"Rauchende Köpfe"3, 2, 1… Meins: Praxisdaten richtig schützen

Jede Praxis muss geeignete Sicherungsmaßnahmen für die von ihr verarbeiteten Daten ergreifen. Dies ist einerseits eine Pflicht. Andererseits sollte jedem daran selbst gelegen sein, denn wer am Quartalsende kurz vor der Abrechnung die Arbeit von drei Monaten “verliert”, dürfte ein gravierendes finanzielles Problem bekommen – von haftungsrechtlichen Fragen ganz zu schweigen.

Wie sehen geeignete Sicherungen aus und welche Spezialisten sollte man als Praxis hinzuziehen? Die “Rauchenden Köpfe” haben mit IT-Experten Daniel Köhler einen Vorschlag dazu erarbeitet.

Zu unterscheiden sind dabei zwei Begriffe: Der Datenschutz regelt den Umgang mit der Vertraulichkeit von Daten. Die Datensicherheit hingegen regelt, dass die erhobenen Daten und im besten Fall die gesamte EDV-Struktur der Praxis sicher sind und sie bei Bedarf (schnell) wiederherzustellen ist.

Zum Glück “brennt” es relativ selten in Arztpraxen, aber Diebstahl, Verlust, Löschung (unbeabsichtigt oder mutwillig), Verschlüsselungstrojaner/Viren oder Systemfehler treten häufiger auf, als man es sich wünscht.

Unabhängig von der Ursache des Datenverlusts ist daher ein Backup wichtig. Ein echtes Backup ist immer eine Sicherung/Kopie von Daten, die auf einem dafür vorgesehenen Medium regelmäßig gespeichert werden. Die “Rauchenden Köpfe” schlagen daher vier Regeln vor, wie Sie Ihre Daten mit Backups richtig schützen können.

Sicherung nach 3-2-1-Prinzip

Regel 1 ist daher: Machen Sie regelmäßig Backups – und kontrollieren Sie diese! Viele Praxen vertrauen aus unserer Erfahrung auf eine Sicherungsstrategie, die sie vor Jahren einmal eingerichtet haben – eine Überprüfung findet leider selten bis nie statt. “Was tun, wenn es brennt?”, fragt man sich im Praxisalltag einfach zu selten.

Übrigens: Für Hardwareprobleme sind Festplattenspiegelung per RAID (www.wikipedia.org/wiki/RAID) und Virtualisierung (www.wikipedia.org/wiki/Virtuelle_Maschine) die üblichen Abhilfen. Das sind aber keine Backups im eigentlichen Sinne.

Regel 2: Damit Sie Ihr Backup im Notfall nutzen können, sichern Sie nach der 3-2-1-Regel: 3 Datensätze auf 2 unterschiedlichen Medien und davon 1 an einem anderen Ort.

Sie haben also das Original in der Praxis im Gebrauch. Idealerweise legen Sie mindestens täglich eine Kopie an (s. Kasten unten) sowie eine externe Kopie als sogenanntes Offsite-Backup außerhalb der Praxis.

Das Offsite-Backup sollte wegen erhöhter Ausfallgefahr (wie Defekt durch Sturz oder Verlust) nicht immer auf dasselbe Speichermedium gesichert werden, sondern zum Beispiel im werktäglichen Wechsel auf fünf unterschiedliche Speichermedien. Wer noch sicherer gehen möchte, legt zusätzlich wöchentliche oder monatliche Sicherungen an.

Wichtig: Die externe Kopie kann immer auch in falsche Hände gelangen. Das externe Backup muss daher zwingend “nach Stand der Technik” verschlüsselt vorliegen!

Eine elegante Variante für das Offsite-Backup ist eine verschlüsselte automatisierte externe Sicherung auf einen externen Cloudspeicher. Dies kann man sich entweder bei professionellen Anbietern gegen meist speicherplatzabhängige Gebühr als Dienstleistung einkaufen (ab 3 Euro/Monat je 100 Gigabyte zusätzlich zu Backupsoftwarekosten) oder man lässt sich seitens des IT-Dienstleisters eine private Cloud einrichten, bei der etwa in der privaten Wohnung ein NAS (netzgebundener Speicher) als zusätzlicher Speicherort fungiert.

Wichtig: Grundbedingung für eine Cloudnutzung ist allerdings immer ein hinreichend schneller Internetzugang (v.a. im Upload oft das Nadelöhr). Hier sind 50 Mbit im Download und 10 Mbit im Upload das meist ausreichende Minimum.

Gerade für den Praxisurlaub oder bei menschlicher Bequemlichkeit entfällt es bei der Cloud daran zu denken, das physische Speichermedium mitzunehmen. Ein Nachteil an der privaten Cloud sind in der Regel die höheren Kosten bei Ersteinrichtung und ein etwas höherer Aufwand bei der Administration.

Team einbeziehen

Regel 3: Sensibilisieren Sie Ihr Team für die Datensicherung und deren Kontrolle. “Die Dienstags- und die Freitagsplatte machen seit einem Monat immer Fehlermeldung, können Sie mal schauen”, ist leider nicht nur ausgedacht.

Hier ist es sinnvoll auf mehrere Köpfe mit gegenseitiger Kontrolle die Aufgabe zu verteilen und etwa automatisierte E-Mailmeldungen mit penetranten Fehlermeldungen einzurichten. Wichtig: Sie als Praxisleitung sollten im eigenen Interesse immer regelmäßig prüfen und ggf. mit dem IT-Dienstleister abstimmen, dass dieser ebenso Berichte der Sicherungen auswertet.

Was ist zu sichern?

Was muss aber eigentlich gesichert werden? Die Datenbank der Praxisverwaltungssoftware (PVS) ist erstmal einleuchtend. Idealerweise liegt neben einer Kopie des Servers mit all seinen Einstellungen, aber auch von jedem PC mit dort angeschlossenen Geräten und nur dort installierter Software (wie etwa EKG, Lungenfunktion, Langzeit-Blutdruck, Langzeit-EKG, Laborsoftware usw.) vor, um längeren und teuren Praxis-Stillstand wegen defekter Hardware zu vermeiden.

Auch die Datenbank angeschlossener Geräte wie das Sonogerät mit eigenem Speicher muss immer wieder gesichert werden. Sollte es in Ihrer Praxis üblich sein, auf dem lokalen Praxis-PC Daten auf dem Desktop oder der dortigen Festplatte zu speichern, dann sind auch diese zu sichern, wenn diese nicht verloren gehen dürfen.

Tipp: Da das gerade in größeren Praxen mit vielen Client-PC sehr aufwendig werden kann, macht es Sinn, einen zentralen Speicherplatz im Netzwerk zu schaffen. So kann sichergestellt werden, dass keine Daten vergessen werden und der Wartungsaufwand minimiert wird. Hierfür lässt sich am Server ein Unterordner als sogenanntes Netzlaufwerk freigeben, welches bei den Clients als Standardspeicherplatz zu nutzen ist.

Mit der Serversicherung erfolgt dann auch die Sicherung der Clientdateien. Ein weiterer Vorteil eines solchen Netzlaufwerks ist der arbeitsplatzunabhängige Zugriff auf die dort gespeicherten Dateien: Man kann also in Sprechzimmer 1 auf die Datei zugreifen, die im Sprechzimmer 2 gespeichert wurde. Häufig benutzte Vorlagen müssen dann auch nicht auf jedem Client als Kopie zusätzlich gespeichert werden.

Werden Sie zum “Master of Desaster”

Regel 4:Entscheidend für eine gute Backup-Strategie ist es, dass Sie die Wiederherstellbarkeit der Daten immer mal wieder stichprobenartig prüfen und idealerweise auch mal ein “Desaster-Recovery” durchführen. Sie durchlaufen dabei Schritt für Schritt, was bei einem IT-Notfall zu tun ist und wie Sie die externe Sicherung wiederherstellen, um die Praxis wiederzubeleben.

Diese Schritte sollten Sie festgelegt haben und immer mal wieder üben. Natürlich ist das nicht kostenlos machbar. Aber das ist ein Reanimationstraining für Patientennotfälle mit externen Dienstleistern auch nicht.

Wichtig: Bei Cloud-PVS scheint all dies auf den ersten Blick nicht notwendig zu sein. Sie müssen dann aber auf deren Backup-Strategien sowie bei ggf. anstehendem Wechsel zu einem anderen PVS immer bedenken: Die Kopie in Ihrer Praxis fehlt – Ihre Daten sind immer woanders. Tipp: Regeln Sie daher immer vorab schriftlich, wie die Daten ausgelesen und Ihnen zur Verfügung gestellt werden und nicht zuletzt: Was das alles kostet.