Rückblick: Von den Risiken zu den Sicherheitsmaßnahmen

Im dritten Teil unserer Serie haben wir erläutert, wie Kanzleien, Sozietäten sowie Arzt- und Therapiepraxen aus einer Bestandsaufnahme und Risikoanalyse konkrete technische und organisatorische Maßnahmen ableiten.

Dazu gehören beispielsweise:

• geregeltes Patchmanagement
• zentral überwachte Endpoint-Security
• Mehrfaktor-Authentifizierung und Passkeys
• sichere Benutzer- und Administratorkonten
• Firewall und Netzwerksegmentierung
• belastbare Datensicherung
• getestete Wiederherstellung
• klare Zuständigkeiten und Notfallwege

Der vorherige Beitrag zeigt, wie technische Schutzmaßnahmen mit organisatorischen Abläufen verbunden werden:

Teil 3: Technische und organisatorische Maßnahmen für Kanzleien, Sozietäten und Praxen

Mit der Einführung dieser Maßnahmen ist der Aufbau jedoch nicht abgeschlossen. Nun beginnt der dauerhafte Betrieb.

Was ist ein Informationssicherheitsmanagementsystem?

Ein Informationssicherheitsmanagementsystem – häufig ergänzend als ISMS bezeichnet – ist ein dauerhaft organisierter Prozess zum Schutz wichtiger Informationen, Systeme und Geschäftsabläufe.

Es verbindet:

• die Erfassung von Systemen, Daten und Geschäftsprozessen
• die Bewertung von Risiken
• die Auswahl angemessener Schutzmaßnahmen
• die Festlegung von Verantwortlichkeiten
• die Dokumentation wichtiger Entscheidungen
• die Vorbereitung auf Sicherheitsvorfälle
• die regelmäßige Prüfung der Wirksamkeit
• die kontinuierliche Verbesserung des Sicherheitsniveaus

Die Tragweite eines Informationssicherheitsmanagementsystems reicht weit über technische IT-Systeme hinaus.

Es betrifft unter anderem:

• Inhaber und Geschäftsleitung
• Beschäftigte und externe Mitarbeiter
• Server, Arbeitsplätze und Netzwerke
• Cloud-Dienste und Fachanwendungen
• Benutzerkonten und Berechtigungen
• Datensicherungen und Wiederherstellung
• mobile Arbeit und Homeoffice
• externe IT- und Softwaredienstleister
• Notfallmanagement und Krisenkommunikation
• Dokumentation, Überwachung und Reporting

Ein Informationssicherheitsmanagementsystem ist kein abgeschlossenes Projekt. Es ist ein dauerhaft betriebener Kreislauf aus Erkennen, Bewerten, Umsetzen, Prüfen und Verbessern.

Warum Informationssicherheit dauerhaft betrieben werden muss

IT-Umgebungen bleiben nicht unverändert.

Neue Geräte werden beschafft, Benutzerkonten eingerichtet, Software aktualisiert und Cloud-Dienste ergänzt. Gleichzeitig entstehen neue Schwachstellen und Angriffsmethoden.

Auch organisatorische Veränderungen beeinflussen das Sicherheitsniveau:

• neue Beschäftigte treten ein
• Aufgaben und Zuständigkeiten verändern sich
• Standorte werden eröffnet oder geschlossen
• Dienstleister werden gewechselt
• Homeoffice und mobile Arbeit werden ausgeweitet
• neue gesetzliche oder vertragliche Anforderungen entstehen
• Geschäftsprozesse werden digitalisiert

Jede dieser Veränderungen kann neue Risiken erzeugen.

Deshalb muss regelmäßig überprüft werden, ob die vorhandenen Schutzmaßnahmen noch zur tatsächlichen Organisation passen.

Der kontinuierliche Sicherheitskreislauf

Ein funktionierendes Informationssicherheitsmanagementsystem folgt einem wiederkehrenden Ablauf.

1. Bestand und Veränderungen erfassen
   Systeme, Benutzer, Anwendungen und Dienstleister werden aktuell gehalten.
2. Risiken bewerten
   Neue Schwachstellen und Veränderungen werden hinsichtlich ihrer Auswirkungen geprüft.
3. Maßnahmen planen und umsetzen
   Risiken werden mit angemessenen technischen und organisatorischen Maßnahmen behandelt.
4. Wirksamkeit kontrollieren
   Es wird geprüft, ob die Maßnahmen tatsächlich funktionieren.
5. Abweichungen behandeln
   Fehler, Lücken und Sicherheitsvorfälle werden bearbeitet.
6. Verbesserungen dokumentieren
   Erkenntnisse fließen in die weitere Sicherheitsplanung ein.

Dieser Kreislauf verhindert, dass Informationssicherheit nach einer einmaligen Einführung langsam wieder an Wirkung verliert.

Monitoring schafft Transparenz über den Sicherheitszustand

Monitoring bedeutet, den Zustand wichtiger Systeme und Schutzmaßnahmen regelmäßig oder kontinuierlich zu überwachen.

Dadurch können technische Fehler, Ausfälle und sicherheitsrelevante Veränderungen frühzeitig erkannt werden.

Überwacht werden können beispielsweise:

• Erreichbarkeit von Servern und Diensten
• Status von Arbeitsplätzen und mobilen Geräten
• Patchstand von Betriebssystemen und Anwendungen
• Funktionsfähigkeit der Endpoint-Security
• Ergebnisse von Datensicherungen
• verfügbarer Speicherplatz
• Firewall- und Netzwerkzustand
• ungewöhnliche Benutzeranmeldungen
• Änderungen an Benutzerkonten und Berechtigungen
• administrative Aktivitäten
• Ausfall wichtiger Cloud-Dienste

Monitoring ersetzt keine Sicherheitsmaßnahmen. Es sorgt jedoch dafür, dass deren Ausfall oder Fehlfunktion nicht über längere Zeit unbemerkt bleibt.

Eine Sicherheitsmaßnahme, deren Ausfall niemand bemerkt, bietet nur einen scheinbaren Schutz.

Warnmeldungen benötigen einen geregelten Prozess

Eine große Zahl technischer Warnmeldungen führt nicht automatisch zu einem höheren Sicherheitsniveau.

Entscheidend ist, dass Meldungen bewertet und bearbeitet werden.

Für jede relevante Überwachung sollte festgelegt sein:

• welche Ereignisse gemeldet werden
• wer die Meldung erhält
• wie die Dringlichkeit bewertet wird
• innerhalb welcher Zeit reagiert werden muss
• wer technische Maßnahmen einleiten darf
• wann Inhaber oder Geschäftsleitung informiert werden
• wie die Bearbeitung dokumentiert wird

Eine fehlgeschlagene Datensicherung benötigt beispielsweise eine andere Reaktion als eine ungewöhnliche Anmeldung an einem administrativen Microsoft-365-Konto.

Beide Meldungen dürfen jedoch nicht einfach unbeachtet bleiben.

Patch- und Schwachstellenmanagement dauerhaft betreiben

Patchmanagement ist kein einmaliger Vorgang.

Hersteller veröffentlichen fortlaufend Sicherheitsupdates für Betriebssysteme, Browser, Serverdienste, Firewalls, Fachanwendungen und Netzwerkgeräte.

Ein geregelter Betrieb umfasst:

• regelmäßige Erkennung fehlender Updates
• Bewertung kritischer Schwachstellen
• zeitnahe Installation sicherheitsrelevanter Patches
• Kontrolle fehlgeschlagener Installationen
• Dokumentation des Patchstands
• Behandlung nicht mehr unterstützter Systeme
• Abstimmung mit Herstellern von Fachanwendungen
• Nachkontrolle nach größeren Aktualisierungen

Gerade bei Kanzlei- und Praxissoftware muss berücksichtigt werden, ob Herstellerfreigaben oder besondere Installationsvorgaben bestehen.

Diese Anforderungen dürfen jedoch nicht dazu führen, dass kritische Schwachstellen dauerhaft offen bleiben.

Endpoint-Security regelmäßig kontrollieren

Endpoint-Security schützt Arbeitsplätze und Server vor Schadsoftware, Ransomware und auffälligem Verhalten.

Im laufenden Betrieb sollte regelmäßig geprüft werden:

• Sind alle vorgesehenen Geräte eingebunden?
• Ist der Schutz auf allen Geräten aktiv?
• Sind Erkennungsfunktionen und Signaturen aktuell?
• Existieren nicht bearbeitete Warnmeldungen?
• Wurden Geräte längere Zeit nicht erreicht?
• Sind Ausnahmen oder Ausschlüsse noch erforderlich?
• Werden erkannte Vorfälle nachvollziehbar bearbeitet?

Ein neu eingerichtetes Notebook oder ein lange ausgeschalteter Arbeitsplatz kann ansonsten unbemerkt außerhalb der zentralen Überwachung bleiben.

Datensicherungen täglich überwachen

Datensicherungen gehören zu den wichtigsten Maßnahmen für die Wiederherstellung nach Ransomware, Hardwaredefekten oder versehentlichem Datenverlust.

Sicherungsläufe sollten deshalb nicht nur eingerichtet, sondern regelmäßig kontrolliert werden.

Zu prüfen sind insbesondere:

• Wurde die Sicherung vollständig durchgeführt?
• Welche Systeme oder Daten wurden nicht gesichert?
• Ist ausreichend Speicherplatz vorhanden?
• Sind Aufbewahrungsfristen korrekt umgesetzt?
• Ist die Sicherung vor Veränderung oder Löschung geschützt?
• Besteht weiterhin eine getrennte Sicherungskopie?
• Wurde ein Fehler zeitnah bearbeitet?

Ein mehrere Tage unbemerkter Sicherungsfehler kann dazu führen, dass im entscheidenden Moment keine aktuelle Wiederherstellung möglich ist.

Wiederherstellung regelmäßig testen

Eine erfolgreiche Sicherungsmeldung bestätigt zunächst nur, dass Daten geschrieben wurden.

Sie beweist nicht, dass ein Server, eine Datenbank oder ein vollständiger Geschäftsprozess tatsächlich wiederhergestellt werden kann.

Wiederherstellungstests sollten deshalb regelmäßig durchgeführt und dokumentiert werden.

Mögliche Prüfungen sind:

• Wiederherstellung einzelner Dateien
• Rücksicherung einer Datenbank
• Start einer gesicherten virtuellen Maschine
• Wiederherstellung eines vollständigen Servers
• Prüfung von Zugangsdaten und Verschlüsselungsschlüsseln
• Kontrolle der tatsächlichen Wiederherstellungsdauer
• Test der vorgesehenen Wiederanlaufreihenfolge

Für Kanzlei- und Praxissoftware sollte zusätzlich geprüft werden, welche Schritte nach der technischen Rücksicherung erforderlich sind.

Dazu können Datenbankprüfungen, Herstellerunterstützung, Schnittstellenkontrollen oder die Wiederanbindung externer Dienste gehören.

Ein Backup ist erst dann belastbar, wenn die Wiederherstellung nachweislich funktioniert.

Benutzerkonten und Berechtigungen regelmäßig prüfen

Benutzerkonten und Berechtigungen verändern sich im Laufe der Zeit.

Beschäftigte übernehmen neue Aufgaben, externe Dienstleister wechseln und frühere Zugänge werden nicht immer entfernt.

Regelmäßige Kontrollen sollten deshalb umfassen:

• aktive Benutzerkonten
• Konten ausgeschiedener Beschäftigter
• administrative Rechte
• gemeinsam verwendete Konten
• externe Dienstleisterzugänge
• VPN- und Fernwartungszugänge
• Microsoft-365-Rollen
• Datei- und Ordnerberechtigungen
• Freigaben in Cloud-Diensten
• Notfall- und Ersatzkonten

Die Überprüfung sollte gemeinsam mit den fachlich Verantwortlichen erfolgen.

Der IT-Dienstleister kann technische Konten und Berechtigungen auswerten. Ob eine Person einen bestimmten Zugriff weiterhin benötigt, muss jedoch häufig durch die jeweilige Leitung oder Fachabteilung entschieden werden.

Administrative Konten besonders überwachen

Administrative Konten besitzen weitreichende Berechtigungen.

Eine Kompromittierung kann daher erheblich größere Auswirkungen haben als der Verlust eines normalen Benutzerkontos.

Zu den wichtigen Kontrollen gehören:

• Anzahl administrativer Konten begrenzen
• normale und administrative Konten trennen
• phishingresistente Authentifizierung verwenden
• Anmeldungen und Änderungen protokollieren
• unbekannte oder ungewöhnliche Aktivitäten untersuchen
• nicht mehr benötigte Rollen entfernen
• Notfallkonten gesondert schützen
• Zugriffe externer Administratoren kontrollieren

Ein Administratorkonto sollte nicht für tägliche E-Mail-Kommunikation, normales Surfen oder allgemeine Büroarbeit verwendet werden.

Microsoft 365 und Cloud-Dienste überwachen

Cloud-Dienste bilden in vielen Kanzleien und Praxen einen zentralen Bestandteil der Kommunikation und Zusammenarbeit.

Dabei sollte regelmäßig geprüft werden:

• ungewöhnliche Anmeldungen
• Anmeldungen aus unbekannten Ländern oder Geräten
• Änderungen an Authentifizierungsmethoden
• neue administrative Rollen
• ungewöhnliche Postfachregeln
• automatische Weiterleitungen
• externe Datei- und Ordnerfreigaben
• neue Anwendungen und OAuth-Freigaben
• auffällige Download- oder Versandaktivitäten

Ein Informationssicherheitsmanagementsystem legt fest, welche Ereignisse relevant sind und wie darauf reagiert wird.

Externe Dienstleister regelmäßig kontrollieren

IT-, Software-, Cloud- und Abrechnungsdienstleister können Zugriff auf wichtige Systeme, Daten und Geschäftsprozesse besitzen.

Ihre Einbindung sollte deshalb nicht nur bei Vertragsbeginn geprüft werden.

Regelmäßig zu kontrollieren sind:

• bestehende Benutzer- und Fernzugänge
• Aufgaben und Zuständigkeiten
• vereinbarte Reaktionszeiten
• technische Schutzmaßnahmen
• Dokumentation durchgeführter Arbeiten
• Umgang mit Sicherheitsvorfällen
• eingesetzte Unterauftragnehmer
• bestehende Abhängigkeiten und Ausstiegswege

Nicht mehr benötigte Zugänge sollten unverzüglich entfernt werden.

Die operative Betreuung kann ausgelagert werden. Die Kontrolle der Leistung und der verbleibenden Risiken bleibt jedoch Bestandteil des eigenen Informationssicherheitsmanagementsystems.

Notfallmanagement beginnt vor dem Sicherheitsvorfall

Ein Notfall kann nicht vollständig im Voraus berechnet werden.

Trotzdem lassen sich Zuständigkeiten, Kommunikationswege und grundlegende technische Maßnahmen vorbereiten.

Ein Notfallplan sollte mindestens beantworten:

• Wer darf einen Notfall feststellen?
• Wer übernimmt die technische Koordination?
• Wer informiert Inhaber oder Geschäftsleitung?
• Welche Dienstleister müssen kontaktiert werden?
• Wer darf Konten sperren oder Geräte isolieren?
• Wo befinden sich aktuelle Notfallkontakte?
• Wie werden Protokolle und Beweise gesichert?
• Wie wird die Wiederherstellung priorisiert?
• Wer bewertet Datenschutz- und Meldepflichten?
• Wie werden Mandanten, Patienten oder Geschäftspartner informiert?

Diese Informationen müssen auch dann verfügbar sein, wenn Server, E-Mail oder Cloud-Dienste ausgefallen sind.

Typischer Ablauf eines Sicherheitsvorfalls

Ein vorbereiteter Ablauf kann beispielsweise folgendermaßen aussehen:

1. Erkennung
   Monitoring, Endpoint-Security oder ein Mitarbeiter meldet eine Auffälligkeit.
2. Bewertung
   Es wird geprüft, welche Systeme, Konten und Daten betroffen sein könnten.
3. Eindämmung
   Betroffene Geräte werden isoliert, Konten gesperrt oder Sitzungen widerrufen.
4. Information
   Inhaber, Geschäftsleitung und weitere zuständige Stellen werden informiert.
5. Analyse
   Protokolle, Zugriffe, Veränderungen und mögliche Auswirkungen werden untersucht.
6. Wiederherstellung
   Systeme werden aus einem vertrauenswürdigen Zustand kontrolliert wieder in Betrieb genommen.
7. Dokumentation
   Ablauf, Entscheidungen und ergriffene Maßnahmen werden festgehalten.
8. Verbesserung
   Erkenntnisse aus dem Vorfall fließen in Schutzmaßnahmen und Prozesse ein.

Die einzelnen Schritte können sich überschneiden. Entscheidend ist, dass Zuständigkeiten und Entscheidungswege nicht erst während des Vorfalls geklärt werden müssen.

Im Sicherheitsvorfall zählt nicht nur technisches Wissen. Entscheidend sind vorbereitete Zuständigkeiten, erreichbare Ansprechpartner und belastbare Entscheidungswege.

Notfallkontakte außerhalb der eigenen IT speichern

Ein häufiger Fehler besteht darin, sämtliche Notfallinformationen ausschließlich im eigenen Netzwerk oder E-Mail-System zu speichern.

Fallen diese Systeme aus, sind möglicherweise auch die benötigten Telefonnummern, Zugangsdaten und Anleitungen nicht mehr verfügbar.

Wichtige Notfallinformationen sollten deshalb zusätzlich an einem geschützten und vom Produktivsystem unabhängigen Ort vorhanden sein.

Dazu können gehören:

• Kontaktdaten des IT-Dienstleisters
• Kontaktdaten wichtiger Softwareanbieter
• Ansprechpartner für Datenschutz und Rechtsfragen
• Versicherungs- und Vertragsinformationen
• Notfallzugänge und Wiederherstellungsschlüssel
• Übersicht kritischer Systeme
• vorgesehene Wiederanlaufreihenfolge

Wiederanlauf und Geschäftsfortführung planen

Nicht jedes System muss gleichzeitig wiederhergestellt werden.

Die Risikoanalyse sollte bereits festgelegt haben, welche Geschäftsprozesse besonders kritisch sind.

Daraus ergibt sich eine Wiederanlaufreihenfolge.

Bei einer Kanzlei kann diese beispielsweise umfassen:

1. zentrale Benutzerverwaltung und Netzwerk
2. Kanzleisoftware und Datenbank
3. Fristen- und Wiedervorlagesysteme
4. E-Mail und elektronische Kommunikation
5. Datei- und Dokumentenablage
6. Zeiterfassung und Abrechnung

Bei einer Praxis kann die Reihenfolge beispielsweise umfassen:

1. Netzwerk und zentrale Benutzerverwaltung
2. Praxisverwaltungssystem und Patientendaten
3. Terminverwaltung
4. medizinische Dokumentation und Befundsysteme
5. Telematikinfrastruktur und KIM
6. Abrechnung und weitere Verwaltungsdienste

Zusätzlich sollten einfache Ersatzverfahren vorbereitet werden, mit denen ein eingeschränkter Betrieb vorübergehend möglich bleibt.

Dokumentation schafft Nachvollziehbarkeit

Ein Informationssicherheitsmanagementsystem muss nicht nur funktionieren. Wesentliche Entscheidungen und Kontrollen sollten auch nachvollziehbar sein.

Dokumentiert werden sollten unter anderem:

• Bestand der Systeme und Anwendungen
• bewertete Risiken
• umgesetzte Sicherheitsmaßnahmen
• Verantwortlichkeiten
• Ergebnisse regelmäßiger Kontrollen
• Patch- und Wartungsstände
• Backup- und Wiederherstellungstests
• Schulungen und Sensibilisierungen
• Sicherheitsvorfälle und Bearbeitung
• offene Maßnahmen und akzeptierte Restrisiken

Die Dokumentation muss nicht unnötig umfangreich sein.

Sie sollte jedoch aktuell, verständlich und für die tatsächlichen Arbeitsabläufe nutzbar sein.

Welche Nachweise die Geschäftsleitung benötigt

Inhaber und Geschäftsleitung müssen nicht jede technische Warnmeldung oder jedes einzelne Update selbst bewerten.

Sie benötigen jedoch eine verständliche Übersicht über den Sicherheitszustand der Organisation.

Ein regelmäßiger Bericht kann beispielsweise enthalten:

• aktueller Zustand kritischer Systeme
• Patchstand und offene Schwachstellen
• Status der Endpoint-Security
• Ergebnisse der Datensicherungen
• durchgeführte Wiederherstellungstests
• ungewöhnliche Anmeldungen und Sicherheitsereignisse
• Veränderungen administrativer Rechte
• offene Risiken und geplante Maßnahmen
• Entscheidungsbedarf der Geschäftsleitung

Technische Informationen werden dadurch in nachvollziehbare unternehmerische Entscheidungsgrundlagen übersetzt.

Kennzahlen für einen nachvollziehbaren Sicherheitsbetrieb

Kennzahlen können dabei helfen, die Entwicklung des Sicherheitsniveaus über einen längeren Zeitraum zu bewerten.

Mögliche Kennzahlen sind:

• Anteil vollständig gepatchter Geräte
• Anzahl nicht unterstützter Systeme
• Anteil geschützter Benutzerkonten mit Mehrfaktor-Authentifizierung
• Anzahl administrativer Konten
• Erfolgsquote der Datensicherungen
• Zeit seit dem letzten Wiederherstellungstest
• Anzahl offener kritischer Warnmeldungen
• Bearbeitungszeit sicherheitsrelevanter Störungen
• Anzahl nicht geprüfter externer Zugänge
• Status offener Maßnahmen aus der Risikoanalyse

Kennzahlen sollten nicht nur gesammelt werden. Sie müssen eine konkrete Aussage über Risiken und Handlungsbedarf ermöglichen.

Regelmäßige Sicherheitsbesprechungen

Für die Zielgruppe ist häufig kein umfangreiches monatliches Sicherheitsgremium erforderlich.

Sinnvoll ist jedoch ein fester Termin, an dem wesentliche Sicherheitsfragen betrachtet werden.

Mögliche Inhalte sind:

• aktuelle Sicherheitslage
• offene Schwachstellen
• Ergebnisse von Backups und Wiederherstellungstests
• neue Systeme und organisatorische Veränderungen
• Sicherheitsvorfälle und Auffälligkeiten
• offene Maßnahmen und Prioritäten
• notwendige Entscheidungen der Geschäftsleitung

Der Rhythmus kann an Größe, Risikolage und Veränderungsgeschwindigkeit der Organisation angepasst werden.

Mitarbeiterschulungen regelmäßig wiederholen

Eine einmalige Schulung bei der Einstellung reicht langfristig nicht aus.

Angriffsmethoden verändern sich und bekannte Regeln geraten ohne regelmäßige Wiederholung in Vergessenheit.

Schulungen sollten deshalb in angemessenen Abständen wiederholt und an aktuelle Risiken angepasst werden.

Typische Themen sind:

• Phishing und Social Engineering
• verdächtige Anmeldeanfragen
• Umgang mit vertraulichen Informationen
• sichere mobile Arbeit
• Verlust von Geräten und Datenträgern
• Meldung von Sicherheitsvorfällen
• Verhalten bei einem IT-Ausfall

Beschäftigte sollten außerdem wissen, dass eine frühzeitige Meldung erwünscht ist.

Unsicherheit oder Angst vor Vorwürfen darf nicht dazu führen, dass ein verdächtiger Vorgang verschwiegen wird.

Regelmäßige interne Überprüfung

In festgelegten Abständen sollte überprüft werden, ob das Informationssicherheitsmanagementsystem weiterhin vollständig und wirksam ist.

Eine interne Überprüfung kann folgende Fragen behandeln:

• Ist die Bestandsaufnahme noch aktuell?
• Wurden neue Systeme und Dienste aufgenommen?
• Sind bekannte Risiken weiterhin richtig bewertet?
• Wurden geplante Maßnahmen umgesetzt?
• Funktionieren Backup und Wiederherstellung?
• Sind Benutzerrechte noch angemessen?
• Sind Notfallkontakte und Verfahren aktuell?
• Wurden erkannte Abweichungen bearbeitet?
• Welche neuen Risiken sind hinzugekommen?

Die Ergebnisse werden dokumentiert und in einen aktualisierten Maßnahmenplan überführt.

Verbesserungen aus Sicherheitsvorfällen ableiten

Ein Sicherheitsvorfall zeigt häufig, an welchen Stellen technische oder organisatorische Schutzmaßnahmen verbessert werden müssen.

Nach Abschluss der unmittelbaren Bearbeitung sollte deshalb geprüft werden:

• Wie konnte der Vorfall entstehen?
• Warum wurde er zu diesem Zeitpunkt erkannt?
• Welche Maßnahmen haben funktioniert?
• Welche Maßnahmen waren unzureichend?
• Gab es Verzögerungen durch unklare Zuständigkeiten?
• Waren Dokumentation und Notfallkontakte verfügbar?
• Welche zusätzlichen Maßnahmen sind erforderlich?

Ziel ist nicht die Suche nach einem einzelnen Schuldigen.

Ziel ist die Verbesserung des gesamten Informationssicherheitsmanagementsystems.

Veränderungen kontrolliert in das Informationssicherheitsmanagementsystem aufnehmen

Neue Systeme und Dienste sollten nicht erst nach ihrer Einführung sicherheitstechnisch betrachtet werden.

Bereits vor der Beschaffung oder Aktivierung sollte geprüft werden:

• Welche Daten werden verarbeitet?
• Welche Benutzer benötigen Zugriff?
• Welche Schnittstellen und Abhängigkeiten entstehen?
• Wie erfolgt die Authentifizierung?
• Wie werden Daten gesichert?
• Welche Protokolle stehen zur Verfügung?
• Wie wird der Dienst im Notfall ersetzt oder beendet?
• Welche Dienstleister erhalten Zugriff?

Auf diese Weise wird Informationssicherheit Bestandteil der Veränderungs- und Beschaffungsprozesse.

Informationssicherheit für Kanzleien dauerhaft betreiben

Kanzleien und Sozietäten benötigen insbesondere einen dauerhaften Schutz für:

• Mandantenakten und Dokumentenablagen
• Fristen- und Wiedervorlagesysteme
• geschäftliche E-Mail-Konten
• beA- und Kommunikationsarbeitsplätze
• Microsoft 365 und Cloud-Dienste
• mobile und häusliche Arbeitsplätze
• administrative und externe Zugänge
• Datensicherung und Wiederherstellung

Besonders wichtig sind die regelmäßige Kontrolle von Benutzerrechten, sicheren Fernzugängen, E-Mail-Konten und der Funktionsfähigkeit zentraler Kanzleianwendungen.

Informationssicherheit für Praxen dauerhaft betreiben

Arzt- und Therapiepraxen benötigen insbesondere einen dauerhaften Schutz für:

• Praxisverwaltungssysteme
• Patienten- und Gesundheitsdaten
• medizinische Dokumentation
• Telematikinfrastruktur und KIM
• medizinische und administrative Geräte
• Terminplanung und Abrechnung
• Fernwartungs- und Dienstleisterzugänge
• Datensicherung und Wiederherstellung

Gerade in Praxen müssen Verfügbarkeit und Datenschutz gemeinsam betrachtet werden.

Ein System muss vertrauliche Daten schützen, gleichzeitig aber im Behandlungsalltag zuverlässig verfügbar bleiben.

Ein angemessenes Modell für Organisationen mit 1 bis 5 Millionen Euro Jahresumsatz

Kanzleien, Sozietäten und Praxen mit einem Jahresumsatz zwischen etwa einer und fünf Millionen Euro benötigen ein belastbares Sicherheitsniveau.

Gleichzeitig ist eine eigene, vollständig besetzte Informationssicherheitsabteilung meist wirtschaftlich nicht sinnvoll.

Ein angemessenes Modell verbindet deshalb:

• interne Entscheidungsverantwortung
• externen technischen Betrieb
• klare Zuständigkeiten
• automatisierte Überwachung
• regelmäßige Prüfungen
• verständliches Reporting
• vorbereitete Unterstützung bei Sicherheitsvorfällen

Ziel ist kein überdimensionierter Sicherheitsapparat, sondern ein dauerhaft funktionierender und nachvollziehbarer Betrieb.

Informationssicherheit dauerhaft betreiben im Ruhrgebiet

Kanzleien, Sozietäten sowie Arzt- und Therapiepraxen im Ruhrgebiet sind in hohem Maß von funktionierenden IT-Systemen, Cloud-Diensten und externer IT-Betreuung abhängig.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Ein einmal eingerichtetes Sicherheitsniveau muss dauerhaft überwacht und weiterentwickelt werden.

Die InoBit Datensysteme GmbH unterstützt Kanzleien, Sozietäten und Praxen im Ruhrgebiet dabei, Monitoring, Datensicherung, Patchmanagement, Benutzerkontrolle, Notfallvorsorge und Dokumentation zu einem dauerhaft funktionierenden Informationssicherheitsmanagementsystem zusammenzuführen.

Fazit: Informationssicherheit muss dauerhaft funktionieren

Ein Informationssicherheitsmanagementsystem endet nicht mit der Installation technischer Schutzmaßnahmen.

Systeme, Benutzer, Anwendungen und Risiken verändern sich fortlaufend.

Deshalb müssen Schutzmaßnahmen:

• überwacht
• regelmäßig geprüft
• nachvollziehbar dokumentiert
• bei Abweichungen korrigiert
• an neue Risiken angepasst

Monitoring schafft Transparenz. Wiederherstellungstests sichern die tatsächliche Betriebsfähigkeit. Notfallpläne ermöglichen eine geordnete Reaktion. Dokumentation und Reporting schaffen nachvollziehbare Entscheidungsgrundlagen.

Erst das Zusammenspiel dieser Bereiche macht aus einzelnen Sicherheitsmaßnahmen einen dauerhaften Sicherheitsbetrieb.

Informationssicherheit ist nicht dann erreicht, wenn Maßnahmen einmal eingerichtet wurden. Sie ist erreicht, wenn Risiken, Technik, Organisation, Kontrolle und Verbesserung dauerhaft zusammenarbeiten.

Mit diesem Beitrag endet unsere vierteilige Serie „Informationssicherheit systematisch aufbauen“.

Die vier Teile bilden gemeinsam folgenden Ablauf:

1. Warum Kanzleien, Sozietäten und Praxen ein Informationssicherheitsmanagementsystem benötigen
2. Bestandsaufnahme und Risikoanalyse als Fundament
3. Technische und organisatorische Maßnahmen umsetzen
4. Informationssicherheit dauerhaft überwachen, dokumentieren und verbessern

Wichtiger Hinweis

Dieser Beitrag gibt einen allgemeinen Überblick über den dauerhaften Betrieb, die Überwachung und die Weiterentwicklung eines Informationssicherheitsmanagementsystems.

Er stellt keine Rechts-, Datenschutz- oder Zertifizierungsberatung dar. Welche gesetzlichen, berufsrechtlichen und vertraglichen Anforderungen für eine konkrete Kanzlei, Sozietät oder Praxis gelten, muss individuell geprüft werden.

Umfang und Häufigkeit von Monitoring, Prüfungen, Wiederherstellungstests und Berichterstattung hängen unter anderem von der Organisationsgröße, den verarbeiteten Informationen, den eingesetzten Systemen, den Geschäftsprozessen und den bestehenden Risiken ab.

Das Informationssicherheitsmanagementsystem muss regelmäßig an Veränderungen der Organisation, der technischen Infrastruktur, der Risikolage und des Stands der Technik angepasst werden.