Eine E-Mail kündigt eine Störung der TI-Zertifikate an. Angeblich müsse die Praxis sofort ein Sicherheitsupdate installieren. Ein Link oder Dateianhang steht bereit. Gerade am vollen Empfang wirkt die schnelle Lösung verlockend. Doch hinter der vermeintlichen Servicenachricht kann ein Phishing-Versuch stecken.

Die gematik hat vor betrügerischen E-Mails gewarnt, die ihren Namen und passend klingende Internetadressen missbrauchen. In einem bekannten Fall wurde über die Absenderadresse security-alert@gematik-telematik.de eine angebliche Fehlfunktion von TI-Zertifikaten gemeldet. Die Adresse wirkt auf den ersten Blick glaubwürdig, gehört aber nicht automatisch zu einem vertrauenswürdigen Absender.

Für Arztpraxen ist diese Masche besonders heikel. Eine Warnung zu E-Rezept, KIM, ePA oder Zertifikaten klingt fachlich plausibel. Zugleich möchte niemand riskieren, dass der Praxisbetrieb ausfällt. Kriminelle nutzen genau diesen Zeitdruck, um Zugangsdaten abzugreifen oder Schadsoftware in das Praxisnetz einzuschleusen.

Warum eine seriös wirkende Absenderadresse nicht genügt

Bei einer Phishing-Mail entscheidet selten ein einzelnes Merkmal. Rechtschreibfehler und ein offensichtlich falsches Logo machen die Sache leicht. Moderne Betrugsnachrichten sind häufig deutlich besser gestaltet. Sie verwenden bekannte Produktnamen, aktuelle technische Themen und eine professionelle Sprache.

Auch die sichtbare Absenderadresse ist kein sicherer Echtheitsnachweis. Sie kann einer offiziellen Domain ähneln, zusätzliche Begriffe enthalten oder technisch manipuliert worden sein. Entscheidend ist deshalb die Gesamtprüfung: Passt die Nachricht zum üblichen Kommunikationsweg? Wurde die Information unabhängig bestätigt? Führt der Link tatsächlich zur erwarteten Internetadresse?

Fünf Warnzeichen für Phishing in der Arztpraxis

1. Die Nachricht erzeugt ungewöhnlichen Zeitdruck

Formulierungen wie „sofort handeln“, „Zertifikat läuft heute ab“ oder „Praxisbetrieb wird gesperrt“ sollen eine Prüfung verhindern. Ein technisches Problem kann dringend sein. Dringlichkeit allein belegt aber nicht, dass eine E-Mail echt ist.

2. Ein Update soll direkt aus der E-Mail installiert werden

Bei einem unerwarteten Download ist Vorsicht geboten. Das gilt besonders für ausführbare Dateien, ZIP-Archive, Office-Dokumente mit Makros oder angebliche Fernwartungsprogramme. Praxissoftware und TI-Komponenten sollten nur über den vorgesehenen, mit dem Anbieter abgestimmten Weg aktualisiert werden.

3. Der Link sieht nur beinahe richtig aus

Zusätzliche Wörter, Bindestriche, vertauschte Buchstaben oder eine ungewohnte Domain-Endung können auf eine Nachahmung hinweisen. Auf dem PC lässt sich das tatsächliche Linkziel meist anzeigen, indem der Mauszeiger ohne Klick über den Link bewegt wird. Auf verdächtige Links sollte dennoch nicht geklickt werden. Rufen Sie die bekannte Website selbst über ein Lesezeichen oder eine manuelle Eingabe auf.

4. Zugangsdaten, PINs oder Zahlungsinformationen werden verlangt

Eine unerwartete Aufforderung, Passwörter, Zugangsdaten, Karten-PINs oder Bankverbindungen einzugeben, ist ein deutliches Warnsignal. Vertrauliche Angaben sollten niemals über eine ungeprüfte Zielseite aus einer E-Mail heraus übermittelt werden.

5. Absender und Inhalt passen nicht zum üblichen Ablauf

Kommt eine technische Anweisung plötzlich von einer unbekannten Stelle? Wird eine Person angeschrieben, die Updates normalerweise nicht betreut? Fehlen Kundennummer, Ansprechpartner oder ein nachvollziehbarer Bezug zur eingesetzten Lösung? Dann sollte die Praxis die Nachricht unabhängig prüfen lassen.

Verdächtige Nachricht erhalten: So gehen Sie richtig vor

Öffnen Sie keine Anhänge und folgen Sie keinem Link. Antworten Sie auch nicht auf die Nachricht. Informieren Sie stattdessen die intern zuständige Person oder Ihren IT-Dienstleister.

Prüfen Sie die Meldung über einen zweiten, bereits bekannten Kommunikationsweg. Nutzen Sie dafür nicht die Telefonnummer oder Internetadresse aus der verdächtigen E-Mail. Rufen Sie beispielsweise die bekannte Supportnummer an oder öffnen Sie die offizielle Statusseite über ein gespeichertes Lesezeichen.

Wenn sich die Nachricht als Fälschung bestätigt, sollte sie als Phishing beziehungsweise Spam markiert und anschließend gelöscht werden. Informieren Sie das Team kurz über die Masche. So verhindert die Praxis, dass dieselbe Nachricht an einem anderen Arbeitsplatz doch noch geöffnet wird.

Ein möglicher interner Ablauf lautet:

  1. Nachricht nicht weiter bearbeiten.
  2. Absender, Betreff und Eingangszeit dokumentieren.
  3. Interne IT-Ansprechperson oder Delfs informieren.
  4. Echtheit über einen bekannten Kontaktweg prüfen.
  5. Team vor gleichartigen Nachrichten warnen.
  6. Bestätigte Phishing-Mail markieren und löschen.

Bereits geklickt? Jetzt zählt ein ruhiges, abgestimmtes Vorgehen

Ein falscher Klick ist unangenehm, darf aber nicht verschwiegen werden. Je früher der Vorfall gemeldet wird, desto besser lässt sich ein möglicher Schaden begrenzen.

Wurde nur eine verdächtige Seite geöffnet, schließen Sie diese und informieren Sie die zuständige IT-Ansprechperson. Geben Sie an, wann und an welchem Arbeitsplatz der Link geöffnet wurde. Löschen Sie den Browserverlauf nicht, bevor der Vorfall geprüft wurde. Solche Informationen können bei der Analyse helfen.

Wurden Zugangsdaten eingegeben, sollten die betroffenen Passwörter unverzüglich von einem vertrauenswürdigen Gerät aus geändert werden. Nutzen Sie dasselbe Passwort noch an anderer Stelle, muss es auch dort ersetzt werden. Bestehende Sitzungen sollten beendet und, sofern verfügbar, eine Mehrfaktor-Authentifizierung aktiviert werden.

Wurde ein Anhang geöffnet, ein Programm ausgeführt oder eine Installation gestartet, trennen Sie den betroffenen Rechner nach Rücksprache beziehungsweise gemäß dem internen Notfallplan vom Netzwerk. Arbeiten Sie nicht einfach weiter. Führen Sie keine eigenständigen Bereinigungsversuche durch und setzen Sie das Gerät nicht voreilig neu auf. Die IT sollte prüfen, ob weitere Systeme, Konten oder Daten betroffen sind.

Besteht der Verdacht, dass Patientendaten eingesehen, verändert oder übertragen wurden, müssen Praxisleitung, IT-Verantwortliche und gegebenenfalls die oder der Datenschutzbeauftragte das weitere Vorgehen bewerten. Dazu gehört auch die Prüfung möglicher gesetzlicher Meldepflichten.

Schulung ist keine Nebensache

Die aktualisierte IT-Sicherheitsrichtlinie der KBV verlangt, dass Praxispersonal in den sicheren Umgang mit der Praxis-IT eingewiesen und regelmäßig geschult wird. Für E-Mails soll der Umgang mit Spam verbindlich geregelt sein. Unerwünschte Nachrichten sollen ignoriert und gelöscht werden; Links darin sollen nicht aufgerufen werden.

Eine jährliche Schulung allein reicht im Alltag jedoch kaum aus. Sinnvoller sind zusätzlich kurze Hinweise bei aktuellen Betrugswellen. Zeigen Sie dem Team ein anonymisiertes Beispiel und klären Sie drei Fragen: Woran war die Fälschung erkennbar? Wer prüft verdächtige Nachrichten? Unter welcher bekannten Nummer ist der technische Ansprechpartner erreichbar?

Wichtig ist eine Kultur, in der Mitarbeitende Unsicherheiten und Fehlklicks sofort melden können. Wer aus Angst vor Vorwürfen schweigt, verschafft einem Angreifer zusätzliche Zeit.

Eine einfache Regel für den Empfang

Technische Warnung plus Zeitdruck plus Link oder Anhang bedeutet: nicht klicken, sondern unabhängig prüfen.

Diese Regel ersetzt keine Firewall, keinen Virenschutz und keine zuverlässige Datensicherung. Sie verhindert aber, dass eine professionell formulierte Nachricht ungeprüft zum Einfallstor wird. Technische Schutzmaßnahmen und geschulte Mitarbeitende müssen zusammenwirken.

Unsicher, ob eine TI-Nachricht echt ist?

Sie haben eine ungewöhnliche Warnung zu TI-Zertifikaten, KIM, E-Rezept oder Ihrer Praxissoftware erhalten? Öffnen Sie keine Anhänge und installieren Sie nichts auf Verdacht. Wenden Sie sich an Delfs. Wir prüfen die Nachricht mit Ihnen und klären, ob in Ihrer Praxis weitere Schritte erforderlich sind.

Quellen