Plötzlich fällt die EDV aus, nichts geht mehr. Die Patientendaten lassen sich nicht mehr abrufen, Maßnahmen und Befunde nicht mehr dokumentieren. Welche Verantwortung trifft den Arzt?
Der Ausfall der IT ist nicht das einzige zu befürchtende Übel. Auch fehlende, gestohlene oder kompromittierende Daten oder von Unbefugten übernommene Systeme richten erheblichen Schaden an. In einer zunehmend vernetzten Welt sind viele verschiedene Systeme aufeinander angewiesen und voneinander abhängig.
IT-Sicherheit bedeutet, dass alle eingesetzten Informationstechniken oder -technologien (IT) sicher sind. Dazu zählen Hardware- und Softwaresysteme einschließlich der Netzsysteme, selbst Informationen verarbeitende Medizinprodukte. Sicherheit setzt eine geschützte Informationsverarbeitung und Kommunikation voraus. Kurzum: IT soll unterbrechungsfrei arbeiten. Es sollen keine Informationen verloren gehen. Informationen sollen korrekt und manipulationsgeschützt verarbeitet werden, ohne dass Unbefugte Zugriff auf diese Daten erhalten. Passiert dies dennoch, sollen Vorkehrungen getroffen sein, um die IT-Sicherheit weiterhin zu gewährleisten.
Größtes Risiko sitzt vor dem Rechner
Eine große Rolle spielen heutzutage Server. Dennoch bleiben die lokalen PCs und die an diesen arbeitenden, menschlichen Anwender das größte Risiko. Sie sind es, die auf betrügerische E-Mails hereinfallen, unbedacht infizierte Geräte verbinden oder gar manipulierten Webseiten Daten anvertrauen. Ein Grundsatz lautet: schulen, sensibilisieren und motivieren. Zugleich gilt es, die Diskrepanz zu überwinden zwischen den Wünschen der Anwender an die Bedienerfreundlichkeit und die Schnelligkeit sowie den Anforderungen der IT an die Sicherheit.
Dabei sind auch die Mitarbeitenden gefordert. Wer allzu sorglos einen fremden USB-Stick in den Klinik-PC steckt, kann für den durch ihn verursachten Schaden haften. Meist regeln daher betriebliche Vorgaben die Verwendung solcher Geräte, meist wird sie untersagt oder gar technisch verhindert.
Potenzielle Risiken sind nicht nur gestreute oder gezielte Angriffe von außen, beispielsweise über bösartige Software (Ransomware), sondern auch der Ausfall der IT aus anderen Gründen, beispielsweise technisches Versagen der Hardware, Programm- oder Anwenderfehler. Doch selbst der Chefarzt, der sich für ein neues Medizinprodukt interessiert, denkt selten an die resultierenden Probleme. Von CT, MRT oder Röntgengerät über mobile EKG bis hin zu den Infusionspumpen sind zahlreiche Medizinprodukte „netzwerkfähig“, ob kabelgebunden über LAN oder kabellos über WLAN, Bluetooth oder Mobilfunk. Dabei sind nicht nur die Vorgaben der eigenen IT zu beachten, sondern auch die der Hersteller und des Medizinprodukterechts, selbst bei den Updates der Geräte.
Fällt das Gerät aus, ist an Redundanz zu denken. Vertragliche Pflichten oder behördliche Auflagen können ein durchgehend verfügbares oder in bestimmter Zeit wiederherstellbares System erforderlich machen. Dazu zählt dann auch die Redundanz, beispielsweise durch Ersatzgeräte.
Herzschrittmacher leicht manipulierbar
Leider sind selbst Herzschrittmacher und Infusionspumpen für geübte Hacker schnell zu manipulieren. Standardpasswörter und ungeschützte Strukturen erleichtern selbst unbedarften Besuchern den unbeabsichtigten Zugang zu Kliniksystemen. Kaum vorstellbar, wenn Klinikbesucher naiv über ihr Smartphone mit den Einstellungen einer Spritzenpumpe spielen.
Die verantwortlichen Ärzte sollten daher abstimmen, wie sie sämtliche neuen Geräte in das Netzwerk mit ihrer IT einbinden. Ohne Erlaubnis sollte keiner ein Gerät in Betrieb nehmen. Selbst bei Stand-alone-Geräten ohne Netzwerkanbindung sind die dokumentierten Herstellerangaben zwingend zu beachten, beispielsweise um ein neues Passwort zu setzen. Allerdings zeigt die Erfahrung, dass Anwender durchaus auf das Lesen der Handbücher verzichten und sich teils unter Verstoß gegen medizinprodukterechtliche Vorgaben auf eine rudimentäre Einweisung verlassen. Die unter ITlern gebräuchliche Abkürzung RTFM bedeutet übrigens: „Read The Fucking Manual“. Dabei ziehen auch Sachverständige und Richter im Zweifel die Angaben im Handbuch heran, wenn das persönliche Verschulden des Anwenders zu beurteilen ist. Kommt durch einen solchen banalen Fehler ein Patient zu schaden, kann auch der Arzt persönlich haften.
Wie Kliniken digitalen Blackout vermeiden
Die Klinikleitung ist daher gefragt, organisatorische Maßnahmen zu treffen, um einen digitalen Blackout zu vermeiden. Sie muss einen IT-Ausfall umgehend auffangen und Konzepte gegen Manipulation und Informationsabfluss darlegen können. Der Ausfall der IT ist kein unbeherrschbares Ereignis. Dafür müssen Pläne vorhanden sein, die die Mitarbeitenden kennen und mit denen sie vertraut sein sollten.
Derartige Vorfälle sind sicher nicht alltäglich. Doch mit einer angemessenen Vorbereitung und einem strukturierten Notfallmanagement ist es möglich, Patienten weiter zu versorgen. Fallen also die ganze IT oder einzelne Geräte aus, werden falsche Werte angezeigt oder kommt es zu unerwarteten Ereignissen, so steht die Patientensicherheit im Vordergrund. Auch Ärzte müssen den Ausfall der IT durch alternative Maßnahmen beherrschen können. Sie sollten und dürfen sich nicht allein auf die IT verlassen. Das gilt selbst für einzelne Geräte: Zeigen die Geräte unerwartete Befunde an, passt die Dokumentation nicht zum Patienten oder reagiert ein Gerät unerwartet auf die Anweisung des Anwenders, darf sich der Anwender nicht weiter auf die Information verlassen. Wirkt der Patient zyanotisch, stimmt möglicherweise die Sättigungsanzeige nicht.
Interdisziplinäres Zusammenarbeiten
Im Ergebnis heißt das: Mitarbeitende müssen Zwischenfälle erkennen können. Zuständigkeiten und erforderliche Abläufe sind festzulegen und zu trainieren. Die von der Klinik bestimmten, zuständigen Stellen sind zu informieren. Geplante Operationen, die Entlassung sowie die weitere Aufnahme von Patienten sind kritisch zu hinterfragen.
Ein interdisziplinäres Zusammenarbeiten wird immer wichtiger. Es betrifft Ärzte, nichtärztliche Mitarbeitende, Techniker und auch Juristen. Gegenseitiges Verständnis ist dabei essenziell. Denn jede Profession hat ihre eigenen Erfahrungen, die den anderen meist fehlen. Um Fehler im System zu erkennen, sollten die Notfallübungen zwingend auch IT-Probleme im weitesten Sinn umfassen und dabei alle Professionen einbeziehen.
Dtsch Arztebl 2020; 117(40): [2]
Der Autor:
Dr. Andreas Staufer
Partner, Rechtsanwalt, Fachanwalt für Medizinrecht und für Informationstechnologierecht
FASP Finck Sigl & Partner
80336 München
