Ein ganz normaler Montagmorgen. Bis die Praxissoftware streikt und aus einem technischen Problem eine echte Krise wird.
Montag, 7:45 Uhr.
Die ersten Patientinnen und Patienten stehen vor der Tür. Das Telefon klingelt. Die Behandlungszimmer sind vorbereitet. Eine Mitarbeiterin möchte schnell noch den Tagesplan ausdrucken.
Doch die Praxissoftware lässt sich nicht öffnen.
„Komisch, gestern hat noch alles funktioniert.“
Der Rechner wird neu gestartet. Ohne Erfolg.
Auch an der Anmeldung funktioniert nichts mehr. Keine Termine, keine Patientenakten, keine Röntgenbilder. Selbst die Telefonnummern der Patienten sind nicht erreichbar.
Dann erscheint eine Meldung auf dem Bildschirm.
Ihre Daten wurden verschlüsselt.
Plötzlich ist klar: Das ist kein gewöhnlicher IT-Ausfall.
Und jetzt?
Wenn aus einem IT-Problem ein Praxisproblem wird
Die erste Patientin wartet bereits auf ihre Behandlung. Im zweiten Zimmer ist eine umfangreiche Versorgung geplant. Das Telefon klingelt ununterbrochen.
Die Mitarbeiterinnen schauen zur Praxisleitung.
Können wir weiterbehandeln? Müssen wir Termine absagen? Wen informieren wir? Und was passiert mit den Patientendaten?
Jemand schlägt vor, den IT-Dienstleister anzurufen.
Gute Idee.
Aber wo ist eigentlich die Telefonnummer?
Im Praxisverwaltungssystem hinterlegt?
Das wäre jetzt ungünstig.
Ein Cyberangriff betrifft eben nicht nur Computer und Server. Er kann innerhalb weniger Minuten den gesamten Praxisbetrieb lahmlegen.
Und plötzlich geht es nicht mehr um Technik.
Sondern um Organisation, Kommunikation, Verantwortung und die Frage, ob eine Praxis auch dann noch handlungsfähig bleibt, wenn ihre digitalen Systeme ausfallen.
Wir haben doch eine Datensicherung. Oder?
Natürlich werden die Daten gesichert.
Zumindest sollte das so sein.
Aber wann wurde eigentlich zuletzt überprüft, ob sich die gesicherten Daten auch tatsächlich wiederherstellen lassen?
Wo liegen die Sicherungen? Sind sie ausreichend vom übrigen System getrennt? Wer hat Zugriff darauf?
Und wie lange würde es dauern, bis die Praxis wieder arbeitsfähig ist?
Eine Datensicherung ist wichtig. Aber sie allein ist noch kein Notfallkonzept.
Denn selbst wenn sämtliche Daten wiederhergestellt werden können, beantwortet das noch lange nicht die Frage, was in den Stunden oder Tagen bis dahin passiert.
Wie werden Patienten informiert? Welche Behandlungen können stattfinden? Wie wird dokumentiert? Wer entscheidet über das weitere Vorgehen?
Und wer koordiniert das Ganze?
Der Notfallplan liegt im QM-Handbuch
Das klingt zunächst beruhigend.
Viele Praxen verfügen über umfangreiche Qualitätsmanagement-Unterlagen. Dort finden sich Prozessbeschreibungen, Verantwortlichkeiten und möglicherweise sogar ein IT-Notfallplan.
Nur: Was hilft der beste Notfallplan, wenn er ausschließlich digital gespeichert ist und niemand mehr darauf zugreifen kann?
Oder wenn die Mitarbeitenden gar nicht wissen, dass es ihn gibt?
Ein Notfallplan muss nicht kompliziert sein.
Aber er sollte einige entscheidende Fragen beantworten:
- Wer übernimmt im Ernstfall die Koordination?
- Wie erreichen wir unseren IT-Dienstleister und andere wichtige Ansprechpartner?
- Was müssen Mitarbeitende bei einem vermuteten Cyberangriff sofort tun – und vor allem unterlassen?
- Wie organisieren wir die Patientenversorgung, wenn digitale Systeme ausfallen?
- Wer prüft mögliche Melde- und Informationspflichten?
- Wie kommunizieren wir mit Patienten, Mitarbeitenden und externen Partnern?
Und ganz wichtig: Diese Informationen müssen auch dann verfügbar sein, wenn kein einziger Praxiscomputer mehr funktioniert.
Die größte Schwachstelle sitzt nicht immer vor dem Bildschirm
Cyberangriffe beginnen nicht zwangsläufig mit einem spektakulären technischen Angriff.
Manchmal reicht eine täuschend echt aussehende E-Mail.
Eine vermeintliche Rechnung. Eine Nachricht eines bekannten Dienstleisters. Ein Link, der dringend angeklickt werden soll.
Ein kurzer Moment der Unaufmerksamkeit kann ausreichen, um einen Angriff zu ermöglichen.
Deshalb ist IT-Sicherheit nicht allein Aufgabe des IT-Dienstleisters.
Sie betrifft das gesamte Praxisteam.
Mitarbeitende müssen nicht zu IT-Spezialisten werden. Aber sie sollten verdächtige Nachrichten erkennen, wissen, wie sie reagieren müssen, und verstehen, warum bestimmte Sicherheitsregeln wichtig sind.
Und vor allem sollten sie sich trauen, einen möglichen Fehler sofort anzusprechen.
Denn wer aus Angst vor Konsequenzen schweigt, macht aus einem möglicherweise begrenzten Sicherheitsvorfall unter Umständen ein wesentlich größeres Problem.
Und die Cyberversicherung?
Gut, wenn eine vorhanden ist.
Eine passende Cyberversicherung kann im Ernstfall wertvolle Unterstützung leisten – beispielsweise durch spezialisierte IT-Experten, Unterstützung bei der Bewältigung des Vorfalls oder die Übernahme bestimmter versicherter Kosten.
Allerdings sollte man wissen, welche Leistungen tatsächlich vereinbart wurden, welche Voraussetzungen gelten und welche Schritte im Schadenfall erforderlich sind.
Denn eine Cyberversicherung ersetzt weder eine funktionierende Datensicherung noch einen Notfallplan.
Und sie ersetzt auch keine geschulten Mitarbeitenden.
Versicherungsschutz und organisatorische Vorbereitung sollten sich ergänzen.
Nicht gegenseitig ersetzen.
Zurück zu unserem Montagmorgen
Inzwischen ist es 8:30 Uhr.
Die ersten Termine mussten verschoben werden. Das Team versucht, die Situation zu organisieren. Der IT-Dienstleister ist informiert.
Die Praxisleitung steht vor Entscheidungen, die sie hoffentlich niemals treffen muss.
Und vielleicht stellt sie sich gerade eine Frage:
Warum haben wir diesen Fall eigentlich nie gemeinsam durchgespielt?
Dabei wäre genau das ein guter Anfang gewesen.
Keine aufwendige Simulation. Kein kompliziertes technisches Szenario.
Sondern 20 Minuten in der nächsten Teambesprechung.
Eine einfache Frage:
„Was würden wir tun, wenn morgen früh unsere gesamte Praxis-IT ausfällt?“
Lassen Sie Ihr Team antworten.
Sie werden vermutlich ziemlich schnell feststellen, was bereits gut geregelt ist – und wo noch Fragen offenbleiben.
Sicherheit beginnt, bevor etwas passiert
Hundertprozentige Sicherheit gibt es nicht.
Auch gut geschützte Praxen können von Cyberangriffen oder schwerwiegenden IT-Ausfällen betroffen sein.
Aber es macht einen gewaltigen Unterschied, ob eine Praxis im Ernstfall improvisieren muss oder auf vorbereitete Abläufe zurückgreifen kann.
Deshalb gehört IT-Sicherheit nicht ausschließlich in die Hände der Technik.
Sie ist auch eine Frage guter Praxisführung.
Es geht darum, Risiken zu kennen, Verantwortlichkeiten festzulegen, Mitarbeitende einzubeziehen und die eigene Handlungsfähigkeit zu sichern.
Denn am Ende ist nicht nur entscheidend, wie gut eine Praxis digital funktioniert.
Sondern auch, wie gut sie vorbereitet ist, wenn die Digitalisierung plötzlich nicht mehr funktioniert.
