Wimmelbild – Dr. Nope

Die Universitätsklinika Freiburg, Heidelberg, Tübingen und Ulm kooperieren im Rahmen der Informationssicherheit bereits seit mehreren Jahren. Gefördert durch das Land Baden-Württemberg haben sie nun eine breite Sensibilisierungskampagne für die Mitarbeitenden ins Leben gerufen. Auf diesem Wege sollen die bereits erzielten Fortschritte in der Wahrnehmung und im Umgang mit sensiblen Daten gefestigt und vorangetrieben werden.

Datenschutzerklärung

Impressum

Was sind Social Engineering und Phishing?

Das Bundesamt für Sicherheit in der Informationstechnik definiert Social Engineering so:

„Beim Social Engineering werden menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt, um Personen geschickt zu manipulieren. Cyber-Kriminelle verleiten das Opfer auf diese Weise beispielsweise dazu, vertrauliche Informationen preiszugeben, Sicherheitsfunktionen auszuhebeln, Überweisungen zu tätigen oder Schadsoftware auf dem privaten Gerät oder einem Computer im Firmennetzwerk zu installieren.“

Phishing ist die bekannteste Form des Social Engineering. Der Begriff ist englisch und bezeichnet das „Fischen nach Passwörtern“. Beim Phishing versuchen Kriminelle mithilfe sehr echt wirkender E-Mails, Menschen auf gefälschte Zielseiten zu lotsen, wo sie Passwörter oder persönliche Daten eingeben sollen, die dann abgegriffen werden.

Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Social-Engineering/social-engineering_node.html, 30.3.2022

Regel Nr. 7
Nichts Vertrauliches nach außen tragen

Meist sind es die unbedachten Momente, in denen sensible Informationen nach außen getragen werden. Zum Beispiel wenn man beim Beantworten einer E-Mail den ganzen Verteiler einbezieht oder neue Empfänger hinzufügt. So macht man schützenswerte Inhalte einem größeren Personenkreis zugänglich.

Oft möchte man aber auch ganz bewusst über Erlebnisse aus dem Arbeitsalltag sprechen und interessante Vorfälle teilen. Nicht alles davon ist jedoch für die Ohren anderer bestimmt.

Vertrauliche Geschichten sollten weder in der Kantine noch zuhause zum Besten gegeben werden. Sich im Stadtbus laut über eine Patientendiagnose oder eine interne Entscheidung zu unterhalten, ist ebenfalls keine gute Idee im Sinne des Datenschutzes.

Daher gilt die Regel, dass Vertrauliches nicht nach außen getragen werden darf. Informationen sollten ausschließlich mit Befugten oder im fachlichen Konsil geteilt werden. Sensible Inhalte sind nicht an Orten zu besprechen, an denen Dritte mithören können. Wenn man mit vertrauten Personen über Arbeitsinhalte sprechen möchte, sollte dies ausschließlich ohne Namensnennung erfolgen.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Regel Nr. 6
Dienstliches und Privates nicht vermischen

Tagtäglich bringen Mitarbeiterinnen und Mitarbeiter ihre privaten Kommunikationsgeräte mit ins Klinikum. Das ist grundsätzlich nicht problematisch.

Allerdings ergeben sich erhebliche Risiken in Sachen Datensicherheit, wenn zum Beispiel der Schichtplan über eine Facebook-Nachricht geteilt oder eine Wunde mit dem privaten Smartphone fotografiert wird.

Patientendaten auf einem Datenträger zu speichern, der von zuhause mitgebracht wurde, ist ebenfalls problematisch. Wenn wir die Informationen unseres Klinikums und unserer Patienten und Patientinnen schützen wollen, darf dies nicht passieren.

Daher gilt die Regel, dass keine Klinikums- und Patientendaten auf privaten Kommunikationsgeräten wie Handys gespeichert, empfangen oder versandt werden. Auch ungesicherte Clouds wie Google Drive oder iCloud sowie private USB-Sticks sind tabu.

Sensible Informationen können dagegen, wenn notwendig, auf dienstlichen verschlüsselten USB-Sticks transportiert werden. Auskunft dazu geben die Ansprechpersonen zur Informationssicherheit.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Regel Nr. 5
Keine Patientendaten außerhalb des Kontrollbereichs des Klinikums

Noch rasch die Daten für die Studie einstecken? Die Excel-Tabelle mit dem Einsatzplan fürs Wochenende fotokopieren? Oder zuhause noch einen Vortrag fertigstellen?

Auf diese Weise finden immer wieder Patientendaten oder andere sensible Informationen ihren Weg vom Klinikgelände – zum Beispiel auf ungesicherten USB-Sticks oder als lose Papiersammlung, die ohne Bedacht mitgeführt wird.

Aber der ungesicherte Transport und die externe Verarbeitung der Informationen gefährdet den Schutz der Daten unserer Patientinnen und Patienten und des Klinikums.

Daher gilt die Regel, dass Daten den Kontrollbereich des Klinikums nicht verlassen dürfen. Es sollten nur Möglichkeiten genutzt werden, die das Klinikum für externe Zugriffe und Transporte erlaubt und zur Verfügung stellt. Darüber hinaus sollten Informationen immer systematisch und auffindbar abgelegt werden.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Regel Nr. 4
Keine ungesicherten Informationen am Arbeitsplatz

Am Arbeitsplatz reichen oftmals schon kleine Unaufmerksamkeiten aus, um sensible Informationen für Unbefugte zugänglich zu machen. So bleibt einmal eine Kopie vergessen im Drucker liegen oder eine Patientendiagnose wird auf dem Bildschirm des geteilten PCs nicht wieder geschlossen.

Dies gefährdet den Schutz der Daten von Patientinnen und Patienten und unserem Klinikum.

Daher gilt die Regel, dass sensible Informationen am Arbeitsplatz für Dritte nicht zugänglich sein dürfen. Das bedeutet, dass der Bildschirm bei Abwesenheit gesperrt werden muss. Beim Verlassen eines geteilten Arbeitsplatzes sind die eigenen Anwendungen immer zu schließen. Ausdrucke müssen stets und unverzüglich aus dem Drucker genommen und nicht einsehbar aufbewahrt werden.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Regel Nr. 3
Keine sensiblen Daten auf Social Media und Co.

WhatsApp, Facebook, Telegram und Co. – auch die Mitarbeitenden unseres Klinikums sind gerne in den Sozialen Medien unterwegs. Das ist eine gute Sache, solange sie dort keine dienstlichen Informationen teilen.

Eine Information zu Patient Müllers Zustand, eine weitergegebene Diagnose, ein Ergebnis aus der letzten Vorstandssitzung oder ein Schichtplan – all dies in einem öffentlichen Netzwerk zu teilen, ist keine gute Idee, wenn man Patientinnen und Patienten sowie das Klinikum bestmöglich schützen möchte.

Daher gilt die Regel, dass keine sensiblen Daten über Soziale Medien veröffentlicht und keine dienstlichen Informationen über öffentliche Messenger-Dienste ausgetauscht werden dürfen.

Auch muss auf die Speicherung von dienstlichen Daten in ungesicherten Clouds und Dropboxes verzichtet werden.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Regel Nr. 2
Keine Leichtfertigkeit in Sachen Passwort

„123456“, „Hallo“ und „Schatz“ gehören zwar zu den beliebtesten Passwörtern Deutschlands, doch sie sind keinesfalls sicher. Im Umfeld des Klinikums ist der Einsatz von sicheren Passwörtern allerdings eine wichtige Schutzmaßnahme. Deshalb sollten Mitarbeitende auf derartige Codewörter unbedingt verzichten. Sonst machen sie es Unbefugten leicht, die Zugänge zu entschlüsseln und auf sensible Daten von Patientinnen und Patienten sowie des Klinikums zuzugreifen.

Daher gilt die Regel, dass Passwörter nicht leichtfertig gewählt werden sollten. Sichere Passwörter sind lang und komplex. Wenn sie einfach oder zu kurz sind, bedeutet das meist, dass sie nicht sicher sind. Dienstliche Passwörter sollten sich grundlegend von den privaten unterscheiden.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Regel Nr. 1
Kein unbedachter Umgang mit E-Mails

Ein großer Teil der Mitarbeiterinnen und Mitarbeiter in unserer Organisation bekommt täglich E-Mails.

Doch in der elektronischen Postsendung können gefährliche Inhalte mitgesendet werden. Im privaten Bereich sind einige von uns vielleicht sogar schon kriminellen Phishing-Mails auf den Leim gegangen und haben dabei Geld oder persönliche Daten verloren. Auch kommt es immer wieder vor, dass Hacker so in Computernetzwerke eindringen.

Das muss aber nicht sein. Wir können dabei helfen, Daten und Informationen unseres Klinikums zu schützen.

Daher gilt die Regel, dass Absender und Empfänger der E-Mails immer genauestens geprüft werden müssen. Sind sie bekannt und vertrauenswürdig, können auch Anhänge problemlos geöffnet werden.

Wird man in einer E-Mail dazu aufgefordert, Informationen oder Passwörter preiszugeben, soll man auf einen Link klicken oder einen Anhang herunterladen, so ist Vorsicht geboten. Denn es kann sich dabei um Phishing mit betrügerischer Absicht handeln.

Patientendaten sollten grundsätzlich nicht per E-Mail verschickt werden. Denn E-Mails bieten keinen Schutz gegen unangebrachte Zugriffe von außen.

Auch sollten E-Mails nicht automatisiert an ein externes elektronisches Postfach weitergeleitet werden. Denn wir wissen nicht, wie sicher dieses Postfach ist und haben es auch nicht unter Kontrolle.

Werden diese Verhaltensregeln beachtet, bleiben die Daten unserer Patientinnen und Patienten und die Informationen unseres Klinikums sicher.

Was sind Social Engineering und Phishing?

Regel Nr. 1Kein unbedachter Umgang mit E-Mails

Regel Nr. 1
Kein unbedachter Umgang mit E-Mails