IT- und Cyber-Security: So geraten Sie nicht in die Fänge von Betrügern
Ina ReinschSpam, Datenklau, Hackerangriffe: Was Sie und Ihr Praxisteam wissen sollten, damit Ihr Verhalten nicht zum Einfallstor für Cyberkriminelle werden kann.
Experten gehen davon aus, dass mittlerweile 97 Prozent aller deutschen Unternehmen Cyberangriffen ausgesetzt sind. Die Täter agieren zumeist vom Ausland aus. Ihr Ziel: Informationen abgreifen oder Geld erpressen. Viele Inhaberinnen und Inhaber kleinerer Arztpraxen unterschätzen das Risiko, Opfer eines Cyberangriffs zu werden. „Wir sind doch zu klein“ oder „Bei uns gibt es doch nichts zu holen“ sind häufige Fehlannahmen.
Die Folgen eines Cyberangriffs können enorm sein. Jegliche digitale Arbeit in der Praxis stagniert – möglicherweise über Wochen. Hinzu kommt: Sind sensible Patientendaten in die Hände Unbefugter gelangt, muss der Praxisinhaber den Vorfall innerhalb von 72 Stunden der Datenschutzbehörde melden und die betroffenen Personen informieren.
Das Ziel eines Cyberangriffs ist es meist, den Betrieb zu stören und Geld zu erpressen, Schaden anzurichten, Informationen zu sammeln oder Daten zu sammeln, zu verkaufen oder für weitere Angriffe zu nutzen. Daher ist es immens wichtig, im Alltag wachsam zu sein und das Team der Arztpraxis regelmäßig zu schulen. Gute Technik allein reicht nicht. Die größte Schwachstelle ist der Mensch.
Am wichtigsten ist es, immer aufmerksam zu bleiben und Absender, Links und Freigaben zu prüfen. Bei ungewöhnlichen Anfragen sollte man rückfragen, am besten auf einem anderen Kanal als dem, auf dem die Anfrage gekommen ist. Mitarbeitende der Praxis sollten sich nie unter Druck setzen lassen. Lieber Tempo herausnehmen, den Vorgang in Ruhe prüfen.
Typische Merkmale von Spam
Softwareupdates sollten immer ausgeführt werden. Manche Mitarbeitenden ignorieren sie lange. Das schafft allerdings Schwachstellen. Wer Daten mit anderen teilt, sollte dies vorher ankündigen. Sind Laptops oder PC in der Praxis unbeaufsichtigt, sollten sie immer gesperrt werden, um sie vor unbefugten Zugriffen zu schützen. Bei einem IT-Vorfall sollten die Mitarbeitenden der Arztpraxis sofort Alarm schlagen und den Verdacht so schnell wie möglich melden.
Stutzig werden sollte das Praxisteam auch bei Anmeldevorgängen, die unerwartet auftauchen. Bei Links sollte vor dem Klicken die URL überprüft werden. Betrüger nutzen oft Tippfehler oder hängen Wörter wie -login oder -verify an bekannte Namen an. Wurde ein E-Mail-Konto gehackt, ist es wichtig, nicht aufzuräumen und nicht weiterzuarbeiten und den Vorgang umgehend zu melden. Manche Angriffe erfolgen inzwischen auch per Video oder Audio. Mit KI lassen sich Stimmen täuschend echt imitieren. Ziel der Angreifer ist es, Vertrauen aufzubauen, dann erfolgt Druck. Hier ist es wichtig, keine Passwörter zu nennen und keine Freigaben zu tätigen.
Passwortmanager sind dringend zu empfehlen. Denn nichts ist unsicherer als Passwörter, die an der Anmeldung unter der Schreibtischunterlage liegen oder „IchbinArzt123!“ lauten. Auch eine Multifaktor-Authentifizierung ist ein zusätzlicher Sicherheitsfaktor. Kommt es wirklich zu einem IT-Sicherheitsnotfall, kann ein vorher entworfener Notfallplan helfen. Auf diesem sollte eine Telefonnummer notiert sein, die jeder in der Praxis jederzeit anrufen kann. Was Betroffene niemals tun sollten: Dateien löschen, weiterarbeiten, den Computer selbst auf Schadsoftware scannen oder neu starten. Denn dadurch gehen wichtige Spuren verloren.
Typische Risiko-Situationen im Praxisalltag
Hier ist Aufmerksamkeit besonders wichtig:
Situationen, in denen man sich beeilen soll oder unter Druck gesetzt wird
wenn Dateien, Links oder QR-Codes unerwartet kommen
wenn eine Anmeldung außerhalb des üblichen Kontextes erscheint
wenn Daten an Externe oder private Kanäle gehen sollen
wenn Freigaben, Zahlungen oder Änderungen „ausnahmsweise“ passieren sollen
Hier gilt:
Nicht klicken, nicht freigeben, erst prüfen: Ist der Absender echt? Ist der Anlass plausibel? Ist der Link korrekt?