Sicherheitsupdates und Fernwartung

Im dritten Artikel dieser Reihe (zm 5/2014) wurde auf das regelmäßige Updaten von Virenschutzsoftware hingewiesen, um Praxisrechner vor unerwünschter Schadsoftware zu schützen. Ein weiteres Instrument in diesem Zusammenhang sind die Sicherheitsupdates.

Die Hersteller – sowohl von Betriebs- als auch von Anwendungssystemen, wie zum Beispiel Praxisverwaltungssystemen – sind ständig bemüht, bekannt gewordene Sicherheitslücken zu schließen. Dazu werden regelmäßig Sicherheitsupdates für die Anwender zur Verfügung gestellt. Diese sollten zum Schutz der Rechner sowie der patientenbezogenen Daten installiert werden. Für die Installation und Betreuung der Sicherheitsupdates sollte ein Verantwortlicher inklusive Vertreter ernannt werden. Die Verantwortlichen für die Sicherheitsupdates sollten entsprechend geschult und angewiesen werden. Dies gilt allerdings nur für Software, die noch gewartet wird. Auf Windows XP trifft dies seit Anfang April nicht mehr zu, da Microsoft den Support für das veraltete Betriebssystem einstellt.

Die Sicherheitsupdates sollten nur aus vertrauenswürdigen Quellen, wie zum Beispiel von der Webseite des Herstellers oder direkt über die Software bezogen werden. Nur so kann sichergestellt werden, dass das heruntergeladene Update nicht von Dritten nachträglich geändert wurde. Anschließend sollte eine Überprüfung des Updates durch die Virenschutzsoftware erfolgen.

Die Installation der Sicherheitsupdates sollte nicht im laufenden Praxisbetrieb erfolgen, da meist ein Neustart der Systeme erforderlich ist und somit der Betrieb stillgelegt werden kann. Daher empfiehlt es sich, die Sicherheitsupdates nach Schließung der Praxis oder nicht kritische Sicherheitsupdates mit niedriger Priorität am Wochenende durch zuführen. Weiterhin sollte vor der Installation mindestens eine vorherige tägliche Sicherung der Daten vorhanden sein, um im Fall einer Fehlinstallation oder beim Eintritt anderer Komplikationen die vorherige Softwareversion mit einem aktuellen Datenbestand wiedereinspielen zu können. In jedem Fall, auch beim Fehlschlagen der Installation, ist der Vorgang entsprechend zu dokumentieren. Die Dokumentation sollte den Namen der durchführenden Person, das Datum und die Uhrzeit, die alte und die neue Versionsnummer der Software sowie die dazugehörige vorherige Sicherungskopie enthalten. Nach Abschluss der Installation sind eine Überprüfung der Versionsnummer sowie ein Test der aktualisierten Funktionalitäten sinnvoll. Um einen reibungslosen Ablauf nach einem fehlgeschlagenen Update garantieren zu können, sollte ein Konzept vorhanden sein, anhand dessen ein Rückspielen der Updates durchgeführt werden kann. Das reine Vorhandensein eines Konzepts reicht jedoch nicht aus, da nur eine regelmäßige Übung der durchzuführenden Schritte garantieren kann, dass die Abläufe auch im Krisenfall funktionieren.

Unter Microsoft Windows 8 lassen sich wichtige Updates automatisch herunterladen und installieren. Microsoft versteht unter dem Begriff wichtige Updates „Updates zur Behebung eines bestimmten Problems, das durch einen kritischen [...] Fehler verursacht wird“[Microsoft, 2013]. Als empfohlene Einstellung sollte „Updates automatisch installieren“ eingestellt werden. Damit die Updates aktiv werden, muss der Rechner neu gestartet werden. So empfiehlt es sich, die Praxisrechner am Ende des Arbeitstages herunterzufahren.

Die Sicherheitsupdate-Einstellung unter Windows 8 funktioniert so:

1. „Systemsteuerung“ öffnen

2. Menüpunkt „System und Sicherheit“

öffnen

3. Unter dem Menüpunkt „Windows Update“ den Punkt „Automatische Updates aktivieren oder deaktivieren“

Das zweite Thema dieses Beitrags befasst sich mit der Fernwartung und deren datenschutzrechtlich-kritischen Aspekten.

Die Fernwartung bezeichnet den räumlich getrennten Zugriff auf EDV-Systeme, zum Beispiel dem Praxisverwaltungssystem, zur Wartung, Pflege, Installation oder Reparatur. Hierbei erhält ein entfernt agierender Servicetechniker Zugriff auf den Praxisrechner oder -server.

Die Vorteile der Fernwartung sind die Kosteneinsparung und die entfallende Wartezeit, etwa für die Anfahrt des Servicetechnikers. Gleichzeitig birgt der Fernwartungszugriff eine Gefährdung der Vertraulichkeit und der Integrität von patientenbezogenen Daten. Um diese Gefährdung auf ein Minimum zu reduzieren und eine Verletzung der ärztlichen Schweigepflicht zu verhindern, sind durch den Praxisinhaber entsprechende Maßnahmen zu ergreifen.

Für die Fernwartung sollte mit dem Wartungsunternehmen ein Vertrag zur Auftragsdatenverarbeitung gemäß § 11 des Bundesdatenschutzgesetzes abgeschlossen werden, um die Wahrung des Patientengeheimnisses gemäß der ärztlichen Schweigepflicht sicherzustellen. Zudem ist der Umfang der (Fern-) Wartung im Vertrag zu reglementieren. Die Arbeitsanweisungen der Servicetechniker sollten schriftlich festgehalten werden, um nachweisen zu können, was dem Einzelnen erlaubt ist. Zu beachten ist: Der Servicemitarbeiter darf zu keiner Zeit Einsicht in die patientenbezogenen Daten erhalten, da dies eine unerlaubte Offenbarung nach § 203 StGB darstellt. Um sicherzustellen, dass die Patientendaten vor der Einsichtnahme geschützt sind, sollten diese durch das Praxissystem verschlüsselt werden. Eine Dokumentation und Protokollierung aller durchgeführten Wartungsvorgängen erfolgt sowohl aufseiten der Praxis als auch des Wartungsunternehmens.

Genau wie bei der Datensicherung und der Installation von Sicherheitsupdates empfiehlt es sich auch hier, einen Verantwortlichen sowie einen Vertreter für die Betreuung zu benennen und entsprechend zu schulen. Die Hoheit des Fernwartungszugriffs sollte jederzeit bei der Praxis liegen, so dass im Fall eines Missbrauchs die Verbindung sofort unterbrochen werden kann. Weiterhin sollte für den Fernwartungszugriff ein eigenständiges, passwortgeschütztes Benutzerkonto mit minimalen Zugriffsberechtigungen eingerichtet werden. Das Passwort sollte dem Servicetechniker vor jeder Fernwartung durch das autorisierte Praxispersonal mitgeteilt und nach jedem Zugriff geändert werden. Der Fernwartungszugriff sollte durch eine verschlüsselte Kommunikation erfolgen.

Auch eine Auftragsdatenverarbeitung entbindet den Zahnarzt nicht von seiner (strafrechtlichen) Verantwortung. Er hat auch weiterhin dafür Sorge zu tragen, dass kein Unbefugter Zugriff auf Patientendaten hat. Kann bei einer Fernwartung die Möglichkeit einer Übermittlung von personenbezogenen Daten außerhalb des Herrschaftsbereichs des Zahnarztes in einer Form, die die Nutzung der Daten zulässt, nicht ausgeschlossen werden, ist von einer Fernwartung eher abzusehen. In diesem Fall sollte ausschließlich eine Wartung vor Ort und unter Aufsicht und Überwachung des Zahnarztes durchgeführt werden.

Prof. Dr. Thomas JäschkeAlexander Vogel, B.Sc.ISDSG Institut für Sicherheit undDatenschutz im GesundheitswesenWestfalendamm 25144141 Dortmund

Literatur: Microsoft, 2013, Erläuterungen von Standardbegriffen bei Microsoft-Sicherheitsupdates