IT-Sicherheit in der Zahnarztpraxis

Digitale Selbstverteidigung

Die Enthüllungen von Edward Snowden über die umfangreichen Ausspähaktionen des US-Geheimdienstes NSA haben gezeigt: Daten im Netz sind alles andere als sicher unterwegs. Gerade Zahnärzte, die sensible Patienteninformationen führen, müssen ihre Telematikinfrastruktur schützen. Höchste Zeit also für die digitale Selbstverteidigung.

Foto: KEYSTONE

Foto: Vario Images
Der Serverschrank gehört in einen separaten, gesicherten Raum in der Praxis. Foto: F1online
Datenschutz ist ein weites Feld: Jede Praxis sollte für sich klären, wie sie die verschiedenen Formen der Datenkontrolle (Kasten) intern organisiert. Foto: km
Ganz wichtig: Das Praxisverwaltungssystem muss nach außen ausreichend abgesichert sein. Ein tägliches automatisches und zeitgesteuertes Backup erhöht zudem die Sicherheit. Foto: F1online
Der neue Leitfaden bietet Unterstützung für den Datenschutz in Zahnarztpraxen.

Prism und Tempora – was man vor Kurzem noch für Automodelle von Ford oder Chrysler hätte halten können – sind zu Synonymen für die weltweite Datensammelwut der Nachrichtendienste geworden. Mit Prism überwacht die NSA, mit Tempora der britische Geheimdienst GCHQ das Internet – mehr oder weniger komplett, wie man nach heutigem Stand weiß. Ob Microsoft, Apple, Google, Yahoo, Facebook, YouTube oder Skype – auf alle großen Anbieter haben die Nachrichtendienste Zugriff. Auch digitale Datenspeicherdienste wie etwa dropbox sind unsicher, weil ihre Server in Nordamerika stehen. Hintergrund für das Überwachungsinferno ist der Patriot Act. Das Bundesgesetz, das am 25. Oktober 2001 vom amerikanischen Kongress im Zuge des Krieges gegen den Terrorismus verabschiedet wurde, erlaubt US-Behörden wie dem FBI, der NSA oder der CIA nicht nur den Zugriff ohne richterliche Anordnung auf die Server von US-Unternehmen. Auch ausländische Tochterunternehmen sind nach dem US-Gesetz verpflichtet, Zugriff auf ihre Server zu gewähren. Und dies selbst dann, wenn lokale Gesetze dies untersagen.

Fest steht: Heute werden millionenfach sensible Daten im Internet verschickt – und die werden auch millionenfach abgeschöpft. Das sollte gerade Zahnärzten zu denken geben, die täglich mit hochsensiblen Daten (Patienten, Abrechnungen) umgehen.

Die Brisanz des Themas debattierten kürzlich Ärzte, Juristen und Mitarbeiter von Krankenkassen und Körperschaften auf der Tagung „Datenschutz in der Medizin“ in Leipzig. Die Stiftung Datenschutz war Schirmherrin der Veranstaltung. In diesem Jahr von der Bundesregierung gegründet hat die Stiftung die Aufgabe, Datenschutzgütesiegel zu entwickeln. Die Referenten wiesen darauf hin, das der Datenschutz aufgrund des rasanten technischen Fortschritts eine immense Herausforderung für das gesamte Gesundheitswesen sei.

Datenschutz ist Teil der Schweigepflicht

„Kern der ärztlichen Schweigepflicht ist es, dass der Patient darauf vertrauen kann, dass die dem Arzt anvertrauten persönlichen Daten nicht an Dritte weitergegeben werden“, konstatierte Julia Fellmer, Fachanwältin für Medizinrecht in Düsseldorf, die die Tagung moderierte. Dies gelte übrigens ante und post mortem. Der § 203 des Strafgesetzbuches stelle die Verletzungen von Privatgeheimnissen unter anderem durch Ärzte unter Strafe. Es sei denn, der Patient hat eingewilligt, der Arzt ist zur Offenbarung gesetzlich verpflichtet oder es geht um die Wahrnehmung berechtigter eigener Interessen. Das könne laut Fellmer Regress, eine Honorarforderung oder Schadenersatz sein.

Werden Patientendaten elektronisch – sprich über das Internet – übermittelt, muss der Zahnarzt sicherstellen, dass die Daten entweder hinreichend pseudonymisiert oder durch ein sicheres Verfahren verschlüsselt werden. Noch im September warnte die gematik, die für die Einführung und Weiterentwicklung der elektronischen Gesundheitskarte zuständig ist, dass im Gesundheitswesen Dokumente wie beispielsweise Arztbriefe und Laborbefunde per Post oder per Fax versendet oder unverschlüsselt per E-Mail verschickt würden. Das Risiko dabei sei groß, dass Unberechtigte Einblicke in Daten von Patienten erhielten.

Google Analytics als Tool ungeeignet

Prof. Thomas Jäschke vom Institut für Sicherheit und Datenschutz im Gesundheitswesen in Dortmund gab auf der Leipziger Tagung wichtige Hinweise für die Praxishomepage. So sollte google analytics aus Sicherheitsgründen nicht als Analysetool genutzt werden. Jäschke empfahl, das Tool zu deaktivieren und zu löschen. Geeignet sei dagegen die Open-Source-Webanalyse-Software Piwik. Einige Landesdatenschützer – etwa Dr. Thilo Weichert aus Schleswig-Holstein – würden sich für Piwik aussprechen. Im Übrigen sollte der Host der Seite, also der Datenbankanbieter in der EU ansässig sein und kein Geschäft in den USA haben. Jäschke relativierte Datenschutzbemühungen mit den Worten: „Es gibt nichts, was hundert Prozent sicher ist.“ Jedoch sollte sich jede Praxis die Fragen stellen: Wie werden Daten bei uns geführt? Und wie sichern wir den Prozess ab?

Sensible Daten sind zu verschlüsseln

So wie man sensible Daten eben nicht auf einer Postkarte versenden würde, sollte man dies auch nicht im Internet tun. Was der Briefumschlag auf dem Postweg, ist analog die Verschlüsselung im Netz. „Encryption works“ – „Verschlüsselung funktioniert“ – antwortete Edward Snowden am 17. Juni 2013 auf eine entsprechende Leseranfrage in der britischen Zeitschrift „The Guardian“. Als Schwachstelle benannte Snowden hier allerdings die Sicherheit am Endpunkt, da für den jeweiligen Kommunikationspartner oft nicht ersichtlich sei, welche Datenschutzrichtlinien nach erfolgter Entschlüsselung beim Empfänger eingehalten würden.

Wie kann sich der Niedergelassene konkret in seiner Praxis schützen? KZBV und BZÄK geben in ihrem Leitfaden zu Datenschutz und Datensicherheit für die Zahnarztpraxis-EDV erste wertvolle Hinweise. Die heute übliche elektronische Speicherung und Verarbeitung persönlicher Daten erleichtere die Praxisabläufe, bringe aber zugleich neue Verpflichtungen für Zahnarzt und Praxisteam mit sich, heißt es darin. Es müssen Schutzvorkehrungen getroffen werden, die erstens die Patientendaten vor der Weitergabe an Dritte schützen und zweitens diese Daten vor dem unbefugten Zugriff Dritter und vor einem Verlust, zum Beispiel durch technische Ausfälle, absichern. Der Sicherheitsstandard in der Praxis ist im besten Fall angemessen und praktikabel zugleich.

Abrechnung, ZOD und elekronischer Ausweis

Die flächendeckende Online-Übermittlung der Abrechnungsdaten soll mittelfristig in allen KZV-Gebieten möglich sein. BZÄK und KZBV geben in ihrem Leitfaden folgende Hinweise zur Online-Abrechnung:

• Sicherzustellen ist, dass der Empfänger der Abrechnungsdaten zweifelsfrei die zuständige KZV ist. Falls die Abrechnungsdaten auf einem Portal abgelegt werden, wird durch die KZV sichergestellt, dass jeder berechtigte Zahnarzt nur auf seine Daten Zugriff hat (durch sichere, idealerweise Hardware-basierte Authentisierungsmaßnahmen).

• Da Abrechnungsdaten in der Regel personenbezogene und damit sensible Daten sind, müssen sie während der Übertragung nach aktuellen Sicherheitsstandards verschlüsselt sein.

• Sobald die Abrechnungsdateien ohne begleitende Papierunterlagen übermittelt werden, auf denen der Zahnarzt die Ordnungsmäßigkeit der abgerechneten Leistungen per Unterschrift bestätigt hat („papierlose Abrechnung“), ist die Abrechnungsdatei nach Auffassung der KZBV qualifiziert zu signieren, um die Rechtssicherheit für diese Form des Abrechnungswegs zwischen KZVen und Praxen zu gewährleisten. Die geeigneten Instrumente dazu sind mit ZOD-Karte und elektronischem Zahnarztausweis vorhanden – letzterer ist aktuell nur im Saarland verfügbar. Die jeweilige KZV entscheidet, wie zu verfahren ist.

Diese Anforderungen können alle durch ZOD-Karte oder elektronischem Zahnarztausweis erfüllt werden. Beide Karten ermöglichen mit der zugehörigen Sicherheitsinfrastruktur eine sichere Kommunikation des Zahnarztes mit seiner Standesorganisation oder Kollegen. Mit ihrer Hilfe können Zahnärzte Dateien und E-Mails vor dem Versenden verschlüsseln. Das Besondere: Daten können speziell für einen bestimmten Empfänger verschlüsselt werden, so dass nur er sie öffnen kann. Außerdem wird mit Hilfe dieser Karten die sichere Authentifizierung an den KZV-Online- Portalen und eine qualifizierte elektronische Signatur ermöglicht.

Der Datenschutzkontrollausschuss der Vertreterversammlung der KZBV empfiehlt, die Online-Datenübermittlung über einen eigenen „Internet“-Computer durchzuführen, der nicht mit der restlichen Praxis-EDV verbunden ist. Eine direkte Internetverbindung des Praxisverwaltungssystems (PVS) dürfe nur bei bei ausreichender Absicherung des PVS mit geeigneten Schutzmaßnahmen durchgeführt werden (Firewall, Virenschutz).

Mit den vorhandenen Instrumenten und technischen Lösungen lässt sich der Schutz von Patientendaten bei richtiger Anwendung gewährleisten. Auch die Politik sieht sich im Übrigen nach der NSA-Affäre zur digitalen Selbstverteidigung gezwungen. Das EU-Parlament verabschiedete kürzlich strengere Datenschutzregeln.


Info

Das Bundesdatenschutzgesetz – Praktische Tipps für die Zahnarztpraxis

„Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird“, heißt es in § 9 des Bundesdatenschutzgesetzes (BDSG). IT-Experte Dirk Küpper gibt Tipps, wie man die einzelnen Punkte des Paragrafen in der Zahnarztpraxis umsetzen kann.

1. Unbefugten ist der Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle). Küpper:„Ein Server gehört nicht in den Empfangsbereich, sondern steht mindestens in einem abgeschlossenem Raum. Zudem hat in der Regel nur der Praxisinhaber Zugang.“

2. Es ist zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle). Küpper: „Ein EDV-Arbeitsplatz kann beispielsweise in einem Behandlungszimmer mit einem Bildschirmschoner versehen werden. Dieser verlangt bei Deaktivierung ein Passwort. Vergeben Sie eines. Gute Passwörter bestehen aus mindestens sechs Zeichen, enthalten Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.“

3. Zu gewährleisten ist, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle). Küpper: „Eine moderne Praxisverwaltungssoftware ermöglicht dem Administrator oder Praxisinhaber für jeden seiner Mitarbeiter ein Login einzustellen. Dieses setzt sich aus Loginname und Loginpasswort zusammen. So kann man in der Software bestimmte Bereiche für Mitarbeiter „unsichtbar“ machen und Datendiebstahl vorbeugen. Passwörter sollten in der Regel nirgendwo zu Papier gebracht werden.“

4. Zu gewährleisten ist, dass personenbezogene Daten bei der elektronischen Übertragung, während ihres Transports oder während ihrer Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. (Weitergabekontrolle). Küpper: „Heutzutage werden Abrechnungsdaten aus der Praxisverwaltung nicht mehr auf Trägern verschickt, sondern über ein Netzwerk. Eine Firewall schützt das lokale Praxisnetzwerk vor dem Internet. Von draußen kommt keiner rein. Da das Internet ein unsicheres Netzwerk ist, sollte man auf Verschlüsselung achten. In der Regel signalisiert der Webbrowser eine verschlüsselte Datenübertragung mit einem https zu Beginn der URL-Adresse. Beispiel: www.mykzv.de. Zusätzlich kommen auch kleine Chipkarten (zum Beispiel ZOD-Karten oder elektronische Zahnarztausweise) zum Einsatz, die einen elektronischen Schlüssel enthalten. Die Chipkarte ist geschützt aufzubewahren und sollte nicht in die Hände eines unbefugten Dritten gelangen.“

5. Zu gewährleisten ist, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle). Küpper: „In EDV-Netzwerken muss sich jeder Mitarbeiter identifizieren. Eine klassische Netzwerkanmeldung enthält einen Netzwerkbenutzer und ein Passwort. Das sind keine Computer, die einfach mit einem lokalen Administrator starten. Da der in der Regel eh alles kaputt machen darf, ist davon dringend abzuraten. Ein Server schreibt in der Regel eine Logdatei. In dieser steht, wann welcher Mitarbeiter was im Netzwerk gemacht hat. Sehr praktisch – sehr einfach. Mithilfe der PGP-Software lassen sich Dokumente blitzschnell digital unterschreiben, signieren und verifizieren. Manipulation würde man sofort erkennen.“

6. Zu gewährleisten ist, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle). Küpper: „Zur Verarbeitung an den Zahntechniker oder Weiterbehandler werden Patientendaten weitergegeben. Aber nicht einfach alle, sondern nur das, was benötigt wird. Das geschieht in der Regel per E-Mail. Aber bitte verschlüsselt. E-Mail Verschlüsselung geht mithilfe von PGP-Software auf Mac OS X und Windows kinderleicht. Mit PGP kann man auch Dateien, Festplatten, USB-Sticks und andere Datenträger via Mausklick verschlüsseln.“

7. Zu gewährleisten ist, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle). Küpper:„Backups sind Pflicht. Jeden Tag mindestens eines. Am einfachsten geht das mit einer externen Festplatte, die an einen Server gestöpselt wird. Eine Software erledigt das Backup automatisch. Abends oder nach Betriebsschluss wirft man die Festplatte aus und nimmt sie mit nach Hause. Wichtig: Die Backupdaten müssen außerhalb der Praxisräumlichkeiten lagern. Bei einer Havarie oder Diebstahl sind sie sonst verloren. Eine Abrechnung ist nicht mehr möglich. Und das zahlt keine Versicherung. Festplattenverschlüsselung ist da viel billiger. Mac OS X bietet dies ab seinem System OS 10.8 sogar gratis an. Ansonsten hilft auch hier die Lösung PGP.“

8. Zu gewährleisten ist, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Küpper: „In einer Praxisgemeinschaft muss jeder Zahnarzt eine eigene Patientendatenverwaltung benutzen. Moderne Software hat für jeden Behandler einen eigenen Eintrag. Bevor ein Kollege im Vertretungsfalle einen Patienten behandelt, muss der Patient seine Einwilligung dazu abgegeben haben. Eine Einwilligungs- erklärung sollte vom Patienten einfach in schriftlicher Form erledigt werden und in seiner Patientenakte abgelegt werden. Der Dokumentenscanner erledigt den Rest in der papierlosen Zahnarztpraxis.“

Dirk Küpper
IT-Spezialist
Friederike-Fliedner-Weg 10
40489 Düsseldorf
www.dirkkuepper.de

Spätestens seit den Enthüllungen von Edward Snowden ist klar, dass Daten im Netz ein Sicherheitsrisiko darstellen. Hier finden Sie Tipps zur digitalen Selbstverteidigung.

Weitere Bilder
Bilder schließen