bei einem Vorfall Orientierung geben. Entscheidend ist, dass Empfang, Assistenz, ärztliche Fachpersonen und externe Unterstützung ihre jeweiligen Aufgaben erfüllen können, ohne mehr Zugriff zu haben als nötig.

Zugriffe an Personen und Aufgaben binden

Jede Person braucht ein eigenes Konto. Geteilte Logins wirken bequem, verhindern aber Nachvollziehbarkeit und machen Austritte riskant. Empfang, Assistenz, Ärztin oder externer Support benötigen nicht dieselben Daten und Einstellungen.

Der Grundschutz für Zugriffe umfasst insbesondere:

• persönliche Konten statt gemeinsamer Logins
• Mehrfaktor-Authentisierung für E-Mail, Fernzugriff und Administration
• regelmässige Prüfung von Konten und Geräten

Möglichst geringe Rechte begrenzen die Folgen eines Fehlers oder eines kompromittierten Passworts. MFA richtig einführen zeigt, wie sich der zusätzliche Anmeldeschritt alltagstauglich einrichten lässt. Besprechen Sie bei Ein- und Austritten konkret, welche Konten, Gruppen, Mobilgeräte und Fernzugriffe angepasst werden müssen. Ein altes Smartphone oder ein weiterhin aktives Supportkonto ist im Alltag leicht zu übersehen.

Geräte und Netze bewusst trennen

Arbeitsplätze, mobile Geräte, Server, Medizintechnik, Gäste-WLAN und Verwaltung brauchen nicht dieselben Netzrechte. Ein Gästezugang darf keinen Weg zu Praxissoftware oder Druckern öffnen. Diese Trennung hilft auch bei der Fehlersuche: Ein fremdes Gerät oder ein Problem im Gäste-WLAN soll den Praxisbetrieb nicht verlangsamen.

Verschlüsselung, zeitnahe Updates und verwaltete Endgeräte gehören ebenfalls zum Grundschutz. Entscheidend ist der Prozess: Wer prüft kritische Aktualisierungen, wie werden verlorene Geräte gesperrt und welche Software darf installiert werden? Dokumentierte Ausnahmen werden nicht unbemerkt zu dauerhaften Schwachstellen. Wenn eine Spezialanwendung ein älteres System benötigt, sollte die Praxis das Risiko kennen und die nötigen Schutzmassnahmen mit dem IT-Partner planen.

Backup als Wiederanlauf vorbereiten

Ein Backup ist erst wertvoll, wenn die Wiederherstellung funktioniert. Sichern Sie Daten, Konfigurationen und jene Komponenten, die die Praxissoftware benötigt. Die Backup-Regel 3-2-1-1-0 gibt dafür eine praktische Orientierung. Testen Sie periodisch, ob eine Patientenakte wiederhergestellt werden kann und ob Lizenzen, Zugangsdaten sowie Ansprechpartner verfügbar sind.

Klären Sie dabei vorab, wie lange die Praxis ohne einzelne Systeme arbeiten kann und welcher Datenverlust vertretbar wäre. Eine Wiederherstellung, die technisch gelingt, aber länger dauert als der mögliche Notbetrieb, beantwortet noch nicht alle Fragen. Der Test liefert eine Grundlage für realistische Entscheidungen über Backup, Ersatzgeräte und externe Unterstützung.

Eine kurze Notfallmappe mit Telefonnummern, Zuständigkeiten und einem papierbasierten Übergangsablauf hilft dem Team mehr als ein langer Plan, den niemand kennt. IT Security und Überwachung unterstützt dabei, Schutzmassnahmen mit dem Praxisalltag zu verbinden. Besprechen Sie auch verdächtige E-Mails so, dass Mitarbeitende sie ohne Angst vor Schuldzuweisungen melden.

Sichere Praxis-IT begrenzt Zugriffe, schützt Geräte und bereitet den Wiederanlauf vor.