Schließen
In Arztpraxen werden täglich hochsensible Daten verarbeitet. Ein guter Schutz vor Cyberangriffen ist deshalb nicht nur technisch wichtig, sondern auch Voraussetzung für Datenschutz und einen verlässlichen Praxisbetrieb.
Öffnen von Dateien (Anhänge, USB-Sticks, ePA-Dokumente)
Passwörter (sichere Passwörter, Passwortmanager)
E-Mails (Phishing, verschlüsselte Kommunikation)
Virenscanner & Firewalls (Schutzprogramme, Online-Scanner)
KI-Telefonanrufe und KI-Phishing
Die Antworten sind bewusst praxisnah gehalten und sollen Ihnen helfen, im Alltag schnell die richtige Entscheidung zu treffen.
Für technische Details oder individuelle Lösungen wenden Sie sich bitte an Ihren IT-Dienstleister, Ihren Vertriebs- und Servicepartner oder Ihre/n Datenschutzbeauftragte/n.
Diese sind bereits in Kraft getreten und sollten bis spätestens 1.10.2025 umgesetzt sein, siehe https://www.kbv.de/praxis/digitalisierung/it-sicherheit
Die KBV stellt Musterdokumente auf Ihrer Website https://www.kbv.de/praxis/digitalisierung/it-sicherheit bereit.
Fragen Sie am Telefon gezielt nach Details, die nur echte Kollegen wissen. Vorsicht bei ungewöhnlichen Anfragen oder Druck. Im Zweifel immer über die offiziell bekannte Nummer zurückrufen.
IT-Dienstleister/Administrator, Landesdatenschutzbehörde (DSGVO Art. 33), Kassenärztliche Bundesvereinigung (KBV)
Diese finden Sie auf unserer Website unter www.cgm.com/it-sicherheit.
Sobald Sie betroffen sind, müssen Sie dies an die entsprechenden Stellen weitermelden. Mehr Infos finden Sie unter www.cgm.com/it-sicherheit.
Die Sicherheit von Heimarbeitsplätzen hängt von den technischen Maßnahmen und dem Verhalten der Nutzer ab. Mit sicheren Verbindungen (z. B. VPN), aktuellen Updates, Virenschutz und geschultem Umgang mit IT-Risiken sind Heimarbeitsplätze grundsätzlich sicher – aber nur, wenn alle Vorgaben eingehalten werden.
ZIP-Dateien sind nicht per se gefährlich, werden aber häufig für Cyberangriffe genutzt. Öffnen Sie ZIP-Dateien daher immer mit Vorsicht:
Im Zweifel lieber beim Absender nachfragen oder die Datei nicht öffnen.
Ja, diese Empfehlung ist sinnvoll. Word-Dokumente können schädliche Makros oder eingebetteten Code enthalten, über die Schadsoftware eingeschleust wird. PDF-Dateien sind zwar auch nicht völlig ungefährlich, aber in der Regel weniger anfällig dafür.
Daher gilt:
USB-Sticks von außen können Schadsoftware enthalten und sind ein häufiges Einfallstor. Deshalb:
Wenn möglich, den USB-Stick zuerst an einem separaten, dafür vorgesehenen Rechner prüfen, nicht direkt im Praxisnetz.
Das gilt auch für andere Datenträger wie CDs oder externe Festplatten, die Sie von Patienten oder Kliniken erhalten.
Im Zweifel wenden Sie sich bitte an Ihren Vertriebs- und Servicepartner bzw. Ihre IT-Abteilung.
Die ePA ist primär dokumentenbasiert. Das vorgegebene Format für Dokumente ist PDF/A. Dieses standardisierte Format erschwert das Einschleusen von Viren oder Makros. Die gesamte Datenübertragung und Speicherung erfolgt verschlüsselt und nach hohen Sicherheitsstandards.
Bitte beachten Sie:
PDF-Dateien gelten grundsätzlich als sicherer als Word-Dokumente, können aber ebenfalls Schadsoftware enthalten. Seien Sie vorsichtig bei PDF-Dateien:
Klicken Sie in solchen Fällen nicht auf „Zulassen/Aktivieren“, sondern brechen Sie ab und fragen Sie Ihre IT.
Wenn Sie sich bei einer Datei unsicher sind, öffnen Sie sie nicht und klären Sie die Herkunft (z.B. Rückruf beim Absender).
Zur Überprüfung von Dateien vor dem Öffnen empfehlen wir unsere Lösung CGM Endpoint Security 360°.
Bitte installieren Sie keine zusätzlichen privaten Virenscanner, Viewer oder „Converter“-Programme aus dem Internet, um Dateien zu öffnen, ohne dies mit Ihrer IT abzustimmen.
Weitere Informationen und Beratung erhalten Sie auf unserer Website.
Die Überprüfung Ihrer Backups sollte durch einen IT-Dienstleister erfolgen. So wird sichergestellt, dass:
Empfehlung: Lassen Sie regelmäßig Test-Wiederherstellungen durchführen und kurz protokollieren (Datum, Ergebnis).
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät dringend davon ab, Windows 10 nach dem Supportende weiter zu nutzen. Ohne Sicherheitsupdates steigt das Risiko für erfolgreiche Angriffe deutlich.
Um Sicherheitsrisiken zu vermeiden und den Praxisbetrieb zu gewährleisten, wird empfohlen, rechtzeitig auf Windows 11 umzusteigen.
Weitere Informationen finden Sie in der BSI-Pressemitteilung zum Supportende von Windows 10: BSI - Presse - BSI empfiehlt Upgrade oder Wechsel des Betriebssystems nach Supportende von Windows 10
Ein Passwortmanager ist ein Programm, das Ihre Passwörter verschlüsselt speichert und verwaltet.
Sie müssen sich nur ein einziges, starkes Master-Passwort merken – der Passwortmanager übernimmt den Rest (Erstellen, Speichern, automatisches Ausfüllen).
Beispiele: KeePass, 1Password, Bitwarden.
Wir empfehlen einen professionell verwalteten Passwortmanager, der mit Ihrer IT-Umgebung abgestimmt ist.
Im Praxisalltag werden häufig genutzt:
Wichtig: Klären Sie mit Ihrer IT bzw. Praxisleitung, welche Lösung in Ihrer Praxis offiziell freigegeben ist.
Ja, KeePass ist für fast alle Betriebssysteme verfügbar, zum Beispiel:
Fragen Sie im Zweifel Ihre IT, welche KeePass-Variante für Ihre Praxis unterstützt wird.
Die Standardkennwörter wechseln stetig und sind nur einem eingeschränkten Personenkreis bekannt.
Wichtig für Sie in der Praxis:
Die Verwaltung von technischen Standardkennwörtern sollte ausschließlich durch Ihren IT-Dienstleister erfolgen.
Ein sicheres Passwort ist vor allem lang. Zwei gleichwertige Varianten:
In beiden Fällen gilt:
Merksatz: Lieber einen eigenen Passwortsatz bilden als ein einzelnes Wort.
Passwörter sollten möglichst nicht aufgeschrieben werden. Wenn es gar nicht anders geht, beachten Sie unbedingt:
Besser: Nutzen Sie einen Passwortmanager, dann müssen Sie sich nur ein starkes Master-Passwort merken und vermeiden Zettelwirtschaft.
Phishing-Mails sind Betrügungsversuche, bei denen sich Angreifer als vertrauenswürdige Absender (z.B. KV, Bank, Behörde, Kassenabrechnung) ausgeben. Sie sollen Sie dazu bringen, Passwörter, Patientendaten oder Login-Daten preiszugeben.
Typische Erkennungszeichen:
Wichtig: Modern verfasste Phishing-Mails sehen oft professionell aus und enthalten keine offensichtlichen Fehler mehr – daher ist Ihre Aufmerksamkeit entscheidend.
So verhalten Sie sich richtig:
Im Arztpraxis-Kontext häufig betroffen:
Merksatz: Im Zweifelsfall lieber sicher gehen und nicht klicken, als später mit Datenverlust oder Sicherheitsproblemen zu kämpfen.
Verdächtige E-Mails sollten Sie am besten direkt löschen, ohne sie zu öffnen.
Bei Phishing-Verdacht (z.B. angebliche Banken, Paketdienste, KV, „Passwort abgelaufen“) gilt:
Ein separater Rechner nur für E-Mails kann die Sicherheit erhöhen, ist im Praxisalltag aber meist unpraktisch.
Effektiver sind:
Der TI-Messenger bietet eine sichere digitale Kommunikation zwischen Arztpraxen und Patienten sowie anderen Leistungserbringern. Bitte sprechen Sie mit Ihrem Vertriebs- und Servicepartner, welche sicheren Kommunikationswege heute bereits empfohlen werden.
Geschützte E-Mails sind verschlüsselt, sodass nur Absender und Empfänger den Inhalt lesen können. Häufig kommen zusätzlich Sicherheitsmaßnahmen zum Einsatz, z.B.:
Ziel ist, Inhalte und Anhänge vor unbefugtem Zugriff zu schützen.
Normale E-Mail-Kommunikation ist in der Regel nicht ausreichend geschützt, insbesondere wenn keine Verschlüsselung verwendet wird.
Daher gilt:
Im Zweifel: Datenschutzbeauftragte oder IT-Dienstleister fragen, welche Verfahren in Ihrer Praxis eingesetzt werden sollen.
Eine Firewall kontrolliert den Datenverkehr zwischen Ihrem Praxisnetz und dem Internet und schützt so vor vielen Cyberangriffen. Sie kann z.B.:
Wichtig: Eine Firewall ersetzt nicht einen Virenscanner auf den einzelnen Rechnern, sondern ergänzt ihn.
Ja, nach 5 Jahren muss die Firewall ausgetauscht werden.
Ja, Bitdefender ist ein anerkannter und leistungsfähiger Virenschutz.
Wichtig ist:
Kein Virenschutz bietet 100 % Sicherheit, aber Bitdefender ist eine gute Wahl, wenn er korrekt eingerichtet und gepflegt wird.
Wir nutzen weiterhin die Nachfolgetechnologie von Panda, die heute unter dem Namen CGM Endpoint Security 360° bereitgestellt wird.
Damit erhalten Sie eine moderne Lösung auf Basis der früher empfohlenen Technologie, integriert in das aktuelle CGM-Sicherheitskonzept.
Online-Scanner wie VirusTotal sind aus DSGVO-Sicht problematisch, weil:
Daher gilt:
Ja. Sie können statt der kompletten Datei auch nur den Hash (eine Art digitaler Fingerabdruck der Datei) bei VirusTotal prüfen lassen.
Vorteile:
Das ist deutlich datenschutzfreundlicher und in der Regel DSGVO-konform, solange der Hash keine Rückschlüsse auf personenbezogene Daten zulässt. Im Zweifel sollten Sie die Nutzung solcher Dienste mit Ihrem Datenschutzbeauftragten oder IT-Dienstleister abstimmen.
Mit KI lassen sich Stimmen aus wenigen Sekunden Audiomaterial täuschend echt nachbilden – auch ein „Anruf vom Chef“ kann also gefälscht sein. Achten Sie auf ungewöhnliche Sprachmelodie, Zeitdruck oder Geheimhaltungsbitten. Im Zweifel: auflegen und über die bekannte offizielle Nummer zurückrufen.
Ein Anrufer gibt sich per geklonter Stimme als Vorgesetzte/Vorgesetzter aus und fordert dringend Geld, Zugangsdaten oder Gutscheinkarten. Vereinbaren Sie ein internes Codewort für telefonische Notfallanweisungen und entscheiden Sie Geld- oder Zugangsanfragen nie allein am Telefon, sondern prüfen Sie über einen zweiten Kanal gegen.
Ja, sogenannte Deepfake-Videos können Gesicht und Mimik in Echtzeit nachbilden – aktuell noch aufwendiger und seltener als Voice Cloning. Bei ungewöhnlichen Anfragen gilt dieselbe Regel: über einen zweiten, bekannten Kanal rückversichern.
Rechtschreibfehler sind heute kein verlässliches Warnsignal mehr – KI-Mails sind oft fehlerfrei und wirken persönlich. Prüfen Sie stattdessen die Absenderadresse genau, seien Sie misstrauisch bei Zeitdruck („sofort“, „24h“) und kontrollieren Sie Links vor dem Klick. Im Zweifel: nicht klicken, an die IT melden.