Die IT-Sicherheitsrichtlinie nach §390 SGB V ist ein Gesetzesauftrag: Die KBV legt im Einvernehmen mit dem BSI das Mindestmaß technisch-organisatorischer Maßnahmen für Arzt- und Psychotherapiepraxen fest. Sie standardisiert Art. 32 DSGVO („Stand der Technik") und ersetzt die frühere §75b-Richtlinie (16.12.2020); die Überführung erfolgte durch das DigiG.

Drei Schutzziele (CIA-Triade)

• Vertraulichkeit — nur Berechtigte sehen Patientendaten
• Integrität — Daten dürfen nicht unbemerkt verändert werden
• Verfügbarkeit — Systeme funktionieren zuverlässig

Praxisgrößen & Anlagen-Zuschnitt

Anlage 1 gilt für jede Praxis: 50 Anforderungen nach Zielobjekten. Jede Anforderung ist unten als eigene Karte abrufbar. Struktur der Gruppen:

Mittlere Praxen (6–20) setzen zusätzlich zu Anlage 1 diese 10 Anforderungen um.

Großpraxen setzen zusätzlich diese 17 Anforderungen um. Schwerpunkte: Netzsegmentierung, MDM-Block (7–12), E-Mail-Server-Block (15–17).

Anlage 4 gilt zusätzlich, sobald medizinische Großgeräte genutzt werden — unabhängig von der Praxisgröße. 6 Anforderungen.

Anlage 5 gilt für jede Praxis (TI immer). 9 Anforderungen.

Der BSI-Standard 200-1 definiert die allgemeinen Anforderungen an ein Informationssicherheits- Managementsystem (ISMS) — kompatibel zu ISO/IEC 27001.

Bestandteile eines ISMS

• Managementprinzipien & Übernahme der Gesamtverantwortung durch die Leitung
• Ressourcen für Informationssicherheit
• Sicherheitsleitlinie (Leitlinie zur Informationssicherheit) als zentrales Grundsatzdokument
• Informationssicherheitsorganisation mit Rollen — zentral der/die ISB (Informationssicherheitsbeauftragte/r)
• Sicherheitsprozess als kontinuierlicher Kreislauf (PDCA: Plan–Do–Check–Act)

Der Standard 200-2 beschreibt, wie ein Sicherheitskonzept nach IT-Grundschutz erstellt wird.

Drei Vorgehensweisen

Ablauf (Sicherheitskonzept)

1. Strukturanalyse — Zielobjekte, Anwendungen, Netze erfassen
2. Schutzbedarfsfeststellung — normal / hoch / sehr hoch je Grundwert (C/I/A)
3. Modellierung — passende Bausteine des IT-Grundschutz-Kompendiums zuordnen
4. IT-Grundschutz-Check — Soll-Ist-Abgleich der Anforderungen
5. Risikoanalyse (bei hohem/sehr hohem Bedarf oder fehlendem Baustein → 200-3)
6. Realisierung der fehlenden Maßnahmen

Der Standard 200-3 bündelt die risikobezogenen Arbeitsschritte. Eine Risikoanalyse ist nötig für Zielobjekte mit hohem oder sehr hohem Schutzbedarf, ohne passenden Baustein oder in untypischem Einsatz.

Ablauf

1. Gefährdungsübersicht erstellen (elementare Gefährdungen + zusätzliche)
2. Risikoeinstufung je Gefährdung über Eintrittshäufigkeit × Schadenshöhe
3. Risikobehandlung wählen
4. Konsolidierung ins Sicherheitskonzept

Das deckt sich mit der Richtlinie: dort können Risiken ebenfalls „an Dritte übertragen oder akzeptiert" werden.

Wende die Richtlinie auf konkrete Fälle an: Erst selbst überlegen, dann Musterlösung aufdecken und ehrlich bewerten. Die Bewertung fließt in deinen Lernstand ein.

Die formalen Rahmenbedingungen stehen in der Richtlinie zur Zertifizierung nach §390 SGB V (nicht in der Anforderungs-Richtlinie). Sie sind eigenständig prüfungsrelevant.

Zulassungsvoraussetzungen (eine davon genügt)

• abgeschlossenes Studium der Informatik (oder vergleichbar), oder
• abgeschlossene Ausbildung Fachinformatiker Systemintegration (Netzwerkadministrator, oder vergleichbar), oder
• Nachweis ≥ 6 Jahre einschlägige Berufserfahrung (Systemadministrator, Netzwerkadministrator, Berater Systemintegration, FI Anwendungsentwicklung oder vergleichbar).

Kreuzzertifizierung

Statt Prüfung möglich bei Vorlage anerkannter Zertifikate (Einzelfallentscheidung, Gebühr trotzdem fällig): BSI IT-Grundschutz-Praktiker + CISSP oder TISP, oder BSI Grundschutz-Auditor/-Berater.

Praxisnaher Ablauf der Online-Prüfung (Erfahrungswerte zur Durchführung; nicht Teil des Richtlinientextes, aber für die Vorbereitung wertvoll).

• Durchführung per Videokonferenz (Zoom) mit Aufsicht (Proctoring).
• Externe Webcam empfohlen für den 360°-Raumscan vor Prüfungsbeginn.
• Ausweiskontrolle; ruhiger, aufgeräumter Arbeitsplatz ohne unerlaubte Hilfsmittel.
• Rücktritts-/Absagefristen beachten (sonst kann die Gebühr verfallen).

Kryptographie — Grundlagen

Symmetrische Verschlüsselung (Symmetric Encryption)

Ein Schlüssel zum Ver- und Entschlüsseln.

Asymmetrische Verschlüsselung (Public Key)

Schlüsselpaar: Public Key zum Verschlüsseln, Private Key zum Entschlüsseln.

Hashfunktionen (Hash Functions)

• SHA-256/384/512 — Sicher (SHA-2 Familie)
• SHA-3 — Neuester Standard
• MD5 — Unsicher! Nicht verwenden.
• SHA-1 — Unsicher! Kollisionen nachgewiesen.

Quellen

• 🔗 BSI TR-02102: Kryptographische Verfahren

PKI, Zertifikate & TLS

Digitale Signaturen

1. Absender berechnet Hash der Nachricht
2. Hash wird mit Private Key verschlüsselt = Signatur
3. Empfänger entschlüsselt mit Public Key des Absenders
4. Vergleich der Hashes - Integrität + Authentizität

PKI-Elemente

• CA (Certificate Authority) — Stellt Zertifikate aus
• X.509-Zertifikat — Enthält Public Key, Inhaber, Aussteller, Gültigkeit
• CRL / OCSP — Prüfung ob Zertifikat widerrufen

TLS-Handshake

1. Client Hello - unterstützte Cipher Suites
2. Server Hello - Zertifikat
3. Schlüsselaustausch - Session Key
4. Symmetrisch verschlüsselte Kommunikation (AES)

Praxisbezug TI

• HBA enthält X.509-Zertifikat für QES (qualifizierte elektronische Signatur)
• SMC-B enthält Zertifikat zur Praxis-Identifikation
• Konnektor baut TLS-VPN zur TI auf

Firewalls & Intrusion Detection

DMZ (Demilitarized Zone)

Netzwerksegment zwischen Internet und internem Netz, geschützt durch zwei Firewalls.

IDS vs. IPS

• IDS — Erkennt Angriffe, meldet (passiv)
• IPS — Erkennt Angriffe, blockiert (aktiv)

Erkennungsmethoden: signaturbasiert (bekannte Muster) vs. anomaliebasiert (Abweichungen)

VPN-Protokolle

WLAN-Sicherheit

• WEP — Unsicher! Nie verwenden.
• WPA2 (AES-CCMP) — Minimum
• WPA3 (AES-GCMP + SAE) — Empfohlen

Angriffsmethoden

Netzwerkangriffe

• Man-in-the-Middle — Angreifer zwischen zwei Kommunikationspartnern
• DDoS — Überlastung durch massenhafte Anfragen
• DNS-Spoofing — Fälschung von DNS-Antworten

Anwendungsangriffe

• SQL-Injection — SQL-Befehle über Eingabefelder einschleusen
• XSS (Cross-Site Scripting) — JavaScript in Webseiten einschleusen

Malware-Typen

Social Engineering

• Phishing — Gefälschte E-Mails/Websites
• Spear Phishing — Gezielt auf eine Person
• Pretexting — Falsche Identität vortäuschen
• Tailgating — Unbefugtes Mitbetreten
• Baiting — Präparierte USB-Sticks

Mobile Sicherheit in der Praxis

Mobile Device Management (MDM)

MDM (Mobile Device Management) ist die zentrale Verwaltung und Absicherung mobiler Endgeräte in einer Organisation.

• Geräteregistrierung -- Alle mobilen Geräte zentral erfassen und verwalten
• Richtlinien durchsetzen -- Passwortpflicht, Verschlüsselung, App-Einschraenkungen
• Remote Wipe -- Bei Verlust/Diebstahl: Gerät aus der Ferne löschen
• Containerisierung -- Geschaeftliche und private Daten getrennt (Container-Lösung)
• App-Whitelisting -- Nur freigegebene Apps installierbar

BYOD vs. COPE vs. COBO

Mobile Bedrohungen

• Jailbreak/Rooting -- Sicherheitsmechanismen des OS umgangen, kein MDM mehr wirksam
• Unsichere WLANs -- Man-in-the-Middle in öffentlichen Netzen. Lösung: VPN
• Malware aus App-Stores -- Sideloading deaktivieren, nur offizielle Stores
• SMS-Phishing (Smishing) -- Phishing per SMS mit Links zu Fake-Seiten
• Verlust/Diebstahl -- Häufigste Bedrohung. Verschlüsselung + Remote Wipe

WLAN-Sicherheit in der Praxis (vertieft)

• Praxis-WLAN -- WPA3 (oder mind. WPA2), eigenes Netzwerksegment
• Gaeste-WLAN -- Komplett getrennt (eigenes VLAN/Subnet), kein Zugriff auf Praxis-IT
• SSID -- Keinen Praxisnamen verwenden (Social Engineering), SSID-Broadcast kann an bleiben
• MAC-Filterung -- Kein echter Schutz (MAC-Adressen fälschbar), aber als Zusatz möglich

Content Security & Data Loss Prevention

Content Security

Schutz vor unerwünschten oder schädlichen Inhalten, die ins Netzwerk gelangen oder es verlassen:

• Web-Filter / Proxy -- Blockiert Zugriff auf schädliche/unerwünschte Websites. Kategoriebasiert (Malware, Gambling, etc.)
• E-Mail-Gateway -- Filtert Spam, Phishing, Malware-Anhänge bevor sie den Nutzer erreichen
• Sandboxing -- Verdächtige Dateien werden in isolierter Umgebung ausgeführt und analysiert
• Content-Inspection -- Deep Content Inspection prüft auch verschlüsselte Inhalte (SSL-Inspection)

Data Loss Prevention (DLP)

DLP (Data Loss Prevention) verhindert, dass sensible Daten unkontrolliert die Organisation verlassen.

Praxisbezug

• Patientendaten per privater E-Mail verschickt -- DLP hätte das erkannt und blockiert
• USB-Stick mit Patientendaten -- Endpoint DLP kann USB-Ports sperren oder verschlüsselte Sticks erzwingen
• Mitarbeiter lädt Patientenliste auf private Cloud -- Cloud DLP erkennt sensible Daten und blockiert Upload

Anwendungssicherheit (Application Security)

OWASP Top 10

Die OWASP Top 10 sind die 10 kritischsten Sicherheitsrisiken für Webanwendungen:

Wichtige Schutzmaßnahmen

• Input Validation -- Alle Nutzereingaben prüfen und bereinigen (gegen Injection)
• Prepared Statements -- Parametrisierte Queries statt String-Konkatenation (gegen SQL-Injection)
• Output Encoding -- Ausgaben korrekt kodieren (gegen XSS)
• Least Privilege -- Anwendungen nur mit minimalen Rechten ausführen
• Security by Design -- Sicherheit von Anfang an mitdenken, nicht nachträglich
• Patch Management -- Abhängigkeiten und Bibliotheken aktüll halten

Praxisbezug: PVS-Sicherheit

• PVS (Praxisverwaltungssystem) ist eine Webanwendung oder Client-Server-Anwendung
• Updates des PVS-Herstellers zeitnah einspielen
• Standard-Passwörter bei Installation sofort ändern
• Keine unnötige Netzwerkexposition -- PVS nur aus dem Praxis-LAN erreichbar

Betriebssystemsicherheit

Windows

• GPO — Zentrale Sicherheitskonfiguration
• BitLocker — Festplattenverschlüsselung (AES). Pflicht für mobile Geräte!
• Least Privilege — Keine Admin-Rechte für Alltagsnutzung
• WSUS — Zentrales Patch-Management

Linux

• chmod/chown — Dateiberechtigungen (r=4, w=2, x=1)
• sudo — Temporäre Root-Rechte statt dauerhaft Root
• SSH-Härtung — Root-Login deaktivieren, Key-Auth, Fail2Ban
• iptables/nftables — Host-Firewall
• LUKS — Linux-Festplattenverschlüsselung

E-Mail-Sicherheit

Defense in Depth

Nicht nur Virenscanner, sondern: Gateway + Endpoint + E-Mail-Filter + Awareness

KIM — Kommunikation im Medizinwesen

Sicherer E-Mail-Dienst der TI. Ende-zu-Ende-verschlüsselt und signiert. Für Patientendaten zwischen Praxen.

Business Continuity Management

Kernbegriffe

• BIA (Business Impact Analysis) — Welche Prozesse sind kritisch?
• MTPD — Maximal tolerierbare Ausfallzeit
• RTO (Recovery Time Objective) — Wie schnell muss es wieder laufen?
• RPO (Recovery Point Objective) — Wie viel Datenverlust ist akzeptabel?

3-2-1 Backup-Regel

• 3 Kopien der Daten
• 2 verschiedene Medientypen
• 1 Kopie offsite

Notfallhandbuch enthält

Kontaktlisten, Eskalationsstufen, Sofortmaßnahmen, Wiederanlaufpläne, Kommunikationsplan

Quellen

• 🔗 BSI-Standard 200-4 (BCM)

Physische Sicherheit

Zutritt / Zugang / Zugriff — nicht verwechseln!

Serverraum

• Zutrittsbeschränkung, Klimatisierung (18-27 Grad C)
• Brandschutz: CO2/Inertgas — kein Wasser!
• USV (UPS) — Überbrückt Stromausfälle

Datenträgervernichtung: DIN 66399

Gesundheitsdaten: Mindestens Sicherheitsstufe 4. Festplatten: Shredder oder zertifiziertes Löschen.

Authentisierung & Autorisierung

Drei Faktoren der Authentisierung

MFA = Mindestens zwei verschiedene Faktoren. Passwort + PIN ist KEIN MFA (beides Wissen)!

Autorisierung

• RBAC (Role-Based Access Control) — Rechte über Rollen
• DAC — Eigentümer bestimmt Rechte
• MAC — System erzwingt Sicherheitsstufen

BSI-Passwortempfehlung (aktüll)

• Mindestens 12 Zeichen, komplex
• Kein erzwungener regelmäßiger Wechsel — nur bei Kompromittierungsverdacht
• Passwort-Manager empfohlen

ISO 27001 vs. BSI IT-Grundschutz

ISO 27001 -- Kernelemente

• Annex A -- 93 Controls in 4 Kategorien (organisatorisch, personell, physisch, technisch)
• Statement of Applicability (SoA) -- Welche Controls anwendbar und umgesetzt
• Risikobehandlungsplan -- Dokumentiert wie mit identifizierten Risiken umgegangen wird
• Interne Audits -- Regelmäßige Eigenprüfung
• Management Review -- Leitung prüft ISMS-Wirksamkeit

Incident Response -- Sicherheitsvorfaelle behandeln

Ein strukturierter Prozess zur Behandlung von IT-Sicherheitsvorfaellen:

Die 6 Phasen des Incident Response

1. Vorbereitung (Preparation) -- Notfallplan, Team, Tools, Uebungen
2. Erkennung (Detection) -- Vorfall erkennen (SIEM, IDS, Nutzermeldung)
3. Eindämmung (Containment) -- Schaden begrenzen (System isolieren, Netzwerk trennen)
4. Beseitigung (Eradication) -- Ursache entfernen (Malware löschen, Lücke schliessen)
5. Wiederherstellung (Recovery) -- Systeme aus Backup wiederherstellen, Monitoring verstärken
6. Nachbereitung (Lessons Learned) -- Was ist passiert? Was verbessern? Dokumentation

Meldepflichten

• DSGVO Art. 33 -- Meldung an Aufsichtsbehörde innerhalb 72 Stunden
• DSGVO Art. 34 -- Benachrichtigung der Betroffenen bei hohem Risiko
• BSI-Gesetz -- KRITIS-Betreiber muessen an BSI melden

DSGVO in der Arztpraxis

7 Grundsätze (Art. 5 DSGVO)

• Rechtmäßigkeit, Zweckbindung, Datenminimierung
• Richtigkeit, Speicherbegrenzung
• Integrität & Vertraulichkeit, Rechenschaftspflicht

Art. 32 — Sicherheit der Verarbeitung

Fordert geeignete TOMs unter Berücksichtigung von Stand der Technik, Kosten, Art der Verarbeitung, Risiko. Das ist die Brücke zur IT-Sicherheitsrichtlinie.

Auftragsverarbeitung (Art. 28)

IT-Dienstleister mit Zugriff auf Patientendaten brauchen einen AVV (Data Processing Agreement).

Bußgelder

Bis 20 Mio. Euro oder 4% des weltweiten Jahresumsatzes.

Quellen

• 🔗 DSGVO Volltext
• 🔗 Art. 28 — Auftragsverarbeitung
• 🔗 Art. 32 — Sicherheit der Verarbeitung

Cloud Security Grundlagen

Cloud-Servicemodelle

Shared Responsibility Model

Sicherheitsverantwortung wird geteilt zwischen Cloud-Anbieter und Kunde:

• Anbieter -- Physische Sicherheit, Netzwerk-Infrastruktur, Hypervisor
• Kunde -- Daten, Zugriffsrechte, Verschlüsselung, Konfiguration, Patching (je nach Modell)

Cloud-Risiken für Praxen

• Datenstandort -- Wo liegen die Server? DSGVO fordert EU/EWR oder angemessenes Datenschutzniveau
• Vendor Lock-in -- Abhängigkeit vom Anbieter, schwierige Migration
• Datenverlust -- Cloud-Backup ist NICHT automatisch ein eigenes Backup
• Zugriffskontrolle -- Wer hat Admin-Rechte? MFA Pflicht!

Datenschutz vertieft

DSFA -- Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine DSFA (Data Protection Impact Assessment / DPIA) ist Pflicht bei Verarbeitungen mit hohem Risiko für Betroffene.

Wann ist eine DSFA Pflicht?

• Systematische Überwachung öffentlicher Bereiche (Videoüberwachung)
• Umfangreiche Verarbeitung besonderer Datenkategorien (Gesundheitsdaten!)
• Automatisierte Einzelentscheidungen mit rechtlicher Wirkung (Scoring)

Meldepflicht bei Datenpannen (Wiederholung)

• Art. 33 DSGVO -- Meldung an Aufsichtsbehörde innerhalb 72 Stunden
• Art. 34 DSGVO -- Benachrichtigung der Betroffenen bei hohem Risiko
• Dokumentation ALLER Vorfaelle, auch wenn keine Meldepflicht besteht

Datenschutzbeauftragter (DSB)

• Pflicht ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten
• Bei Verarbeitung besonderer Kategorien (Gesundheitsdaten): immer empfohlen
• Kann intern oder extern bestellt werden

Betriebswirtschaftliche Aspekte

Kosten-Nutzen

ROSI (Return on Security Investment) = Vermiedener Schaden - Kosten der Maßnahme

• Direkte Kosten eines Vorfalls: Wiederherstellung, Ausfall, Bußgelder
• Indirekte Kosten: Reputationsschaden, Patientenverlust

Haftung

Die IT-Sicherheitsrichtlinie ist ein verbindlicher Standard. Bei einem Vorfall wird geprüft: Richtlinie eingehalten? Falls nein: verschlechterte Haftungssituation.