Drucker und Multifunktionsgeräte in der Arztpraxis absichern: Patientendaten auf Papier und im Gerätespeicher schützen

Wie sichere ich Drucker und Multifunktionsgeräte in der Arztpraxis ab?

Druckersicherheit in der Arztpraxis heißt, drei Dinge gleichzeitig zu schützen: den internen Gerätespeicher, auf dem Patientendaten landen, den Netzwerkdrucker als möglichen Zugang ins Praxisnetz und die fertigen Ausdrucke, die am Empfang offen liegen. Das BSI empfiehlt dafür Verschlüsselung, sicheres Löschen, Zugriffsschutz und aktuelle Firmware.

Der Drucker ist das Gerät, über das in der Praxis am seltensten jemand nachdenkt. Dabei läuft dort alles durch, was sensibel ist: Befunde, Arztbriefe, Laborwerte, Überweisungen, Rezepte, Abrechnungslisten. Ein Multifunktionsgerät kopiert, scannt, druckt und faxt, und bei jedem dieser Vorgänge entstehen Daten, die irgendwo zwischengespeichert werden.

Die DSGVO verlangt für Gesundheitsdaten nach Art. 9 besondere Schutzmaßnahmen, und zwar entlang der gesamten Verarbeitung. Das endet nicht beim PVS, sondern schließt jedes Gerät ein, das Patientendaten berührt. Der Drucker gehört dazu, auch wenn er leicht übersehen wird. Die grundlegenden Pflichten haben wir im Beitrag zu den DSGVO-Pflichten der Arztpraxis beschrieben.

Quelle: BSI IT-Grundschutz-KompendiumBSI IT-Grundschutz-Kompendium, Baustein SYS.4.1 (Drucker, Kopierer und Multifunktionsgeräte): Empfehlungen zu Festplattenverschlüsselung, sicherem Löschen, Zugriffsschutz und Software-Updates.

Warum der Kopierer ein Datenspeicher ist

Fast jedes moderne Multifunktionsgerät hat eine eingebaute Festplatte oder SSD. Darauf werden Druck-, Scan-, Kopier- und Faxaufträge zwischengespeichert, bei vielen Geräten dauerhaft und im Klartext. In einer Arztpraxis bedeutet das: Monate an Befunden, Arztbriefen und Abrechnungen sammeln sich unbemerkt im Gerät an.

Das wird spätestens dann zum Problem, wenn das Gerät die Praxis verlässt: bei der Leasingrückgabe, beim Austausch gegen ein neueres Modell, bei der Reparatur außer Haus oder bei der Entsorgung. Wer die Festplatte nicht vorher sicher löscht oder ausbaut, gibt einen kompletten Datenbestand aus der Hand. Untersuchungen gebrauchter Kopierer haben wiederholt gezeigt, dass sich darauf noch sensible Dokumente der Vorbesitzer rekonstruieren lassen.

Das BSI ist in diesem Punkt eindeutig. Im Baustein SYS.4.1 empfiehlt es, alle auf geräteinternen, nichtflüchtigen Speichern abgelegten Informationen zu verschlüsseln und möglichst lange Schlüssel zu verwenden. Gelöschte Druckaufträge sollen sicher gelöscht werden, etwa durch Überschreiben mit Zufallswerten, damit sie nicht rekonstruierbar sind.

Netzwerkdrucker als Einfallstor ins Praxisnetz

Ein Netzwerkdrucker ist ein vollwertiger kleiner Computer mit eigenem Betriebssystem, Webserver und Netzwerkzugang. Genau deshalb ist er ein beliebtes Ziel: Er hängt im selben Netz wie das PVS, wird aber selten gepatcht, läuft oft mit Standard-Passwort und fällt bei Sicherheitsmaßnahmen hinten runter. Ein gekapertes Gerät kann als Sprungbrett dienen.

Die typischen Schwachstellen sind schnell benannt. Das Administrationskennwort steht noch auf dem Auslieferungswert oder ist gar nicht gesetzt. Dienste wie FTP, Telnet oder ein offener Fernzugriff sind aktiv, obwohl sie niemand braucht. Die Firmware ist Jahre alt, weil sich niemand zuständig fühlt. Und der Drucker ist per Internet erreichbar, weil er beim Einrichten einfach ins Netz gehängt wurde.

Dagegen hilft dieselbe Logik wie bei jedem anderen Gerät im Netz: Standard-Passwörter ändern, nicht benötigte Dienste abschalten, Firmware aktuell halten und die Geräte möglichst in ein eigenes Netzsegment trennen, das vom PVS-Netz abgeschottet ist. Wie die Segmentierung und die Absicherung des Praxisnetzes grundsätzlich funktioniert, steht im Beitrag zu Firewall und Netzwerksicherheit. Das regelmäßige Einspielen von Updates ist Teil eines sauberen Patch-Managements.

Quelle: KBV IT-Sicherheitsrichtlinie (§390 SGB V, ehemals §75b)KBV IT-Sicherheitsrichtlinie nach § 390 SGB V (ehemals § 75b): verbindliche Anforderungen an die IT-Sicherheit in der Vertragsarztpraxis, inklusive Absicherung von Netzwerkgeräten und Zugriffsschutz.

Ausdrucke am Empfang: das Papierproblem

Die größte Lücke ist oft die banalste: der ausgedruckte Befund, der im Ausgabefach liegt, während im Wartebereich Patienten sitzen. Wer einen Druckauftrag absendet und erst zwei Minuten später zum Gerät geht, legt in der Zwischenzeit möglicherweise Gesundheitsdaten offen. Am Empfang, wo Drucker und Wartebereich oft nah beieinander liegen, ist das Alltag.

Die Lösung heißt vertraulicher Druck, auch Follow-me- oder Pull-Printing genannt. Der Auftrag wird zwar abgeschickt, aber erst gedruckt, wenn sich die Mitarbeiterin direkt am Gerät authentifiziert, per PIN, Mitarbeiterkarte oder Chip. Bis dahin bleibt das Dokument sicher in der Warteschlange. So liegt nichts mehr unbeaufsichtigt im Fach, und versehentlich an den falschen Drucker geschickte Aufträge landen nicht im falschen Raum.

Dazu kommen organisatorische Maßnahmen, die nichts kosten: Drucker aus dem direkten Blickfeld des Wartebereichs stellen, eine Clean-Desk-Regel am Empfang, und die Angewohnheit, Ausdrucke sofort zu entnehmen. Fehldrucke und Makulatur gehören nicht in den normalen Papierkorb, sondern in den Behälter für die sichere Vernichtung.

Festplatte beim Geräteabschied: Leasingrückgabe und Entsorgung

Der riskanteste Moment im Leben eines Multifunktionsgeräts ist der Abschied. Bei Leasingrückgabe, Tausch, Reparatur oder Verschrottung verlässt die Festplatte mit allen zwischengespeicherten Patientendaten die Praxis. Hier entscheidet sich, ob aus einem harmlosen Bürogerät eine meldepflichtige Datenpanne wird. Die Löschung oder der Ausbau der Festplatte muss verbindlich geregelt und dokumentiert sein.

Bei Leasinggeräten ist der entscheidende Satz im Vertrag: Wer löscht die Festplatte, nach welchem Verfahren, und wer bestätigt das schriftlich? Viele Leasinggeber bieten eine zertifizierte Löschung oder die Herausgabe der Festplatte an. Lassen Sie sich die Löschung mit einem Protokoll nachweisen. Der Dienstleister, der dabei auf das Gerät zugreift, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Bei eigenen Geräten, die entsorgt werden, ist der sicherste Weg der physische Ausbau der Festplatte und ihre Vernichtung nach DIN 66399. Eine ausgebaute Festplatte, die geschreddert wird, kann niemand mehr auslesen. Wie der strukturierte Umgang mit ausrangierter Hardware insgesamt aussieht, haben wir im Beitrag zum Hardware-Lifecycle beschrieben.

1. 1
   Gerät und Speicher inventarisieren
   Klären Sie, welches Gerät eine interne Festplatte oder SSD hat und ob dort Aufträge dauerhaft gespeichert werden. Die Angabe steht im Datenblatt oder lässt sich beim Hersteller erfragen. Nur was Sie kennen, können Sie absichern.
2. 2
   Vertrag und Verantwortung prüfen
   Bei Leasinggeräten festlegen, wer die Festplatte löscht oder ob sie ausgebaut wird, nach welchem Verfahren und mit welchem Nachweis. Mit dem zugreifenden Dienstleister einen Auftragsverarbeitungsvertrag abschließen.
3. 3
   Speicher sicher löschen
   Vor der Rückgabe die Hersteller-Funktion zum vollständigen Überschreiben ausführen (Datenbereinigung, HDD Overwrite oder Data Security Kit) und ein Löschprotokoll anfordern. Im Zweifel die Festplatte ausbauen und separat vernichten lassen.
4. 4
   Vernichtung nachweisen lassen
   Bei physischer Vernichtung der Festplatte oder bei Papierbergen einen zertifizierten Entsorger mit Vernichtungsnachweis nach DIN 66399 beauftragen. Den Nachweis aufbewahren.
5. 5
   Vorgang dokumentieren
   Die Löschung und Entsorgung in den technisch-organisatorischen Maßnahmen festhalten. So ist bei einer Prüfung belegbar, dass keine Patientendaten das Haus verlassen haben.

Papierentsorgung: DIN 66399 und Aufbewahrungsfristen

Patientenunterlagen auf Papier gehören zur höchsten Schutzklasse 3 nach DIN 66399. Für die Vernichtung bedeutet das mindestens Sicherheitsstufe P-4, für besonders sensible Dokumente ist P-5 die sichere Wahl. Ein einfacher Streifenschnitt reicht nicht, weil sich die Schnipsel wieder zusammensetzen lassen. Entsorgt wird entweder im geeigneten Aktenvernichter oder über einen zertifizierten Dienstleister.

Bevor überhaupt vernichtet werden darf, sind die Aufbewahrungsfristen zu beachten. Die Patientenakte muss nach § 630f Abs. 3 BGB grundsätzlich zehn Jahre nach Abschluss der Behandlung aufbewahrt werden. Für einzelne Unterlagen gelten längere Fristen: Aufzeichnungen über eine Röntgenbehandlung etwa 30 Jahre. Erst nach Ablauf der Frist dürfen Unterlagen vernichtet werden, und dann eben datenschutzkonform.

Dass die Aufsichtsbehörden den Umgang mit Papier ernst nehmen, zeigt ein konkreter Fall: Eine Arztpraxis erhielt ein Bußgeld von 3.600 Euro, weil sie Patientenakten in einem frei zugänglichen Container entsorgt hatte, teils ungeschreddert, teils nur leicht rekonstruierbar. Geahndet wurde der Verstoß gegen die Pflicht zur sicheren Verarbeitung nach Art. 5 Abs. 1 lit. f und Art. 32 DSGVO. Wer den Weg von der alten Akte zur sicheren Vernichtung sauber organisieren will, findet im Beitrag zur papierlosen Praxis mit Dokumentenmanagement den passenden Ansatz.

Quelle: Deutsches Ärzteblatt: DIN 66399, Datenträger-VernichtungPatientenunterlagen zählen zur Schutzklasse 3, die Vernichtung sollte mindestens in Sicherheitsstufe P-4 erfolgen, für besonders schützenswerte Daten P-5.

Quelle: DSGVO-Portal: 3.600 Euro Bußgeld gegen Arztpraxis wegen unsicherer AktenentsorgungBußgeld gegen eine Arztpraxis wegen Entsorgung von Patientenakten in einem frei zugänglichen Container, Verstoß gegen Art. 5 Abs. 1 lit. f und Art. 32 DSGVO.

Sichere und unsichere Praxis im Vergleich

Der Unterschied zwischen einer abgesicherten und einer ungeschützten Praxis zeigt sich an wenigen, konkreten Punkten. Die folgende Gegenüberstellung macht sichtbar, worauf es bei Geräten, Netzwerk und Papier ankommt und wo die typischen Lücken liegen.

Was die Absicherung kostet

Die Absicherung der Drucker und Multifunktionsgeräte ist überschaubar und steht in keinem Verhältnis zum vermiedenen Risiko. Vieles sind einmalige Einrichtungsschritte, der laufende Aufwand steckt in der normalen Betreuung. Die folgenden Werte sind grobe Orientierung, keine Angebote.

Dem gegenüber steht das Risiko. Eine Festplatte voller Patientendaten, die unkontrolliert die Praxis verlässt, ist eine meldepflichtige Datenpanne mit allen Folgen: Meldung an die Behörde binnen 72 Stunden, mögliche Prüfung, Schadensersatzforderungen und im Ernstfall ein Bußgeld. Der Bußgeldrahmen nach Art. 83 DSGVO reicht bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes, praktisch relevanter sind die kleineren, aber realen Bußgelder wie die 3.600 Euro für die unsichere Aktenentsorgung.

Wie ITCC Ihre Praxis dabei unterstützt

ITCC ist externe IT-Abteilung für medizinische Einrichtungen in der Region Pfalz/Rhein-Neckar und Rhein-Main. Wir sind keine Anwaltskanzlei und ersetzen keine Rechtsberatung, aber wir setzen die Druckersicherheit technisch und organisatorisch so um, dass Patientendaten auf Papier und im Gerät geschützt sind.

Konkret nehmen wir auf, welche Geräte in Ihrer Praxis welche Speicher haben, aktivieren Verschlüsselung und sicheres Löschen, ändern Standard-Passwörter, halten die Firmware aktuell und trennen die Drucker vom PVS-Netz ab. Wir richten vertraulichen Druck ein, damit keine Befunde mehr offen liegen, regeln die Geräteabgabe mit Löschprotokoll und Vernichtungsnachweis und bringen alle Maßnahmen in Ihre TOM-Dokumentation, damit sie bei einer Prüfung belegbar sind.

Wenn Sie wissen wollen, welche Ihrer Drucker und Kopierer heute ein Risiko sind und was sich mit wenig Aufwand absichern lässt, schreiben Sie uns unter info@itcc.de oder rufen Sie an. Sie bekommen eine ehrliche Einschätzung und eine konkrete Liste, ohne langes Erstgespräch ohne Ergebnis.