Es ist meins Wissens keine Straftat, von Ransomware heimgesucht zu werden - solange man es nicht provoziert. Ob fahrlässig, entscheidet sich beim genaueren Hinsehen.
Bei der Weitergabe von Daten an ein nicht zulässiges Ziel (wie bofh treffend dargestellt hat) sehe ich persönlich keinen Spielraum hinsichtlich §203 StGB. Würde mein Hausarzt sowas bringen, und ich bekomme es mit, dann entscheidet sich sehr schnell, ob es bei einer Diskussion bleibt oder er mit einem gelben Umschlag rechnen muss.
Und da sind wir am springenden Punkt: Social Engineering im erweiterten Sinn geht in zwei Richtungen. Man KANN mit Ransomware-Banden verhandeln und mit dem richtigen Tonfall und guten Argumenten recht gut aus der Sache herauskommen. Das sind Verbrecher, sicherlich, aber trotzdem noch Menschen und natürlich auf ihren Vorteil und andere (soziale) Belohnungen bedacht. Das ist eher Psychologie als Forensik und Juristerei.
Ebenso kann man mit fast jeder Beschwerde im Bereich der DSGVO oder in anderen Dingen sehr wohl souverän und mit wenig Lärm umgehen.
Das gibt zumindest meine operative Erfahrung her.
Aber das ist eine Sache der persönlichen Einstellung und Bereitschaft, über Schatten zu springen.
So gibt es Ärztinnen und Ärzte, die mehr Zeit mit Rechtsangelegenheiten verbringen als mit Patienten. Natürlich bedingt der Beruf ein erhöhtes passives Klagerisiko, und manche Fachgruppen sind unweigerlich früher oder später von Klagen betroffen. Dennoch fällt auf, dass bei manchen eben mehr, bei anderen eben weniger Fälle eskalieren. Und bei den "Klagemagneten" empfehle ich meist die Abwägung zwischen Eitelkeit und simpler Mathematik... um anschließend Hausverbot zu bekommen -> Das zeigt dann glasklar, wo das Problem liegt.
@Icer: Der DSB in mir sagt, dass man bei entsprechendem Schutzbedürfnis im Idealfall einen Anbieter mit Sitz im EWR nutzt, der "zertifiziert automatisiert" die Beispiele prüft, mit dem entsprechende Verträge abgeschlossen werden können (!), und der z.B. beim Browserschutz keine Logfiles einsammelt usw.
Der DSB in mir sagt auch, dass es sich durchaus aufdrängt, den Unterschied zwischen Verfügbarkeitsrisiko (Ransomware) und Offenbarungsrisiko (Abgriff beim Virenschutz-Anbieter) zu betrachten. Letzteres Risiko ist wähl- oder abwählbar, wobei AV-Engines durchaus selbst ein Einfallstor sein können. Oder auch Telemetrie-Tools wie bei Kaseya zu sehen war.
Windows gegen Ransomware:
Cloudschutz in Windows Defender: Upload von Beispielen. Das kann auch die "Patient-MeyerPeter37762-Onkobefund.zip" sein. KI prüft, KI sagt "ist OK", alles fein. Was passiert mit dem Beispiel, und wo? Im Endeffekt ist es eine erweiterte Heuristik, die dann greift, wenn der Defender lokal kein Urteil fällen will.
Windows Smartscreen: Prüft Dateiquellen auf Reputation, URL, IP. Damit gibt man zwar preis, welche Server man anspricht und was man möglicherweise an ausführbaren Programmen (Installer) ausführt. Interessant ist dabei, dass das auch Wochen nach dem Download noch geprüft wird, u.a. auf zurückgezogene Zertifikate. Nicht übel.
Der "Preis" des cloudbasierten Schutzes beim Defender ist ein erheblicher Impact auf die Performance speziell bei Updates bis hin zu Timeouts. Das ist es nicht wert. Wenn man es wirklich nutzen möchte, dann am besten während der Installation PC vom Netz nehmen (vom Praxisnetz!), Cloudschutz deaktivieren, Installieren, Cloudschutz aktivieren, Praxisserver direkt (solo) ans Internet und das System scannen.
Ransomware: Ich schätze, dass das zu 90% mit lokaler Hilfe reinkommt, und sei es unwissentlich. Hier hilft AWARENESS.
Ransomware: Straftat von extern. Bester Schutz? Offline bleiben, Surffilter vom Feinsten, vielleicht gar mit Positivliste oder über eine Firewall mit Suricata und stündlich aktualisierten EmergingThreats-Regeln oder Badlists von AtomiCorp, Comodo surfen.
Cloudschutz ohne vernünftigen Vertrag mit Anbieter = Wenn DER eine Panne hat und eigene Patienten betroffen sind, sieht man ganz schön alt aus. Egal ob es um Ransomware oder um Offenlegungen geht.
Die Cloud bashen? Im Gegenteil. Clouddienste sind hervorragend und wirtschaftlich. Solange man bei der Nutzung seiner eigenen Verantwortung gerecht werden kann - und dazu gehören Transparenz und Integrität des Anbieters. Wenn die gegeben ist, dann kann man durchaus gewinnend argumentieren, dass das besser ist als eine lokale Datenhaltung in einem löchrigen Praxisnetz.
