IT-Sicherheitsanforderungen bei Arzt- und Zahnarztpraxen BSI-Studien decken Sicherheits­mängel in Arztpraxen auf

Anbieter zum Thema

BSI Bundesamt f. Sicherheit in der Informationstechnik

FTAPI Software GmbH

In zwei Studien hat das BSI die Sicherheitslage in Arztpraxen untersucht. Das Ergebnis: Es bestehen teils schwerwiegende Sicherheitsmängel, die IT-Sicherheitsrichtlinie wird noch nicht in vollem Umfang umgesetzt – was nicht zuletzt an deren mangelnder Verständlichkeit liegt.

In den Arzt- und Zahnarztpraxen werden sensible Daten verarbeitet, sie sind an die Telematik-Infrastruktur (TI) angeschlossen – das übergreifende Kommunikationsnetzwerk im Gesundheitswesen, das den Datenaustausch der Einrichtungen untereinander ermöglicht und vor Angriffen geschützt werden muss. Während für die TI selbst strenge Spezifizierungen gelten, wurde die IT-Sicherheit in den angebundenen Praxen bislang kaum untersucht, wie das BSI (Bundesamt für Sicherheit in der Informationstechnik) konstatiert.

Dabei sind verbindliche Anforderungen definiert: in der Richtlinie zur IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung (§ 75b SGB V). Umsetzungsstand, Bekanntheit und Verständlichkeit dieser IT-Sicherheitsrichtlinie hat das BSI in der Studie SiRiPrax untersucht. Darin wurden die Antworten von knapp 1.600 Praxen zu einer Umfrage von März bis Mai 2023 ausgewertet.

Richtlinie wenig verständlich

Die jetzt veröffentlichten Ergebnisse zeigen: In fast allen Praxen wurden IT-Sicherheitsbeauftragte benannt, doch nur ein Drittel hat die Anforderungen zur IT-Sicherheit bereits in vollem Umfang umgesetzt, obwohl das schon zum Juli 2022 verpflichtend war. Nur 58 Prozent der Befragten gaben an, die Richtlinie zu kennen. „Verständlich“ oder „sehr verständlich“ sind deren Vorgaben nur für 40 Prozent (von 957 Befragten). Außer diesem Mangel an Verständlichkeit werden als weitere Hürden bei der Umsetzung auch Zweifel am Nutzen, Ressourcenmangel und mangelndes Dringlichkeitsempfinden genannt, da Arztpraxen noch kaum von Sicherheitsvorfällen betroffen waren.

Für IT-Sicherheit im Versorgungskontext müsse ein größeres Problembewusstsein geschaffen sowie die Bekanntheit der IT-Sicherheitsrichtlinie gefördert werden, schlussfolgert das BSI. Dazu brauche es begleitende Maßnahmen, der Fokus sollte auf einer Erleichterung der Realisierung liegen. Klare Vorgaben, etwa in Form einer Checkliste, sowie persönliche Beratungen oder Schulungen von IT-Sicherheitsbeauftragten könnten helfen. Erfolgsentscheidend seien Angemessenheit und Umsetzbarkeit der Schutzmaßnahmen.

In der Studie wurde auch die Umsetzung konkreter Maßnahmen erfragt, wie etwa Netzwerkplan, Datenverschlüsselung oder Schutzfunktionen der Konnektoren. Wie sich zeigte, wird nur in 19 Prozent der Fälle der Konnektor seriell betrieben und somit die Schutzfunktion auch wirklich genutzt. 60 Prozent der Befragten gaben an, die Anschlussart ihres Konnektors gar nicht zu kennen.

Sicherheitsmägel gefunden

Detaillierter wurde der Stand der Sicherheitsmaßnahmen in einzelnen Praxen in der parallelen Studie CyberPraxMed betrachtet. Hier wurden in einer (nicht repräsentativen) Stichprobe 16 ausgewählte Arztpraxen befragt. Ziel war es herauszufinden, inwieweit Arztpraxen den grundlegenden Sicherheitsanforderungen entsprechen, wie widerstandsfähig sie gegenüber potenziellen Cyberangriffen sind und wo die Schwachstellen liegen. Im Ergebnis wurden mehrere, teils schwerwiegende Sicherheitsmängel gefunden, wie unzureichender Schutz vor Schadsoftware, mangelndes Patchmanagement und fehlende Back-ups.

„Die gute Nachricht ist: Viele der Sicherheitsmängel, die wir festgestellt haben, können schnell und ressourcenschonend behoben werden“, resümiert BSI-Präsidentin Claudia Plattner. „Die Ergebnisse aus den Studien ermöglichen uns, die IT-Sicherheit in Arztpraxen durch pragmatischere Vorgaben gezielt zu verbessern und so die Digitalisierung des Gesundheitswesens weiter voranzutreiben.“ Dazu brauche es einen festen Schulterschluss zwischen allen Akteuren, so Plattner weiter.

Telematikinfrastruktur

Durch ein Gateway in die TI

(ID:49987867)