News
Ist Ihr PVS sicher? Warum ein Zertifikat nicht als Antwort reicht
Eine BSI-Untersuchung an vier anonymisierten Praxisverwaltungssystemen zeigt wiederkehrende Schwachstellen. Entscheidend ist die konkrete Installation.
Für diesen Artikel wurde generative KI als Werkzeug bei der Recherche, beim Schreiben und bei der Prüfung eingesetzt. Ein Mensch hat den Artikel vor der Veröffentlichung redaktionell geprüft und freigegeben. Mehr zu unserem Umgang mit KI.
„DSGVO-konform“, zertifiziert und regelmäßig aktualisiert: Das klingt nach einem sicheren Praxisverwaltungssystem (PVS). Ob Patientendaten tatsächlich geschützt sind, beantwortet keines dieser Etiketten allein.
Was wurde tatsächlich gefunden?
Das BSI ließ vier exemplarische, nicht namentlich genannte PVS mit Penetrationstests untersuchen. Nach Angaben des BSI fanden sich in allen Produkten Schwachstellen; wiederkehrende Probleme betrafen unter anderem Authentisierung, Verschlüsselung und grundlegende Architekturentscheidungen. Bei drei der vier Systeme ließen sich in der Testumgebung Angriffsketten von außen bilden.
Das ist ein Warnsignal, aber keine Marktübersicht. Vier anonymisierte Produkte erlauben weder den Schluss, jedes PVS sei unsicher, noch eine Aussage über den eigenen Patchstand. Der Befund zeigt etwas praktisch Wichtigeres: Ein Zertifikat, eine Datenschutzwerbung oder die bloße Aussage „wird regelmäßig aktualisiert“ beantwortet nicht, wie sicher eine konkrete Version in einer konkreten Installation betrieben wird.
Wer ist wofür verantwortlich?
Produktfehler kann nur der Hersteller beheben. Die Praxis beziehungsweise ihr IT-Dienstleister beeinflusst jedoch, ob Updates zeitnah eingespielt werden, Konten und Rechte begrenzt sind, Fernzugänge abgesichert werden und Sicherungen wiederherstellbar sind.
Diese Ebenen dürfen nicht gegeneinander ausgespielt werden: Eine gute Konfiguration heilt keine unsichere Software; ein gutes Produkt schützt keine ungepatchte Installation.
Die IT-Sicherheitsrichtlinie nach § 390 SGB V beschreibt nach Praxisgröße abgestufte Mindestanforderungen. Aus der BSI-Untersuchung allein entsteht keine neue Einzelpflicht. Sie liefert aber gute Gründe, den tatsächlichen Stand nicht nur auf dem Papier zu prüfen.
Sieben Sicherheitsfragen zur konkreten Installation
- Welche Produktversion setzen wir ein, und wann endet deren Unterstützung?
- Welche offenen kritischen Schwachstellen sind bekannt, und wie informiert uns der Anbieter?
- Werden Daten bei der Übertragung und im Ruhezustand angemessen verschlüsselt?
- Gibt es individuelle Konten, begrenzte Rollen und Mehrfaktor-Authentisierung?
- Welche Fernwartungszugänge bestehen, wie werden sie freigegeben und protokolliert?
- In welchen Fristen werden Sicherheitsupdates installiert, und gibt es einen Rückfallplan?
- Wann wurde zuletzt eine vollständige Wiederherstellung aus dem Backup getestet?
Die Antworten sollten schriftlich, versionsbezogen und auf die eigene Installation anwendbar sein.
In 30 Minuten starten
Die folgenden Schritte sind eine Bestandsaufnahme, keine vollständige Sicherheitsprüfung:
- Produktname, Versionsnummer, Server-Betriebssystem und zuständigen Dienstleister notieren.
- Alle externen Zugänge einschließlich Fernwartung auflisten und unklare Zugänge prüfen lassen.
- Das Datum des letzten PVS- und Betriebssystemupdates dokumentieren.
- Prüfen, ob jede Person ein eigenes Konto besitzt und ehemalige Mitarbeitende deaktiviert sind.
- Einen vollständigen Wiederherstellungstest terminieren – eine Erfolgsmeldung der Sicherungssoftware ist noch kein Wiederherstellungsnachweis.
Die bessere Frage lautet daher nicht nur „Ist unser PVS sicher?“, sondern: Welche überprüfbaren Maßnahmen schützen unsere konkrete Installation heute?