Schutz von Patientendaten - der Weg ist das Ziel

BERLIN. Mit dem Datenschutz in Arztpraxen ist das so eine Sache: Wer glaubt, er wäre am Ziel und könne das Thema für längere Zeit ad acta legen, hat schon fast verloren - und bringt seine Patientendaten in Gefahr. Das wurde beim KBV-Anbietermeeting für Softwarehäuser in Berlin deutlich.

So berichtete Franz-Josef Eschweiler, IT-Experte in der KV Nordrhein von einem Arzt, der KV Safenet auf seinem Rechner eingerichtet hatte. Nach wenigen Tagen musste sein Account wieder geschlossen werden. Der Grund: Über seinen Rechner seien binnen Tagen Tausende von Spam-Mails verschickt und Viren und Trojaner verbreitet worden.

"Der Arzt hatte gedacht, mit der Installation von KV Safenet wäre alles erledigt", berichtete Eschweiler. Auf seinem Rechner habe er weder Firewall noch Virenschutz installiert, was dann im Online-Verkehr schnell zu der Verbreitung von Schadsoftware führte.

Online-Abrechnung bringt Handlungsbedarf

Nicht immer haben Nachlässigkeiten so drastische Folgen wie bei dem Arzt aus Nordrhein. Doch je mehr Ärzte online gehen, desto stärker müssen sie darauf achten, die Daten gegen Zugriffe von außen abzusichern. Die Kassenärztliche Bundesvereinigung will das Thema Datenschutz besonders deshalb verstärkt in das Bewusstsein der Ärzte und auch der Softwarehäuser bringen, weil ja ab Januar 2011 Vertragsärzte verpflichtet sein werden online abzurechnen. Im Juli seien etwas mehr als 61 300 Ärzte online gewesen, berichtet KBV-Vorstand Dr. Carl-Heinz Müller beim Anbietermeeting in Berlin.

Die Empfehlungen von KBV und Bundesärztekammer zum Datenschutz seien schon eine gute Grundlage für Datensicherheit in den Praxen. Sie sollten besonders auch von den Praxis-EDV-Anbietern beachtet werden, appellierte Müller. Zusätzlich stiegen auch die Anforderungen an die Programme, was die Dokumentationssicherheit angehe.

"Nur Behandler und Mitarbeiter, die die Daten verwalten, dürfen im Betrieb Zugriff auf Patientendaten haben", sagte Müller. Das müsse über die Software gewährleistet sein. Müller: "Der Patient muss wissen, wer Zugriff hatte." Es müsse auch klar dokumentiert werden, wer wann was verändert hat an den Daten, ergänzte Müller. "Die Krankenhäuser müssen das gerade umsetzen." Zu erwarten sei, dass diese Anforderungen bald auch für Praxissysteme gelten.

Sicherheit muss man leben, man kann sie nicht kaufen

Hinweise darauf, wie Datenschutz in Gesundheitseinrichtungen praktisch umsetzbar sei, gab Holger Schildt vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bei der Veranstaltung. "Sie müssen Sicherheit schaffen und leben, aber Sie können nicht Sicherheit kaufen", betonte Schildt. Eine gute Software allein reiche nicht.

Das BSI habe ein Modul mit konkreten Empfehlungen für Standard-Sicherheitsmaßnahmen entwickelt, die auch für Arztpraxen sinnvoll seien, berichtete Schildt. Der IT-Grundschutz, so der Name des Moduls, könne sogar Basis für eine Zertifizierung der Praxis sein.

www.bsi.bund.de/Grundschutz/ ("IT-Grundschutz")

Lesen Sie dazu auch den Kommentar: Praxis-EDV: Spreu oder Weizen?