Digitaler Einbruch über Fernzugang der Praxis

In einer Praxis läuft dauerhaft ein Computer, auf den von Zuhause aus über das Internet und den von Microsoft bereitgestellten Dienst Remote Desktop Protocol (RDP) zugegriffen werden kann. An einem Morgen lässt sich in der gesamten Praxis nicht mehr auf den Server zugreifen und das Praxisverwaltungssystem nicht starten. Auch auf dem Fernzugriff-Computer können lokal abgelegte Dokumente nicht geöffnet werden. Höchstwahrscheinlich ist über den RDP-Zugang ein digitaler Einbruchsversuch gelungen und die Cyber-Kriminellen haben mit Ransomware zugeschlagen. Es ist kein normaler Praxisbetrieb möglich (kein Zugriff auf Patientenakten, Terminkalender, Adressen, Formulare, etc.) und Patientinnen und Patienten müssen nach Hause geschickt werden.

Risiko

Auch wenn es keine Erpressung gibt, ist die Vertraulichkeit von Patientendaten gefährdet. Nicht alle patientenbezogenen Dokumente lagen innerhalb einer verschlüsselten Datenbank und sind damit nur unzureichend gegen Einsichtnahme und Diebstahl geschützt.

Reaktion

Die Praxis ruft ihren IT-Dienstleister an, es werden keine weiteren Computer im Netzwerk gestartet, der Fernzugriff-PC wird vom Netz getrennt und der RDP-Zugriff deaktiviert.

Im Anschluss an den Vorfall werden folgende Schritte unternommen

• Der IT-Dienstleister nimmt eine komplette Neuinstallation des Servers und des Fernzugriff-Computers vor und spielt die Datensicherung des Vortags auf.
• Es erfolgt ein Virenscan und eine Sicherheitsprüfung weiterer, auch scheinbar nicht betroffener Arbeitsstationen sowie von Druckern, Geräten der Telematikinfrastruktur, etc.
• Es erfolgt eine Meldung an die Polizei und eine Meldung innerhalb von 72 Stunden an die Landesdatenschutzbehörde (nach Art. 33 Datenschutzgrundverordnung).
• Der Vorfall wird protokolliert (interne Dokumentationspflicht nach Art. 33 Abs. 5 Datenschutzgrundverordnung).

Tipps zur Prävention

• Von Fernzugriffsmöglichkeiten auf die Praxis-IT mittels RDP über das ungesicherte Internet ist dringend abzuraten. Falls ein Fernzugriff erforderlich ist, sollte dieser z. B. über ein professionelles Virtuelles Privates Netzwerk (VPN) gesichert erfolgen.
• Die Praxis sollte gemeinsam mit dem IT-Dienstleister prüfen, welche praxisrelevante Daten wo abgelegt sind und wie sie von einer Sicherung erfasst werden können. Im besten Falle sollten sie zusammengelegt und durch eine Verschlüsselungstechnologie vor Offenbarung geschützt werden. Ein professionelles Backup mit Offline-Medien ist erforderlich.