Rückblick: Von der Bestandsaufnahme zur praktischen Umsetzung

Im zweiten Teil unserer Serie haben wir erläutert, warum eine strukturierte Bestandsaufnahme und Risikoanalyse das Fundament eines Informationssicherheitsmanagementsystems bildet.

Erst wenn bekannt ist, welche Systeme, Daten, Benutzerkonten, Dienstleister und Geschäftsprozesse vorhanden sind, lässt sich beurteilen:

• welche Informationen besonders geschützt werden müssen
• welche Systeme für den laufenden Betrieb unverzichtbar sind
• welche Schwachstellen bestehen
• welche möglichen Auswirkungen ein Ausfall hätte
• welche Risiken zuerst behandelt werden sollten

Der vorherige Beitrag zeigt, wie aus dieser Analyse ein priorisierter Maßnahmenplan entsteht:

Teil 2: Bestandsaufnahme und Risikoanalyse für Kanzleien, Sozietäten und Praxen

Im dritten Schritt werden die erkannten Risiken nun mit geeigneten technischen und organisatorischen Maßnahmen behandelt.

Was ist ein Informationssicherheitsmanagementsystem?

Ein Informationssicherheitsmanagementsystem – häufig ergänzend als ISMS bezeichnet – ist ein dauerhaft organisierter Prozess zum Schutz wichtiger Informationen, Systeme und Geschäftsabläufe.

Es verbindet:

• die Erfassung von Systemen, Daten und Geschäftsprozessen
• die Bewertung von Risiken
• die Auswahl angemessener Schutzmaßnahmen
• die Festlegung von Verantwortlichkeiten
• die Dokumentation wichtiger Entscheidungen
• die Vorbereitung auf Sicherheitsvorfälle
• die regelmäßige Prüfung der Wirksamkeit
• die kontinuierliche Verbesserung des Sicherheitsniveaus

Seine Tragweite reicht weit über die technische IT hinaus.

Ein Informationssicherheitsmanagementsystem betrifft unter anderem:

• Geschäftsleitung und Inhaber
• Beschäftigte und externe Mitarbeiter
• Server, Arbeitsplätze und Netzwerke
• Cloud-Dienste und Fachanwendungen
• Benutzerkonten und Berechtigungen
• Datensicherungen und Wiederherstellung
• mobile Arbeit und Homeoffice
• externe IT- und Softwaredienstleister
• Notfallmanagement und Krisenkommunikation
• Dokumentation, Überwachung und Reporting

Ein Informationssicherheitsmanagementsystem verbindet nicht möglichst viele Sicherheitsprodukte, sondern geeignete Maßnahmen mit klaren Verantwortlichkeiten und überprüfbaren Abläufen.

Was sind technische und organisatorische Maßnahmen?

Technische und organisatorische Maßnahmen werden häufig gemeinsam betrachtet, weil beide Bereiche unmittelbar voneinander abhängen.

Technische Maßnahmen schützen Systeme, Geräte, Netzwerke, Benutzerkonten und Daten mithilfe konkreter technischer Funktionen.

Organisatorische Maßnahmen legen fest:

• wer eine Aufgabe übernimmt
• wie ein Prozess durchgeführt wird
• wer eine Freigabe erteilen darf
• wie Abweichungen erkannt werden
• wer Warnmeldungen erhält
• wie ein Vorfall eskaliert wird
• wie die Umsetzung dokumentiert wird

Beide Bereiche müssen zusammenwirken.

Eine Mehrfaktor-Authentifizierung ist beispielsweise eine technische Maßnahme. Die Festlegung, für welche Konten sie verpflichtend ist, wer Ausnahmen genehmigen darf und wie verlorene Geräte behandelt werden, ist eine organisatorische Maßnahme.

Maßnahmen müssen aus Risiken abgeleitet werden

Eine Sicherheitsmaßnahme sollte nicht nur deshalb eingeführt werden, weil sie aktuell häufig beworben oder von anderen Unternehmen eingesetzt wird.

Sie muss ein konkretes Risiko behandeln.

Ein einfaches Beispiel:

• Risiko: Angreifer übernehmen ein geschäftliches E-Mail-Konto.
• Technische Maßnahmen: Mehrfaktor-Authentifizierung, Passkeys, sichere Richtlinien, Überwachung auffälliger Anmeldungen.
• Organisatorische Maßnahmen: klare Regeln für Kontoeinrichtung, Wiederherstellung, Supportanfragen und Meldung verdächtiger Vorgänge.

Erst die Kombination reduziert das Risiko wirksam.

Die technische Anmeldung kann sehr sicher sein. Wird ein Mitarbeiter jedoch telefonisch zur Freigabe einer fremden Anmeldung bewegt, kann ein unklarer Prozess die technische Schutzwirkung beeinträchtigen.

Patchmanagement: Sicherheitsupdates zuverlässig steuern

Fehlende Sicherheitsupdates gehören zu den häufigsten Ursachen erfolgreicher Angriffe.

Betriebssysteme, Anwendungen, Firewalls, Browser, Serverdienste und Netzwerkgeräte enthalten regelmäßig Schwachstellen, die durch Updates geschlossen werden müssen.

Ein geregeltes Patchmanagement umfasst deshalb mehr als das gelegentliche Ausführen von Windows Update.

Dazu gehören:

• vollständige Übersicht der zu aktualisierenden Systeme
• regelmäßige Prüfung verfügbarer Sicherheitsupdates
• Priorisierung kritischer Schwachstellen
• kontrollierte und zeitnahe Installation
• Überwachung fehlgeschlagener Aktualisierungen
• Behandlung nicht mehr unterstützter Systeme
• Dokumentation des Patchstands
• festgelegte Verantwortung für Kontrolle und Nachbearbeitung

In Kanzleien und Praxen müssen dabei auch Fachanwendungen, Kanzlei- und Praxisverwaltungssysteme sowie medizinische oder technische Geräte berücksichtigt werden.

Nicht jedes System darf ohne Prüfung automatisch aktualisiert werden. Trotzdem darf die notwendige Abstimmung mit dem Softwarehersteller nicht dazu führen, dass bekannte kritische Schwachstellen dauerhaft unbearbeitet bleiben.

Endpoint-Security für Arbeitsplätze und Server

Arbeitsplätze und Server bilden einen zentralen Angriffspunkt. Beschäftigte öffnen E-Mails, laden Dokumente herunter, verwenden Cloud-Dienste und greifen auf sensible Daten zu.

Eine moderne Endpoint-Security sollte deshalb nicht nur bekannte Schadprogramme erkennen.

Sie sollte unter anderem:

• Schadsoftware und verdächtige Dateien erkennen
• auffälliges Verhalten von Programmen überwachen
• Manipulationen an Systemdateien erkennen
• Ransomware-Aktivitäten einschränken
• Warnmeldungen zentral bereitstellen
• den Schutzstatus aller verwalteten Geräte anzeigen
• eine schnelle Reaktion auf betroffene Geräte ermöglichen

Entscheidend ist die zentrale Überwachung.

Eine installierte Schutzsoftware hilft nur begrenzt, wenn niemand erkennt, dass sie auf einem Gerät deaktiviert, veraltet oder fehlerhaft ist.

Benutzerkonten und Berechtigungen absichern

Benutzerkonten bestimmen, auf welche Informationen und Systeme eine Person zugreifen darf.

Zu weitreichende Berechtigungen erhöhen den möglichen Schaden, wenn ein Konto kompromittiert oder fehlerhaft verwendet wird.

Ein belastbares Berechtigungskonzept sollte deshalb folgende Grundsätze beachten:

• jeder Benutzer erhält ein persönliches Konto
• gemeinsam verwendete Konten werden vermieden
• Berechtigungen werden nach tatsächlicher Aufgabe vergeben
• administrative Rechte werden getrennt verwaltet
• externe Zugänge werden zeitlich und technisch beschränkt
• nicht mehr benötigte Konten werden deaktiviert
• Berechtigungen werden regelmäßig überprüft
• Änderungen werden nachvollziehbar dokumentiert

Besonders wichtig ist die Trennung zwischen normaler Arbeit und administrativer Tätigkeit.

Ein Benutzer sollte nicht dauerhaft mit einem Administratorkonto E-Mails bearbeiten, im Internet surfen oder Dokumente öffnen.

Mehrfaktor-Authentifizierung und Passkeys

Benutzername und Passwort allein bieten für geschäftliche Cloud-Dienste und Fernzugänge kein ausreichendes Schutzniveau mehr.

Mehrfaktor-Authentifizierung ergänzt das Passwort um einen weiteren Nachweis. Passkeys können die klassische Passwortanmeldung teilweise vollständig ersetzen.

Besonders schützenswert sind:

• Microsoft-365-Konten
• geschäftliche E-Mail-Konten
• Fernzugänge und VPN
• Administratorkonten
• Cloud-Speicher
• Softwareportale und Abrechnungsdienste
• Webhosting- und Domainverwaltung

Die organisatorische Seite ist ebenso wichtig.

Zu regeln ist unter anderem:

• welche Verfahren zugelassen sind
• wer neue Anmeldemethoden registrieren darf
• wie verlorene Geräte behandelt werden
• wie Konten sicher wiederhergestellt werden
• wie unbekannte Anmeldeanfragen gemeldet werden
• welche schwächeren Ausweichmethoden weiterhin erlaubt sind

Microsoft 365 und geschäftliche E-Mail-Kommunikation schützen

Microsoft 365 ist in vielen Kanzleien und Praxen ein zentraler Bestandteil der Kommunikation und Zusammenarbeit.

Ein kompromittiertes Konto kann Zugriff ermöglichen auf:

• geschäftliche E-Mails
• Kontakte und Kalender
• OneDrive-Dateien
• SharePoint-Dokumente
• Teams-Kommunikation
• interne Freigaben
• verbundene Cloud-Anwendungen

Sinnvolle Schutzmaßnahmen können sein:

• Mehrfaktor-Authentifizierung oder Passkeys
• getrennte Administratorkonten
• Überwachung auffälliger Anmeldungen
• Prüfung externer Freigaben
• Kontrolle von Postfachregeln und Weiterleitungen
• Beschränkung riskanter Anwendungen und Zugriffe
• Schutz vor schädlichen Anhängen und Links
• regelmäßige Prüfung administrativer Rollen

E-Mail-Sicherheit besteht nicht nur aus einem Spamfilter. Sie umfasst Identitäten, Anmeldungen, Berechtigungen, Freigaben, Geräte und die Erkennung ungewöhnlicher Aktivitäten.

Firewall, Netzwerk und Segmentierung

Eine Firewall kontrolliert den Datenverkehr zwischen internen Systemen, dem Internet und gegebenenfalls weiteren Standorten.

Sie muss an die tatsächliche Netzwerkstruktur und die verwendeten Dienste angepasst werden.

Ein angemessener Netzwerkschutz umfasst beispielsweise:

• kontrollierte Firewall-Regeln
• regelmäßige Sicherheitsupdates
• sichere VPN-Verbindungen
• geschützte Administrationszugänge
• Trennung von Gäste-WLAN und internen Systemen
• Segmentierung besonders schützenswerter Geräte
• Kontrolle externer Fernzugänge
• Dokumentation der Netzwerkstruktur

In Praxen sollten medizinische Geräte, Telematikinfrastruktur, Verwaltungssysteme und Gästezugänge nicht unkontrolliert im selben Netzwerk betrieben werden.

Auch in Kanzleien können Server, Arbeitsplätze, VoIP-Telefonie, Gäste-WLAN und technische Geräte sinnvoll voneinander getrennt werden.

Sichere Fernwartung und externe Zugänge

Fernwartung ist für den laufenden IT-Betrieb häufig notwendig. Gleichzeitig eröffnet sie einen direkten Zugang zu internen Systemen.

Ein sicherer Fernwartungsprozess sollte deshalb umfassen:

• persönliche Konten für Techniker
• starke Authentifizierung
• verschlüsselte Verbindungen
• Protokollierung der Zugriffe
• Beschränkung auf erforderliche Systeme
• regelmäßige Prüfung bestehender Zugänge
• sofortige Entfernung nicht mehr benötigter Konten
• klare Zuständigkeit für Freigabe und Kontrolle

Dauerhaft offene oder gemeinsam verwendete Fernwartungszugänge erschweren die Nachvollziehbarkeit und erhöhen das Risiko.

Datensicherung nach einem belastbaren Konzept

Datensicherungen sind eine der wichtigsten Maßnahmen gegen Datenverlust, technische Defekte und Ransomware.

Eine funktionierende Datensicherung muss mehrere Fragen beantworten:

• Welche Systeme und Daten werden gesichert?
• Wie häufig erfolgt die Sicherung?
• Wie lange werden Sicherungsstände aufbewahrt?
• Wo werden die Sicherungen gespeichert?
• Sind Sicherungen vom laufenden System getrennt?
• Kann Ransomware auf die Sicherungen zugreifen?
• Wer kontrolliert die Sicherungsläufe?
• Wie werden Fehler behandelt?
• Wann wurde zuletzt eine Wiederherstellung getestet?

Eine sinnvolle Sicherungsstrategie verwendet mehrere Kopien auf unterschiedlichen Speichersystemen.

Mindestens eine Sicherung sollte so getrennt oder geschützt sein, dass sie durch einen Angriff auf das Produktivsystem nicht unmittelbar verändert oder gelöscht werden kann.

Wiederherstellung praktisch testen

Ein erfolgreich gemeldeter Sicherungslauf beweist noch nicht, dass sich der Betrieb tatsächlich wiederherstellen lässt.

Wiederherstellungstests sollten deshalb regelmäßig prüfen:

• ob einzelne Dateien zurückgeholt werden können
• ob Datenbanken konsistent wiederhergestellt werden
• ob komplette Server oder virtuelle Maschinen startfähig sind
• ob Zugangsdaten und Verschlüsselungsschlüssel verfügbar sind
• ob die dokumentierte Wiederanlaufreihenfolge funktioniert
• wie lange die Wiederherstellung tatsächlich dauert

Die Ergebnisse sollten dokumentiert und erkannte Fehler zeitnah behoben werden.

Gerade für Kanzlei- und Praxisverwaltungssysteme muss bekannt sein, welche zusätzlichen Schritte nach einer technischen Wiederherstellung erforderlich sind.

Geräteverschlüsselung und mobile Arbeit

Notebooks, Tablets und Smartphones können verloren gehen, gestohlen oder außerhalb der eigenen Räume verwendet werden.

Geschäftlich eingesetzte mobile Geräte sollten deshalb angemessen geschützt sein.

Zu den wichtigen Maßnahmen gehören:

• vollständige Geräteverschlüsselung
• starke Bildschirmsperre
• automatische Sperre bei Inaktivität
• aktuelle Sicherheitsupdates
• zentrale Geräteverwaltung, soweit möglich
• kontrollierter Zugriff auf geschäftliche Daten
• geregeltes Verfahren bei Verlust
• Trennung privater und geschäftlicher Nutzung

Der Verlust eines verschlüsselten und gesperrten Geräts ist anders zu bewerten als der Verlust eines ungeschützten Notebooks mit lokal gespeicherten Mandanten- oder Patientendaten.

Eintritt, Wechsel und Austritt von Beschäftigten

Veränderungen im Personalbestand müssen zuverlässig in der Benutzer- und Berechtigungsverwaltung abgebildet werden.

Ein geregelter Prozess sollte sicherstellen:

• neue Konten werden nur nach Freigabe erstellt
• Berechtigungen entsprechen der jeweiligen Aufgabe
• administrative Rechte werden gesondert genehmigt
• Änderungen der Tätigkeit führen zu einer Rechteprüfung
• Konten ausgeschiedener Personen werden rechtzeitig deaktiviert
• Geräte, Schlüssel und Zugangsmittel werden zurückgegeben
• Weiterleitungen und Vertretungen werden kontrolliert eingerichtet
• gemeinsam bekannte Zugangsdaten werden geändert

Ohne einen festen Ablauf bleiben häufig alte Benutzerkonten, unnötige Freigaben oder nicht dokumentierte Zugänge bestehen.

Umgang mit privaten Geräten und Homeoffice

Private Geräte und mobile Arbeitsplätze können den Arbeitsalltag erleichtern. Sie erweitern jedoch den Bereich, der geschützt und verwaltet werden muss.

Eine Organisation sollte deshalb eindeutig festlegen:

• ob private Geräte zugelassen sind
• welche Anwendungen verwendet werden dürfen
• ob Daten lokal gespeichert werden dürfen
• wie der Zugriff technisch abgesichert wird
• welche Sicherheitsupdates erforderlich sind
• wie bei Verlust oder Ausscheiden vorzugehen ist
• wie geschäftliche und private Daten getrennt werden

Ein ungeplanter Zugriff über private Geräte kann zu Datenkopien, unkontrollierten Cloud-Speichern und fehlender Löschmöglichkeit führen.

Mitarbeitende als Bestandteil der Informationssicherheit

Beschäftigte sollen nicht zu Sicherheitsexperten ausgebildet werden. Sie müssen jedoch typische Risiken erkennen und wissen, wie sie sich im Zweifel verhalten sollen.

Wichtige Schulungsthemen sind:

• Phishing und Social Engineering
• Umgang mit verdächtigen Anhängen und Links
• unerwartete Anmelde- und MFA-Anfragen
• sichere Passwort- und Passkey-Nutzung
• Umgang mit vertraulichen Informationen
• Verlust von Geräten und Datenträgern
• Meldung ungewöhnlicher Vorgänge
• Verhalten bei einem vermuteten Sicherheitsvorfall

Entscheidend ist ein klarer Meldeweg.

Mitarbeitende müssen wissen, an wen sie sich wenden können, ohne befürchten zu müssen, für eine rechtzeitige Meldung verantwortlich gemacht zu werden.

Eine früh gemeldete Auffälligkeit kann ein Sicherheitsvorfall sein. Eine verschwiegene Auffälligkeit kann daraus einen erheblichen Schaden machen.

Notfall- und Eskalationswege vorbereiten

Auch gute Schutzmaßnahmen können einen Vorfall nicht vollständig ausschließen.

Deshalb muss vorab geklärt werden:

• wer einen Sicherheitsvorfall bewertet
• wer betroffene Konten oder Geräte sperren darf
• welcher IT-Dienstleister erreichbar ist
• wer Inhaber oder Geschäftsleitung informiert
• wann Datenschutzbeauftragte oder Rechtsberatung einbezogen werden
• wie Beweise und Protokolle gesichert werden
• wie der Betrieb kontrolliert wiederhergestellt wird
• wer Mandanten, Patienten oder weitere Stellen informiert

Telefonnummern, Ansprechpartner und technische Zugänge sollten auch dann verfügbar sein, wenn zentrale IT-Systeme ausgefallen sind.

Monitoring: Schutzmaßnahmen müssen überwacht werden

Eine Sicherheitsmaßnahme kann ausfallen, ohne dass dies sofort im Arbeitsalltag bemerkt wird.

Monitoring schafft Transparenz über den aktuellen Zustand wichtiger Systeme.

Überwacht werden können beispielsweise:

• Erreichbarkeit von Servern und Diensten
• Patchstand von Arbeitsplätzen und Servern
• Status der Endpoint-Security
• Ergebnisse der Datensicherung
• Speicherplatz und Systemzustand
• ungewöhnliche Anmeldungen
• Änderungen an Benutzerkonten und Berechtigungen
• Ausfall von Netzwerk- und Sicherheitskomponenten

Monitoring ist jedoch nur wirksam, wenn für Warnmeldungen eine Reaktion festgelegt ist.

Es muss bekannt sein, wer eine Meldung bewertet, welche Priorität sie besitzt und innerhalb welcher Zeit reagiert werden soll.

Dokumentation der umgesetzten Maßnahmen

Technische und organisatorische Maßnahmen müssen nachvollziehbar dokumentiert werden.

Die Dokumentation sollte mindestens enthalten:

• welches Risiko behandelt wird
• welche Maßnahme umgesetzt wurde
• welche Systeme und Benutzer betroffen sind
• wer für Betrieb und Kontrolle verantwortlich ist
• wann die Umsetzung erfolgte
• wie die Wirksamkeit geprüft wird
• welche offenen Punkte bestehen

Dadurch kann die Geschäftsleitung nachvollziehen, welche Risiken bereits behandelt wurden und wo weiterer Handlungsbedarf besteht.

Die Dokumentation schafft zugleich eine Grundlage für:

• spätere Prüfungen
• Notfallmaßnahmen
• Versicherungsfragen
• Datenschutzbewertungen
• Dienstleistersteuerung
• zukünftige Verbesserungen

Wirksamkeit statt bloßer Installation

Eine Maßnahme ist nicht bereits deshalb wirksam, weil sie technisch installiert wurde.

Sie muss im tatsächlichen Betrieb geprüft werden.

Beispiele:

• Ein Backup gilt nicht als wirksam, solange keine Wiederherstellung getestet wurde.
• Ein Virenschutz gilt nicht als vollständig, wenn Geräte nicht zentral überwacht werden.
• Mehrfaktor-Authentifizierung schützt nur die Konten, für die sie tatsächlich verpflichtend ist.
• Ein Berechtigungskonzept hilft nur, wenn Rechte regelmäßig überprüft und entzogen werden.
• Ein Notfallplan funktioniert nur, wenn Ansprechpartner, Zugänge und Abläufe aktuell sind.

Das Informationssicherheitsmanagementsystem sorgt dafür, dass diese Wirksamkeitsprüfungen nicht dem Zufall überlassen werden.

Technische Maßnahmen für Kanzleien und Sozietäten

Kanzleien und Sozietäten benötigen einen besonderen Schutz für Mandantenakten, Fristen, vertrauliche Kommunikation und geschäftliche E-Mail-Konten.

Zu den typischen Schwerpunkten gehören:

• Absicherung der Kanzleisoftware
• Schutz von Fristen- und Wiedervorlagesystemen
• sichere E-Mail- und beA-Arbeitsplätze
• Schutz von Microsoft 365
• kontrollierte Dokumentenfreigaben
• getrennte Administratorkonten
• verschlüsselte mobile Geräte
• gesicherte Fernarbeitsplätze
• überwachte Datensicherung
• kontrollierte Zugänge externer Dienstleister

Organisatorisch müssen insbesondere Fristen, Vertretungen, Aktenzugriffe und die sichere Einbindung externer Personen berücksichtigt werden.

Technische Maßnahmen für Arzt- und Therapiepraxen

Praxen müssen Gesundheitsdaten schützen und gleichzeitig die Verfügbarkeit ihrer zentralen Systeme sicherstellen.

Zu den typischen Schwerpunkten gehören:

• Absicherung des Praxisverwaltungssystems
• Schutz medizinischer Dokumentationen
• sichere Telematikinfrastruktur
• geschützte KIM-Kommunikation
• Segmentierung medizinischer und administrativer Geräte
• geregelte Benutzerrechte
• verschlüsselte Notebooks und mobile Geräte
• kontrollierte Fernwartung
• überwachte Datensicherung
• getestete Wiederherstellungsabläufe

Organisatorisch müssen unter anderem Zugriffe auf Patientendaten, Vertretungsregelungen, mobile Arbeit, Dienstleisterzugänge und der Umgang mit Ausfällen festgelegt werden.

Maßnahmen wirtschaftlich priorisieren

Kanzleien und Praxen mit einem Jahresumsatz zwischen etwa einer und fünf Millionen Euro benötigen ein hohes Sicherheitsniveau, können jedoch nicht jede Maßnahme gleichzeitig umsetzen.

Die Priorisierung sollte sich deshalb an den erkannten Risiken orientieren.

Eine sinnvolle Reihenfolge kann sein:

1. kritische Sicherheitslücken schließen
2. administrative und externe Zugänge absichern
3. Datensicherung und Wiederherstellbarkeit prüfen
4. Mehrfaktor-Authentifizierung einführen
5. Patchmanagement und Endpoint-Security zentralisieren
6. Benutzer- und Berechtigungsprozesse ordnen
7. Monitoring und Reporting aufbauen
8. Notfall- und Wiederanlaufverfahren dokumentieren

Dadurch werden zunächst die Risiken behandelt, die eine besonders hohe Schadenswirkung besitzen.

Technische und organisatorische Maßnahmen im Ruhrgebiet

Kanzleien, Sozietäten sowie Arzt- und Therapiepraxen im Ruhrgebiet sind stark von digitalen Systemen und externer IT-Betreuung abhängig.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Die grundlegenden Herausforderungen sind häufig vergleichbar.

Dazu gehören gewachsene IT-Strukturen, sensible Daten, mobile Arbeitsplätze, Microsoft 365, externe Dienstleister und die hohe Abhängigkeit von Kanzlei- oder Praxissoftware.

Die InoBit Datensysteme GmbH unterstützt Organisationen im Ruhrgebiet dabei, aus einer Bestandsaufnahme und Risikoanalyse einen angemessenen technischen und organisatorischen Maßnahmenplan abzuleiten und diesen kontrolliert umzusetzen.

Fazit: Ein belastbares Sicherheitsniveau entsteht durch das Zusammenspiel

Technische Schutzmaßnahmen sind für Kanzleien, Sozietäten und Praxen unverzichtbar.

Firewall, Endpoint-Security, Patchmanagement, Mehrfaktor-Authentifizierung, Datensicherung und Monitoring reduzieren wesentliche Risiken.

Ihre Wirkung bleibt jedoch begrenzt, wenn Verantwortlichkeiten und betriebliche Abläufe nicht geregelt sind.

Ein Informationssicherheitsmanagementsystem verbindet deshalb technische Maßnahmen mit:

• klaren Zuständigkeiten
• geregelten Benutzer- und Berechtigungsprozessen
• sicheren Support- und Fernwartungsabläufen
• Notfall- und Eskalationswegen
• Dokumentation
• regelmäßiger Wirksamkeitsprüfung

Entscheidend ist nicht die Anzahl installierter Sicherheitsprodukte, sondern ihre vollständige Einbindung in den täglichen Betrieb.

Sicherheit entsteht nicht durch Technik oder Organisation allein. Sie entsteht, wenn beide Bereiche nach klaren Regeln dauerhaft zusammenarbeiten.

Im vierten und letzten Teil unserer Serie zeigen wir, wie Informationssicherheit dauerhaft betrieben wird.

Dabei geht es um Monitoring, regelmäßige Kontrollen, Notfallmanagement, Reporting, Nachweise und die kontinuierliche Verbesserung des Informationssicherheitsmanagementsystems.

Teil 4: Informationssicherheit dauerhaft betreiben – Monitoring, Notfallmanagement und Nachweise

Wichtiger Hinweis

Dieser Beitrag gibt einen allgemeinen Überblick über technische und organisatorische Maßnahmen im Rahmen eines Informationssicherheitsmanagementsystems.

Er stellt keine Rechts-, Datenschutz- oder Zertifizierungsberatung dar. Welche gesetzlichen, berufsrechtlichen und vertraglichen Anforderungen für eine konkrete Kanzlei, Sozietät oder Praxis gelten, muss individuell geprüft werden.

Die Auswahl geeigneter Maßnahmen hängt unter anderem von der Organisationsgröße, dem Schutzbedarf, den eingesetzten Systemen, den bestehenden Risiken, den Standorten und den eingebundenen Dienstleistern ab.

Technische und organisatorische Maßnahmen müssen regelmäßig überprüft, dokumentiert und an Veränderungen der Organisation, der Risikolage und des Stands der Technik angepasst werden.