Anlage 1: Anforderungen für Praxen

Nur Apps aus den offiziellen Stores runterladen und nutzen.

Wenn nicht mehr benötigt, Apps restlos löschen

• für IOS: "App Store" 
• für Android: "Google Play" verwenden und in den Sicherheitseinstellungen keine Apps aus externen Quellen zulassen.

• Autoupdates aktivieren

• Verschlüsselung von Android (PIN oder Passwort einrichten)/ IOS ("Code-Sperre") aktivieren.

• Um zu verhindern, dass Apps ungewollt vertrauliche Daten versenden oder aus den gesendeten Daten Benutzerprofile erstellt werden, muss der Datenversand entsprechend eingeschränkt werden.
• Vor der App-Benutzung sollte überprüft werden, ob eine App ungeschützte Protokollierungs- oder Hilfsdateien schreibt, die vertrauliche Informationen enthalten.

• Kein Microsoft 365 (ehemals Office 365), OneDrive verwenden.
• vgl. Anlage 1 - Anforderung Nr. 16

Beseitigung von Rest-Informationen

vor Weitergabe von Dokumenten

• Entfernen der Metadaten wie "Autor(en)", zuletzt "geändert von" der Dokumente unter → Datei -> Eigenschaften. 

• Achten Sie auf sichere 2 Faktor Authentisierung oder 
• verwenden Sie hinreichend komplexe Passwörter (vgl. Anlage 1 - Anforderung Nr. 34) oder Passwortmanager mit generierten Passwörtern.
• Achten Sie auf verschlüsselte Verbindungen vgl. Anlage 1 - Anforderung Nr. 10

• Chrome, Firefox,  Edge mittels "Strg" + "Umschalt" + "Entf": Löschen der Browserdaten
• Safari: "cmd" + "alt" + "E" Löschen der Browserdaten.
• oder Browser wie "Firefox Klar" verwenden, die diese Daten mit einem Klick oder nach Beendigung der Anwendung automatisch löschen.

• Eine Web Application Firewall ist eine Spezialform einer Application Firewall für das HTTP-Protokoll, um die damit verbundeneren Angriffe zu minimieren.
• Bei der Bereitstellung einer web-Anwendung sollten Sie entweder eine open source Lösungen (wie ModSecurity, Waf2Py oder OctopusWAF) oder eine spezielle kommerzielle Appliance verwenden. Zu dem Einsatz einer Web Application Firewall gehört auch die richtige Konfiguration der Firewall, ggf. die Härtung der zugrunde liegenden Hardware und des Betriebssystems und die regelmäßige Wartung und Updates

• Auf https achten, Plug-In/ Erweiterung wie HTTPS Everywhere verwenden
• Beispielsweise statt http://www.kbv.de besser https://www.kbv.de verwenden.
• Dies wird durch ein "Schloss" als Icon im Webbrowser visualisiert. Durch anklicken des Schlosses lasen sich die Informationen zu dem Zertifikat und dem Herausgeber des Zertifikats einsehen.

Schutz vor unerlaubter automatisierter

Nutzung von Webanwendungen

• Mittels des sogenannten "Captcha-Mechanismus" lassen sich automatisierte Zugriffe begrenzen.
• Durch zeitlich verzögerte Anmeldeversuche bei Falscheingaben lassen sich missbräuchliche Anmeldeversuche erschweren.

• Bei der Anschaffung neuer Geräte sollte darauf geachtet werden, dass die Kamera abgedeckt und das Mikrofon ausgeschaltet werden kann, Eine Diode weist meist auf die für aktive Benutzung der Geräte hin, und bietet einen Indikator für missbräuchliche Nutzung.

• z.B. 'Windows' + 'L' für Windows
• oder 'logout' für Linux

• Schützen Sie Ihre Daten durch ein Backup vor Ausfällen von Hard- und Software sowie Verschlüsselungstrojaner.
• Erstellen Sie eine Plan der festlegt, welche Daten wie oft gesichert werden sollen. Kombinieren Sie dabei vollständige Backups und inkrementelle Backups.
• Prüfen Sie regelmäßig, ob sich die Backups fehlerlos wieder zurückspielen lassen.
• Mittels Virtualisierungssoftware lassen sich Abbilder der Rechner erstellen.
• Schützen Sie auch Ihre Backups vor Verlust und ungewolltes überschreiben.
• Prüfen Sie, ob sie die 3-2-1-Regel (3 Kopien auf 2 unterschiedlichen Medien, davon 1 außer Haus) anwenden möchten.

• Verwenden Sie "Windows Defender" oder ein kommerzielles Virenschutzprogramme.
• Konfigurieren Sie welche Daten wann gescannt werden sollen (z. B. alle Dateien vor dem Schreiben, eingehende E-Mail, etc.). 

Endgeräte mit dem

Betriebssystem Windows

• vgl. Anlage 1 - Anforderung Nr. 5
• Deinstallieren Sie "OneDrive". Dazu klicken Sie auf den Windowsbutton, dann auf Einstellungen. Klicken Sie in dem geöffneten Fenster auf "Apps", in der angezeigten App-Liste auf "OneDrive" und deinstallieren Sie die App über den Button "deinstallieren".

Endgeräte mit dem

Betriebssystem Windows

• Regeln Sie die Berechtigungen nach dem Need-to-know-Prinzip. D. h. Jede Person sollte nur so viel Berechtigungen, wie zur Bewältigung der Aufgaben nötig sind, auf Programm-, Datei und Verzeichnisebene erhalten.
• Mittels Gruppen und Rollen lassen sich Berechtigungen für mehrere Personen für Netzfreigaben einrichten. 

Endgeräte mit dem

Betriebssystem Windows

• Jede Verwendung von personenbezogenen Daten muss begründet (Zweckbindung) und in einem "Verzeichnis von Verarbeitungstätigkeiten" nach Artikel 30 DSGVO dokumentiert werden. Dies schließt auch die einzuhaltenden Löschfristen mit ein. Ein Beispiel für solch ein Verzeichnis und eine Ausfüllhilfe dazu gibt es auf den Seiten der KBV unter https://www.kbv.de/html/datensicherheit.php

• Alle (mobilen) Endgeräte sollten vor Schadprogrammen geschützt werden. Im verwendeten Browser sollte die Funktion „Safe Browsing“ bzw. die Funktion zur Warnung vor schädlichen Inhalten aktiviert werden.
• vgl. Anlage 1 - Anforderung Nr. 8
• Seien Sie achtsam bei der Eingabe von Zugangsdaten. Überprüfen sie die URL, Seriöse Anbieter verschicken keine E-Mails inklusive einem Link mit der Aufforderung die Zugangsdaten dort einzugeben. Falls Sie dazu aufgefordert werden besuchen Sie die ihnen bekannten Seiten (z. B. über Bookmarks).

• Die Nutzung der SIM-Karte der Institution sollte durch eine PIN geschützt werden. Die Super-PIN/PUK sollte nur im Rahmen der definierten Prozesse von den Verantwortlichen benutzt werden.

• Alle mobilen Endgeräte müssen so konfiguriert sein, dass sie das erforderliche Schutzniveau angemessen erfüllen. Dafür muss eine passende Grundkonfiguration der Sicherheitsmechanismen und -einstellungen zusammengestellt und dokumentiert werden. Nicht benötigte Funktionen sollten deaktiviert werden.
• Die Freischaltung von Kommunikationsschnittstellen muss geregelt und auf das dienstlich notwendige Maß reduziert werden. Nicht benutzte Schnittstellen sollten deaktiviert werden.
• Überprüfen Sie regelhaft die Datenschutzeinstellungen der Anwendungen (Apps). Wenn sie sich unsicher sind verweigern sie sämtliche Zugriffe.

• Smartphones und Tablets müssen mit einem angemessen komplexen Gerätesperrcode geschützt werden.
• Die Nutzung der Bildschirmsperre muss vorgeschrieben werden.
• Die Anzeige von vertraulichen Informationen auf dem Sperrbildschirm muss deaktiviert sein.
• Alle mobilen Geräte müssen nach einer angemessen kurzen Zeitspanne selbsttätig die Bildschirmsperre aktivieren.
• Nach mehreren fehlgeschlagenen Versuchen, den Bildschirm zu entsperren, sollte sich das mobile Gerät in den Werkszustand zurücksetzen. Es sollten dabei die Daten oder die Verschlüsselungsschlüssel sicher vernichtet werden.

• Der Zugriff von Apps und Betriebssystem auf Daten und Schnittstellen muss angemessen eingeschränkt werden.
• Die Datenschutzeinstellungen müssen so restriktiv wie möglich konfiguriert werden. Insbesondere der Zugriff auf Kamera, Mikrofon sowie Ortungs- und Gesundheitsdaten muss auf Konformität mit den organisationsinternen Datenschutz- und Sicherheitsvorgaben überprüft und restriktiv konfiguriert bzw. deaktiviert werden.

• Die verfügbaren Sicherheitsmechanismen sollten auf den Mobiltelefonen konfiguriert und genutzt werden.
• Die SIM-Karte sollte durch eine sichere PIN geschützt werden.
• Das Mobiltelefon sollte durch einen Geräte-Code geschützt werden.
• Falls möglich, sollte das Gerät an die SIM-Karte gebunden werden (SIM-Lock).
• Die Benutzer sollten über diese Sicherheitsmechanismen informiert werden.

• vgl. Anlage 1 - Anforderung Nr. 2 und Nr. 23
• Ein Backup hilft Ihnen bei einem fehlgeschlagenen Update.
• Überprüfen Sie, ob nach den Updates ungewünschte Einstellungen wie die automatisierte Nutzung von Cloud-Speichern aktiviert wurden.

• Mittels Antiviren- bzw. Anti-Malware-Programmen lassen sich Wechseldatenträger vor der Verwendung auf Schadsoftware prüfen.

• Entweder sollte der Sender eine Liste führen, die eine Kennzeichnung eines Datenträgers eindeutig zuordenbar macht, oder Sender und Empfänger einigen sich auf eine Systematik, die  die Kennzeichnung der Datenträger für beide zuordenbar macht aber keine Rückschlüsse für andere ermöglicht. Z.B. Datenträger: "dd2bbeab-d901-4043-b543-0ce74ce57aae" statt "onkologischer Befund Patient XY".

• Über die Angebote der sicheren Nachweissysteme wie Einschreiben und Wertsendungen informiert Sie ihr Postunternehmen.

• Bevor wieder beschreibbare Datenträger weitergegeben, wiederverwendet oder ausgesondert werden, sollten Sie in geeigneter Weise gelöscht (mit spezieller Software mehrmals mit Zufallswerten überschrieben) werden.
  Diese Funktionalität bieten verschieden kommerzielle Anti-Viren und spezielle open Source Programme an.

• Es wird empfohlen eine Hardware-Firewall einzusetzen und diese nach den eigenen Anforderungen zu konfigurieren und zu warten. Mindestens sollte dabei Folgendes eingestellt werden: 
  • Nur erlaubte Kommunikationsziele (IP-Adressen und Ports) zulassen (eingehend und ausgehend).
  • Nur erlaubte Kommunikationsprotokolle zulassen.
    

• Dokumentation der logischen Struktur des Netzes insbesondere Subnetze und wie das Netz zoniert und segmentiert wird.
• Änderungen im Netzwerk sollten dokumentiert werden.

Für den Management-Zugriff auf Netzkomponenten und auf Managementinformationen muss eine geeignete
Authentisierung verwendet werden.

• Für den Management-Zugriff auf Netzkomponenten und auf Managementinformationen muss eine geeignete Authentisierung verwendet werden.
• Alle Default-Passwörter müssen auf den Netzkomponenten geändert werden.
• Die neuen Passwörter müssen ausreichend stark sein. Es sollten mind. 3 verschiedene Zeichenarten verwendet werden (z. B. Buchstaben, Zahlen und Sonderzeichen). Die Länge eines Passworts sollte mind. 12 Zeichen betragen.