Wie Arztpraxen sichere Passwörter im Team durchsetzen

Bei einem IT-Sicherheitscheck in einer Arztpraxis knackt ein externer Prüfer das Praxis-Login einer Mitarbeiterin innerhalb weniger Sekunden. Das Passwort lautete schlicht „Praxis2024". Für automatisierte Angriffe sind schwache Passwörter wie dieses kein Hindernis, sondern eine offene Tür zu Patientenakten, Abrechnungen und Befunden. Wie lässt sich das verhindern?

Unsichere Passwörter sind dabei kein spezifisches Problem von Arztpraxen. Sie werden ganz allgemein von Nutzerinnen und Nutzern erstellt, die oft gar nicht wissen, wie schnell zu kurze oder einfache Passwörter von Kriminiellen herausgefunden werden können. Gäbe es einen offiziellen, verständlichen Hinweis und eine Hilfe für das Erstellen sicherer Passwörter, würde das Problem erst gar nicht entstehen. Lesen Sie daher in den folgenden Abschnitten, was ein wirklich sicheres Passwort ausmacht und wie Sie es im Team verbindlich durchsetzen. Unsere Mustervorlage für eine Passwortrichtlinie kann Ihnen bei dieser Aufgabe helfen.

Warum ausgerechnet Passwörter in Ihrer Praxis über den Datenschutz entscheiden

In vielen Praxen ist die Anmeldung am PC das einzige, was zwischen einer unbefugten Person und der kompletten Patientenkartei steht. Prüfungen der IT-Sicherheit zeigen in Arztpraxen immer wieder dieselben Schwachstellen: Praxisname, Behandlungsart oder der Name des Arztes als Passwort, dazu geteilte Zugangskennungen und Administratorenrechte für alle Mitarbeitenden. Wurden Zugangsdaten irgendwo gestohlen, können automatisierte Programme in kurzer Zeit sehr viele Varianten durchprobieren. Besonders einfache und häufig genutzte Passwörter werden dabei schnell gefunden.

Für die Praxisleitung hat das zwei Seiten. Zum einen das persönliche Risiko, dass Personen unbemerkt auf Daten zugreifen, für die sie keine Berechtigung haben. Zum anderen das finanzielle Risiko: Bei unzureichenden technischen und organisatorischen Maßnahmen drohen empfindliche Bußgelder. Wer als Praxisinhaber diese beiden Risiken kennt, behandelt Passwörter nicht mehr als lästige IT-Pflicht, sondern als das, was sie wirklich sind. Sie bilden die erste Verteidigungslinie der Praxis.

Wie Sie ein Passwort erstellen, das sicher ist und das Sie sich trotzdem merken

Ein sicheres Passwort muss zwei Dinge gleichzeitig leisten: Es muss für Angreifer praktisch nicht zu erraten sein, und Ihre Mitarbeitenden müssen es sich merken können. Es gibt dafür nicht die eine richtige Formel. Ein Passwort kann kurz und dafür sehr komplex sein, oder länger und dafür leichter zu merken, etwa als Satz aus mehreren zufälligen Wörtern. Wichtig ist vor allem, dass es lang genug und für jeden Zugang einmalig ist.

Manche Programme geben eine Mindestlänge vor, die Sie einhalten müssen. Ungeeignet sind in jedem Fall einfache Wörter, persönliche Angaben oder Passwörter, die schon einmal irgendwo verwendet wurden. Je sensibler die Daten dahinter, desto länger sollte das Passwort ausfallen.

Zwei einfache Erstellungsmethoden helfen dabei, lange Passwörter leichter zu behalten, statt sie offen auf einem Zettel neben dem Monitor zu notieren:

• Satzmethode: Ein Satz, den man sich merken kann, wird zu einer Zeichenfolge – jeder Anfangsbuchstabe eines Wortes ergibt ein Zeichen im Passwort. Der Satz „Am Freitag gibt es immer 2 Portionen Curry-Wurst mit Pommes“ ergibt zum Beispiel das Passwort „AFgei2PC-WmP“.
• Ganzer-Satz-Methode: Ein vollständiger, möglichst sinnfreier Satz wird direkt als Passwort eingetippt, etwa aus zufällig aneinandergereihten Wörtern, zum Beispiel „Nachtsisteskälteralsdraußen".

Ein Wort aus dem Wörterbuch oder ein Name aus dem privaten Umfeld hat in beiden Varianten nichts verloren. Solche Kombinationen probieren automatisierte Angriffe zuerst durch.

Warum jede Person in der Praxis eine eigene Zugangskennung braucht

Dass sich mehrere MFA ein Login teilen – ist aus Datenschutzsicht ein besonders schwerwiegender Fehler. Ohne individuelle Kennung lässt sich im Streitfall oder bei einem Vorfall nicht mehr klären, wer eine Änderung an einer Akte vorgenommen hat. Genau diese Nachvollziehbarkeit verlangt der Datenschutz aber ausdrücklich.

Stellen Sie sich vor, ein Patient wirft der Praxis vor, seine Diagnose sei an einen Dritten weitergegeben worden. Ohne personenbezogene Logins können Sie nicht einmal feststellen, welche Mitarbeiterin die Akte an diesem Tag überhaupt geöffnet hat. Mit individuellen Kennungen dagegen ist die Sache in Minuten geklärt. Die Passwortrichtlinie für Anwender legt genau diesen Grundsatz verbindlich fest, sodass er nicht von der Tagesform einzelner Mitarbeitender abhängt.

Kurz zum Mitnehmen, bevor es weitergeht: Prüfen Sie schon jetzt für sich, ob in Ihrer Praxis jede Person ein eigenes Login hat, ob Passwörter nur bei konkretem Verdacht geändert werden und ob es einen festen Ansprechpartner für Passwortfragen gibt. Wie Sie diese drei Punkte in Ihrer Praxis sauber umsetzen, lesen Sie im Rest dieses Beitrags.

Wie Sie Passwörter bei Eintritt und Austritt einer Mitarbeiterin richtig vergeben und entziehen

Sobald eine neue Kollegin in der Praxis anfängt, muss vorher feststehen, auf welche Systeme sie Zugriff bekommt. Ebenso wichtig ist, wer das entscheidet. Diese fachliche Entscheidung bleibt Aufgabe der Praxisleitung, auch wenn sie im Alltag an eine Führungskraft übertragen wird. Die IT richtet die freigegebenen Zugänge dann technisch ein, entscheidet aber nicht selbst, wer worauf zugreifen darf.

Genauso wichtig ist der umgekehrte Fall: Verlässt jemand die Praxis oder wechselt intern die Position, müssen die alten Zugänge zu dem Zeitpunkt gesperrt oder angepasst werden, ab dem sie nicht mehr gebraucht werden. Die IT muss deshalb rechtzeitig vorher Bescheid wissen. Sie sollte nicht erst durch das nächste Software-Update erfahren, dass ein Login seit Monaten ungenutzt existiert.

• Wer entscheidet über den Zugang? → Die Praxisleitung, ggf. über eine benannte Führungskraft
• Wer richtet den Zugang technisch ein? → IT-Verantwortliche
• Was passiert beim Austritt? → Sperrung oder Anpassung zum richtigen Zeitpunkt, dokumentiert

Die Passwortrichtlinie für Anwender hält für beide Situationen einen klaren Ablauf mit Zuständigkeiten fest, sodass Ein- und Austritte nicht zur Grauzone werden.

Wann ein Passwort wirklich geändert werden muss

Früher galt die Regel, Passwörter alle paar Monate zu wechseln. Diese Praxis gilt heute als überholt, weil sie in Wirklichkeit das Gegenteil bewirkt: Mitarbeitende notieren sich das neue Passwort im Klartext, zählen einfach eine Ziffer hoch oder wählen ein spürbar schwächeres Kennwort, nur um es sich unter Zeitdruck merken zu können.

Sinnvoller ist ein anlassbezogener Wechsel. Ein Passwort wird geändert, wenn es tatsächlich Anzeichen für eine Kompromittierung gibt – etwa, wenn ein Dienst, den Mitarbeitende privat nutzen, von einem Datenleck betroffen war und dasselbe Passwort dort verwendet wurde. Nur der konkrete Verdacht rechtfertigt den Wechsel, nicht der Kalender.

Wie Sie Passwörter sicher aufbewahren, statt sie auf Zetteln zu notieren

Je mehr unterschiedliche, komplexe Passwörter Mitarbeitende sich merken müssen, desto größer die Versuchung, sie doch irgendwo zu notieren. Frei zugängliche Zettel unter der Tastatur, am Monitor oder in einer unverschlossenen Schublade sind dabei ungeeignet, weil damit jeder Schutz durch das Passwort wieder aufgehoben wird. Eine sicher verschlossene Papierlösung kann dagegen in begründeten Fällen infrage kommen, wenn klare Regeln dafür festgelegt sind. Für die meisten Praxen ist ein Passwort-Safe aber die deutlich praktischere Lösung.

Ein von der Praxis freigegebener Passwort-Safe kann die sichere Verwaltung erheblich erleichtern: ein Programm, das alle Zugangsdaten verschlüsselt speichert, sich automatisch sperrt und selbst mit einem starken Master-Passwort geschützt wird. Nach Möglichkeit kommt zusätzlich ein zweiter Faktor zum Einsatz. Wichtig ist außerdem ein geregeltes Vorgehen für Backups, falls das Master-Passwort einmal verloren geht.

Für besonders schützenswerte, selten genutzte Systeme kann ein noch längeres Passwort sinnvoll sein. Wie lang genau, richtet sich nach dem Risiko und den übrigen Schutzmaßnahmen, nicht nach einer festen Zahl. Die Passwortrichtlinie für Anwender benennt konkrete, in der Praxis gängige Programme und legt fest, welches davon in Ihrem Team verbindlich zum Einsatz kommt.

Wo das genutzte System es anbietet, lohnt sich zusätzlich eine Mehr-Faktor-Authentisierung oder ein Passkey. Das gilt vor allem bei Fernzugriffen, Cloud-Diensten und Konten mit erweiterten Rechten. Ein starkes Passwort bleibt wichtig, schützt aber allein nicht vor jeder Form von Phishing oder gestohlenen Zugangsdaten.