Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit seinem Abschlussbericht zum Projekt „Sicherheit von Praxisverwaltungssystemen“ (SiPra) eine kritische Bestandsaufnahme der IT-Sicherheit in deutschen Arztpraxen vorgelegt. Während der Bericht bei etablierten Praxissoftware-Systemen deutlichen Handlungsbedarf aufzeigt, liefert RED mit der Full-Cloud-Praxissoftware RED medical die technologische Antwort auf die identifizierten Sicherheitslücken.
Strukturelle Mängel in der Breite des Marktes
Der BSI-Bericht stellt fest, dass der Markt der Praxisverwaltungssysteme (PVS) von wenigen Herstellern dominiert wird und technologisch oft auf dem Stand der vergangenen Jahrzehnte verharrt. In der Untersuchung von vier marktrelevanten Produkten wurden teils schwerwiegende Mängel gefunden:
- Veraltete Architekturen: Zwei der untersuchten Systeme nutzen eine 2-Schicht-Architektur, bei der Clients direkt mit der Datenbank kommunizieren. Dies führt laut BSI zu massiven Limitierungen bei Zugriffskontrollen.
- Fehlende Verschlüsselung: Sowohl bei der Speicherung („at rest“) als auch bei der Übertragung von Daten im Praxisnetz wurden erhebliche Sicherheitslücken festgestellt.
- Mangelnde Cloud-Infrastruktur: Eine zentrale Erkenntnis der Herstellerbefragung war, dass kein einziger der untersuchten Anbieter angab, auf ein reines Cloud-Deployment zu setzen.
Jochen Brüggemann, Geschäftsführer von RED, schätzt die Berichtergebnisse wie folgt ein:
„Der SiPra-Bericht ist ein Weckruf. Er beschreibt eine Welt aus On-Premise-Servern und hybriden Notlösungen, die strukturell anfällig sind. RED medical hingegen wurde explizit als Ende-zu-Ende-verschlüsseltes Full-Cloud-System entwickelt, um genau diese Altlasten zu vermeiden. Wir bieten genau die Sicherheit, die das BSI bei den Marktführern einfordert.“
RED medical: Security by Design statt technischer Altlasten
Das mahnende Urteil des BSI stützt sich auf eine Herstellerbefragung sowie die exemplarische Prüfung von vier der 129 in Deutschland zugelassenen Praxisverwaltungssysteme (PVS). Wäre RED medical Teil dieser Stichprobe gewesen, hätte der Bericht ein PVS berücksichtigt, das „Security by Design“ von Beginn an konsequent umsetzt. Denn was das BSI nun branchenweit als „Security by Default“ fordert, ist bei der Full-Cloud-Lösung RED medical bereits technologischer Standard.
RED adressiert die zentralen Kritikpunkte des BSI durch eine moderne Systemarchitektur:
- Echte Cloud-Native Architektur: Keine lokalen Server-Sicherheitslücken und kein administrativer Aufwand für Patches in der Praxis.
- Lückenlose Ende-zu-Ende-Verschlüsselung: Während das BSI das Fehlen von Verschlüsselung bei der Kommunikation und der Datenspeicherung kritisiert, geht RED noch einen Schritt weiter und setzt mit der Verschlüsselung bereits direkt nach der Datenerfassung auf dem Endgerät an.
- Zero-Knowledge-Prinzip: Da die Schlüssel nur auf der Praxisseite bekannt sind, haben weder Administratoren noch Unbefugte Zugriff auf Klartextdaten. Das ist Sicherheit auf dem Niveau des § 203 StGB V. Bestätigt durch das Unabhängige Landeszentrum für Datenschutz.
Der Bericht des BSI legt nahe, dass insbesondere bei vernetzten Zusatzfunktionen die Angriffsoberfläche steigt. RED beweist, dass moderne Vernetzung und höchste Sicherheitsstandards kein Widerspruch sein müssen, wenn die Software von Grund auf sicher für die Cloud konzipiert wurde.
Für weitere Informationen zu sicherer Cloud-Praxissoftware lesen Sie unseren Artikel zum Thema oder kontaktieren Sie RED unter sales@redmedical.de.