Cyberangriff in der Arztpraxis: der Notfallplan in 8 Schritten

Ein Cyberangriff trifft Arztpraxen selten zur passenden Zeit. Häufig fällt morgens auf, dass sich das Praxisverwaltungssystem nicht mehr öffnet, Dateien verschlüsselt sind oder eine Lösegeldforderung auf dem Bildschirm steht. Ransomware legt dann Karteikarte, Terminplanung und Abrechnung gleichzeitig lahm. Wer in diesem Moment einen klaren Plan hat, verliert weniger Zeit, weniger Daten und weniger Nerven. Die folgenden acht Schritte führen durch den IT-Notfall in der Arztpraxis.

Warum die ersten Minuten entscheiden

Bei einem aktiven Angriff arbeitet die Schadsoftware weiter, solange die Systeme verbunden bleiben. Jede Minute kann weitere Geräte und Sicherungen erfassen. Gleichzeitig sitzen Patienten im Wartezimmer und die Versorgung muss weitergehen. Beides zugleich zu steuern gelingt nur mit einer festen Reihenfolge, die vorher feststeht und nicht erst im Schreck improvisiert wird.

Der Notfallplan in 8 Schritten

1. Ruhe bewahren und nichts überstürzen. Schalten Sie betroffene Geräte nicht vorschnell aus. Ein hartes Abschalten kann Spuren vernichten, die später für die Aufklärung und für die Versicherung wichtig sind. Verschaffen Sie sich zuerst einen Überblick, welche Bildschirme betroffen sind.
2. Betroffene Systeme vom Netz trennen. Ziehen Sie das Netzwerkkabel und trennen Sie das WLAN, um die Ausbreitung zu stoppen. Trennen Sie auch externe Festplatten und USB-Sicherungen, damit die Schadsoftware nicht auf die Backups übergreift. Das Gerät bleibt eingeschaltet, aber isoliert.
3. Den IT-Dienstleister sofort alarmieren. Rufen Sie den Dienstleister an, der Ihre Praxis-IT betreut, bevor Sie selbst an den Systemen herumprobieren. Wer die Umgebung kennt, schätzt das Ausmaß schneller ein und verhindert, dass durch eigene Versuche weitere Spuren verloren gehen.
4. Den Vorfall dokumentieren. Halten Sie Uhrzeit, betroffene Geräte, sichtbare Meldungen und erste Eindämmungsmaßnahmen fest. Diese Aufzeichnung ist Grundlage für die Datenschutzbewertung, die technische Aufarbeitung und mögliche Meldungen.
5. Meldepflichten bewerten. Prüfen Sie mit Datenschutz- und IT-Verantwortlichen, ob eine Verletzung personenbezogener Daten vorliegt und welches Risiko für Betroffene entsteht. Ist ein Risiko nicht unwahrscheinlich, verlangt Art. 33 DSGVO grundsätzlich eine Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden. Polizei, Versicherung, KV und betroffene Personen werden abhängig von Sachlage, hohem Risiko und Vertragsbedingungen einbezogen.
6. Auf ein Ersatzverfahren umstellen. Die Versorgung läuft weiter, auch ohne System. Greifen Sie auf Papierdokumentation, Ersatzbescheinigungen und das TI-Ausfallkonzept zurück, halten Sie dringende Termine und verschieben Sie planbare. Notieren Sie alles, was später nachgetragen werden muss.
7. Kein Lösegeld zahlen. Eine Zahlung garantiert keine saubere Wiederherstellung und finanziert die nächste Angriffswelle. Sicherheitsbehörden raten davon ab. Setzen Sie stattdessen auf die geprüfte Datensicherung und die forensische Bewertung durch den Dienstleister.
8. Sauber wiederherstellen statt schnell. Spielen Sie Systeme erst zurück, wenn die Lücke gefunden und geschlossen ist. Andernfalls verschlüsselt der gleiche Weg die Praxis erneut. Setzen Sie betroffene Geräte neu auf und stellen Sie die Daten aus einer getrennten, geprüften Sicherung wieder her. Erst danach gehen die Systeme wieder ans Netz.

Meldepflichten kennen, bevor der Ernstfall kommt

Ein Cyberangriff kann zugleich eine Verletzung des Schutzes personenbezogener Daten sein, muss es aber nicht in jedem Fall. Entscheidend sind die tatsächlich betroffenen Daten und das Risiko für die Rechte und Freiheiten natürlicher Personen. Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko nicht voraussichtlich ausgeschlossen ist. Auch die Entscheidung, nicht zu melden, sollte mit ihren Gründen dokumentiert werden. Ansprechpartner und Bewertungsweg gehören deshalb vorab in den Notfallplan.

Vorbeugen kostet weniger als wiederherstellen

Solide IT-Hygiene reduziert Angriffsfläche und Folgeschäden. Dazu gehören eine getestete, vom Hauptsystem getrennte Datensicherung, aktuelle Updates, eine Firewall am Netzübergang, getrennte Netze und ein Team, das Phishing erkennt. Monitoring, Patch-Management und Sicherungskontrollen helfen, Abweichungen früher zu erkennen; sie schließen Angriffe oder Datenverlust nicht aus.

Jupitec betreut die IT von Arztpraxen bundesweit und kennt den Healthcare-Alltag mit Telematikinfrastruktur, Praxisverwaltungssystem und KV-Abrechnung. Wenn Sie einen Notfallplan aufstellen oder Ihre Sicherung und Ihren Schutz prüfen lassen möchten, rufen wir in der Regel innerhalb von zwei Stunden zurück, montags bis freitags.

Geprüfte Quellen: Art. 33 DSGVO, KBV-IT-Sicherheitsrichtlinie und die BSI-Checkliste für IT-Sicherheitsvorfälle.