Ein Hackerangriff bei einem Kollegen war der Weckruf: Allgemeinmediziner Dr. Nils Kathmann hat seine Praxis auf den Ernstfall vorbereitet – mit Notfallboxen, Laptops und klaren Abläufen.

©Hausärztliche Gemeinschaftspraxis Am Rechter „Es gibt Praxisinhabern die Sicherheit für den Fall, dass doch einmal etwas passieren sollte", so Nils Kathmanns Plädoyer für einen Notfall.

Im vergangenen Jahr schrillten bei Dr. Nils Kathmann die Alarmglocken. Ein Kollege hatte dem Allgemeinmediziner erzählt, dass ein Hackerangriff die Praxis eines befreundeten Arztes lahmgelegt hatte. „Da hat sich auch für unsere Praxis die Frage gestellt: Was machen wir eigentlich, wenn so etwas bei uns passieren würde?“, sagt der Hausarzt.

Nils Kathmann ist einer der Inhaber einer größeren hausärztlichen Gemeinschaftspraxis in Westerstede (Niedersachsen). Sieben Fachärztinnen und Fachärzte für Allgemeinmedizin und Innere Medizin, zwei Ärztinnen in Weiterbildung sowie 20 MFAs und Minijobber arbeiten dort. Er ist IT-Verantwortlicher in der Praxis, setzt kleinere IT-Maßnahmen um und hat den Überblick darüber, was ansteht. Er ist jedoch kein IT-Spezialist. Dafür gibt es einen IT-Dienstleister, der die Technik stellt und berät.

Aufgabenverteilung im Ernstfall

Zwar sei es in der Praxis aus technischen Gründen immer mal wieder passiert, dass der Server kurzzeitig ausfiel. Der Cybervorfall, von dem ihm der Kollege berichtete, war nun jedoch Anlass, sich besser auf einen längeren Serverausfall vorzubereiten. „Bei solch einem Plan geht es darum, sicherzustellen, dass Patientinnen und Patienten notfallmäßig betreut werden können und dass solche Patienten, die kein dringendes Anliegen haben, ausbestellt werden können“, sagt der Allgemeinmediziner.

Der Plan, den er mit seinen Kolleginnen und Kollegen ausgearbeitet hat, sieht vor, dass drei Personen von ihren Aufgaben entbunden werden: er selbst, eine Mitarbeiterin, die sich um Technikthemen für die MFAs kümmert und noch eine dritte zu bestimmende Person. Diese drei kümmern sich im Fall der Fälle um dringend anstehende Aufgaben, wie etwa die Anrufe bei der Cyberversicherung und beim IT-Dienstleister. Zudem verschaffen sie sich einen Überblick über die Terminlage an dem Tag.

Wie die Terminverwaltung auch beim Serverausfall funktioniert

Auf den Terminplan kann das Praxisteam auch bei einem Serverausfall zugreifen, weil das Terminservice-System unabhängig vom Server der Praxis läuft. Für den Notfall stehen zwei Laptops bereit, mit denen man per WLAN ins Internet gelangt – das WLAN läuft ebenfalls unabhängig vom Server. Mithilfe der Laptops können die Mitarbeiter dann auf das Termintool zugreifen. Darin gibt es die Möglichkeit, Patientinnen und Patienten für bestimmte Zeiträume abzusagen. Patienten, die die Nachrichtenfunktion des Termintools zugelassen haben, würden eine E-Mail mit der Info zum Vorfall erhalten. Von den Patienten, die dennoch in die Praxis kommen, würden diejenigen, die keine Notfälle sind, wieder nach Hause geschickt. Um im Fall der Fälle zu informieren, hat Nils Kathmann zudem einen Infotext für die Webseite und für Instagram vorbereitet. Auch eine spezielle Bandansage für das Telefon gibt es.

Ein wichtiger Baustein des Notfallplans sind zudem sogenannte Notfallboxen. Die Pappboxen stehen in den Sprechzimmern und enthalten neben Kugelschreibern die Formulare, die für einen Notfallbetrieb nötig sind. Dazu zählen Dokumentationsbögen, die so gestaltet sind, dass man später leicht die notwendigen Informationen ins EDV-System übertragen kann. Die Box enthält zudem Formulare für Überweisungen, Krankenhauseinweisungen, Krankschreibungen sowie Papierrezepte. „Reha-Anträge oder andere Formulare braucht man für den Notfall ja nicht“, sagt Hausarzt Kathmann.

„Mein Ziel ist es, dass alle die Ruhe bewahren“

Einen Plan aufzustellen und Materialien bereitzustellen, reicht natürlich nicht aus. Alle Mitarbeitenden müssen zudem Bescheid wissen, was im Fall der Fälle passieren soll. In der Praxis in Westerstede fand daher eine Schulung statt. Außerdem war der Notfallplan mehrfach in Teammeetings Gesprächsthema. Und auch in einer E-Mail an alle Mitarbeitenden wurde nochmals darauf hingewiesen. „Wir können dennoch nicht erwarten, dass alle auswendig wissen, wie es abläuft“, sagt Nils Kathmann. Für den Allgemeinmediziner ist das aber auch gar nicht entscheidend. Wichtig ist ihm, für das Thema ein Bewusstsein zu schaffen. „Mein Ziel ist es, dass alle die Ruhe bewahren und nicht alle unüberlegt das Gleiche machen.“

Damit es erst gar nicht zu einem Cybervorfall kommt, rät Nils Kathmann, sich auf jeden Fall noch um ein anderes Thema zu kümmern: Phishing, also gefälschte E-Mails, mit denen Kriminelle versuchen, an Passwörter und andere sensible Daten zu gelangen. „Wir können nichts dafür, wenn der Server kaputtgeht oder das Internet ausfällt“, sagt Kathmann. „Aber wir können uns so gut wie möglich davor schützen, dass wir angegriffen werden.“ Beim Phishing lasse man den Angreifer selbst hinein, indem man beispielsweise auf einen Anhang klicke. Nils Kathmann hat daher eine eigene Schulung für seine Mitarbeiterinnen und Mitarbeiter angeboten, damit sie wachsam sind.

Keine Lösung für jede Praxis

Grundsätzlich wichtig als Vorbereitung auf einen Cybervorfall sind zudem Backups der Praxisdaten. In Westerstede wird jeden Abend eine neue Sicherung erstellt. Die aktuellste nimmt Nils Kathmann oder einer seiner Kollegen mit nach Hause, die anderen bleiben in einem feuerfesten Safe. Zudem wird alle drei Stunden eine 1:1-Kopie des gesamten Speichermediums erstellt.

Ist solch ein Notfallplan für alle Praxen sinnvoll? Aus Nils Kathmanns Sicht kommt es auf die Größe und Struktur einer Praxis an. Handelt es sich um kleinere Praxen mit einem Inhaber und nur wenigen Mitarbeiterinnen, die alle nötigen Formulare griffbereit haben? Dann sei solch ein Plan wohl nicht nötig, findet der Hausarzt. In größeren Praxen mit viel Personal sowie einer räumlichen Trennung über mehrere Stockwerke sei es hingegen sinnvoll. „Es gibt Praxisinhabern die Sicherheit für den Fall, dass doch einmal etwas passieren sollte.“ Auch als Nachweis für die Versicherung sei ein solches Konzept sinnvoll.

Der Plan für die Praxis in Westerstede ist nicht in Stein gemeißelt. Man sollte einmal im Jahr draufschauen und überlegen, was gegebenenfalls aktualisiert werden müsse – beispielsweise mit Blick auf die Telefonnummern der wichtigen Ansprechpartner, rät Nils Kathmann. „Ein solcher Plan ist nie abschließend, man lernt ja immer noch etwas Neues hinzu.“