Risiken minimieren durch digitale Achtsamkeit

Wir alle nutzen täglich vernetzte digitale Systeme. Sei es im Berufs- oder im Privatleben, sei es bewusst oder unbewusst. Dass diese Systeme vor unrechtmässigen Zugriffen und Missbrauch geschützt werden müssen, steht ausser Frage. Oft denkt man dabei einseitig an technische Massnahmen. Wenn es um den Schutz sensibler Daten – wie jene der Patientinnen und Patienten – geht, kann sich jedoch niemand seiner Verantwortung entziehen. Denn «digitale Sorglosigkeit» kann gravierende Konsequenzen haben.

Sicherheit kostet Geld, in der IT ebenso wie überall. Doch auch wenn bei Sicherheitslecks (z.B. Kompromittierung oder Verlust von Patientendaten) zunächst die betroffenen Patienten die Leidtragenden sind, so gilt es doch auch die Folgen für die Praxis selbst zu vergegenwärtigen. Ein irreparabler Reputationsschaden kann dabei langfristig gravierender sein als direkte Schadenersatzansprüche.

Die Schuld für Mehraufwände in Sachen Datensicherheit bei der Digitalisierung selbst zu suchen, wäre falsch. Bringt doch gerade diese oft erst bestimmte Sicherheitsprobleme in Organisationen ans Licht. Digitalisierung ist – sofern PraxisinhaberInnen die IT-Sicherheit ganzheitlich angehen – eine Chance, um die ganze Praxis sicherer zu machen. Denn clevere digitale Lösungen können die Schwachstellen analoger Prozesse teilweise beheben.

Korrekt verschlüsselte E-Mails beispielsweise sind schneller und sicherer als Faxen. Digitale Sicherheitskopien anzufertigen, ist einfacher und effizienter als das Kopieren von analogen Dokumenten. Auch können digitale Systeme die Anzahl und Art der Zugriffe auf eine Datei fälschungssicher protokollieren, während dies bei Papierakten so nicht möglich ist. Sicherheit steht also nicht per se im Gegensatz zu Effizienz und Einfachheit, sondern kann mit diesen einher gehen.

Neben den Systemen müssen vor allem die Mitarbeitenden als sicherheitsrelevanter Faktor im Fokus stehen. Mitarbeitende, die – auch unbewusst – vertrauliche Informationen von sich, von Kunden oder aus dem Unternehmen preisgeben, sind für Cyberkriminelle zentraler Ansatzpunkt für Datendiebstahl, Industriespionage oder digitale Erpressung. Das Gesundheitswesen mit seinen sensiblen Daten, den vielen Austauschprozessen und den immer häufiger zeit- und ortsunabhängig zusammenarbeitenden Fachpersonen ist hier verletzlicher als andere Branchen.

Vorgesetzte, aber auch die Mitarbeitenden, können dazu beitragen, diese Risiken zu minimieren. Technische Massnahmen wie ein Antivirenprogramm sind dabei nur eine von drei Säulen der IT-Sicherheit. Ebenso wichtig sind organisatorische und verhaltensbezogene Massnahmen in den Praxen. Diese reichen von der Wahl sicherer (langer, komplexer) Passwörter über die Nutzung der E-Mail-Verschlüsselung (z.B. HIN Mail) bis hin zu klaren Vorgaben zum Umgang mit Daten. Doch der eigentliche Knackpunkt ist die Achtsamkeit der Mitarbeitenden im Arbeitsalltag.

Die Digitalisierung ist in der Menschheitsgeschichte ein ziemlich junges Phänomen. Anders als zum Beispiel im Umgang mit heissen Herdplatten und spitzen Gegenständen haben wir im Umgang mit digitalen Systemen weder ein angeborenes noch ein von Kindsbeinen an erworbenes Risikoempfinden. Dazu trägt bei, dass wir die Gefahren von digitalen Technologien häufig nicht direkt wahrnehmen können, da sich die Konsequenzen von Datenmissbrauch oft erst langfristig äussern.

Durch die Digitalisierung sind «neue Bedrohungslagen hinzugekommen, auf welche wir noch nicht instinktiv reagieren können». Dem kann man nur begegnen, indem entsprechende Kompetenzen bei den Mitarbeitenden kontinuierlich aufgebaut werden. Da in den meisten Ausbildungslehrgängen bisher das Thema IT-Sicherheit kaum vorkommt, bleibt einstweilen nur die betriebliche Weiterbildung.

In einem ersten Schritt müssen die Mitarbeitenden verinnerlichen, dass ihr Verhalten direkt sicherheitsrelevant ist. Während dies für medizinisches Personal in anderen Themenbereichen (etwa im Bereich Hygiene) mehr oder weniger selbstverständlich ist, muss beim Thema Praxis-IT dieses Bewusstsein – die sogenannte Security Awareness – erst noch geschaffen werden. In vielen IT-Schulungen wird zwar der Security-Aspekt angesprochen, aber kaum jener der Awareness. Erst die Verknüpfung von Security und Awareness befähigt die Mitarbeitenden jedoch tatsächlich, ihre Verantwortung wahrzunehmen.

Denn IT-Sicherheit erschöpft sich nicht darin, zu vermitteln, wie Mitarbeitende Spam-E-Mails identifizieren oder einen Anhang auf Malware überprüfen können. Mitarbeitende müssen vielmehr verstehen, warum bestimmte Regeln gelten. Sie müssen deren Vorteile für sich und die Praxis erkennen. Nicht zuletzt müssen sie gewillt sein, die Sicherheitsmassnahmen mitzutragen und IT-Sicherheit im Alltag zu leben. Jede in der Praxis geltende Regel braucht somit eine nachvollziehbare Erklärung.

Anwender sind zwar keine Experten, aber durchaus lernbereit, wenn sie die Zusammenhänge kennen und verstehen. Ein wichtiges Thema, das angesprochen werden muss, ist die Unzulänglichkeit der Technik. Schliesslich müssen die Mitarbeitenden dort in die Bresche springen, wo diese versagt. Doch wäre Angstmacherei verfehlt, eher sollte der Nutzen herausgestellt werden. Viele der essenziellen Regeln und Techniken – zum Beispiel die Nutzung eines Passwort-Safes – lassen sich auch im privaten Umfeld sinnvoll einsetzen. Mitarbeitende und Praxen können so von Schulungen doppelt profitieren, denn positive Erfahrungen der Mitarbeitenden im privaten Bereich kommen letztlich auch der Praxis zugute.

Um eine Praxis gemäss dem Prinzip der integralen Sicherheit auf- und umzubauen, ist die Security Awareness der Mitarbeitenden der Schlüssel. Sich «digitale Instinkte» anzutrainieren, geht aber nicht über Nacht. Dafür braucht es regelmässige Schulungen, am besten über das Jahr verteilt in kleinen Lerneinheiten. Solche können beispielsweise mittels E-Learning einfach in den Alltag integriert werden. Die Werkzeuge stehen bereit – es liegt an den PraxisinhaberInnen, sie auch zu nutzen. 

Durch digitale Achtsamkeit können Risiken minimiert werden. Dafür ist eine gezielte und regelmässige Schulung von Mitarbeitenden wichtig.

HIN bietet Schulungen vor Ort oder in virtuellen Konferenzräumen an. Teilnehmende werden sensibilisiert auf Datenschutz, IT-Sicherheit, Informationssicherheit und Cyberkriminalität im Gesundheitswesen.

In diesem speziell für die Bedürfnisse des Gesundheitswesens entwickelte E-Learning-Portal können sich Mitarbeitende stetig weiterbilden. Zeit- und ortsunabhängig werden die Lerninhalte mit Interaktionen und Videos vermittelt.