Verschlüsselung würde unser Risiko enorm senken

[gelöscht]

Nonstop ver- und entschlüsseln denke ich wäre zu hardwarelastig und langsam auch wenn das die beste Möglichkeit wäre. Die Lösung wäre es nur die aktuellen Patienten entschlüsselt herumliegen zu haben, also ein System mit offenen und geschlossenen Karteien und zugehörige Daten. Das sind pro Praxis ca 50-500 Patienten je nach Fach und Praxisgrösse. Ich gehe mal davor aus, dass die Kommunikation zwischen einer verschlüsselten und unverschlüsselten Datenbank möglich und technisch umsetzbar ist.

Zollsoft unterschätzt leider das Sicherheitsbedürfnis im Bezug auf Hacking, DSGVO, gegenüber Ämtern und Gerichten. Für den Betreiber ist das der grösste Horror mit diesen zu tanzen. Hacker der die Platte verschlüsselt und vorher die Datenbank klaut, das Gericht oder das Amt, das die Dokumentation anzweifelt. Eine Absicherung dieser Felder wäre ein unglaubliches Zugpferd für ein PVS. Also sagen zu können, wir helfen ihnen bei ihrem Sicherheitsrisiko als Betreiber, unser §630f ist zertifiziert, wir arbeiten Richtung "Regeln der Buchführung" aka Revisionssicherheit. Also nicht nur §630f logfile mit extern änderbaren pdf die am Server rumliegen. Wir haben die DSGVO in allen erdenklichen Ecken umgesetzt und haben sogar die Möglichkeit für einen DSGVO Zugang für Behörden, bei einem Hackerangriff können höchstens die Daten der zuletzt geöffneten 100 Akten geklaut werden der Rest ist verschlüsselt. Sie müssen bei Erpressung dann nicht 20.000 Patienten informieren sondern nur 100 und dadurch auch kein Lösegeld zahlen wenn sie ein Backup haben. Das hat aktuell meines Wissens kein PVS. Bei der aktuellen Architektur für Tomedo denke ich auch nicht einfach aber möglich. Statistikabfragen wären recht zeitaufwändig.

Ich denke das wäre sinnvoll umzusetzen bevor der Druck von oben kommt denn die Tendenzen in der IT sind spürbar.

[gelöscht]

Sehr geehrter Herr Balogh,

vielen Dank für Ihre Verbesserungsvorschläge. Wir sind an dem Thema schon länger dran, allerdings ist das nicht "mal eben einfach" zu lösen. Damit Sie Tatsächlich einen Vorteil aus der Verschlüsselung ziehen können, ist es wichtig diese Thematik ganzheitlich zu betrachten und zu unserer Software-Architektur abzustimmen. Ansonsten haben Sie ein Tomedo, was zwar verschlüsselt ist, aber eben auch keinen Automatismus mehr erlaubt, wofür aber viele unsere Kunden tomedo lieben. Hier ist also immer zwischen Sicherheit und Nutzerfreundlichkeit abzuwägen. Gleichzeitig ist es mit einer Verschlüsselung nicht allein getan, denn damit Sie safe sind müssten Sie auch ihren Workflow innerhalb der Praxis sicherheitstechnisch optimieren (Passwort Management, Rechteverwaltung etc.). Geschieht das nämlich nicht, wird jede Verschlüsselung zur Makulatur. An dieser Stelle ist dann auch sowohl in der Praxis als auch bei uns, zollsoft, Kosten-Nutzen sehr genau zu evaluieren.

Eine der ersten Schritte, die wir hier gehen werden, ist eine SSL Verschlüsselung der Kommunikation, welche dieses Jahr noch ausgerollt wird.

Ich hoffe Ihnen damit einen gewissen Überblick gegeben zu haben und auch nochmal das Verständnis geschaffen zu haben, dass wir das Thema bei Zollsoft Ernst nehmen und hier nicht einfach auf die Leicht Schulter nehmen.

[gelöscht]

Was ist los Herr Ivens, das ist ja ganz ungewöhnlich. Zollsoft wird plötzlich seinen Kunden gegenüber transparent? Wenn in diese Richtung gearbeitet wird ist das auf jeden Fall positiv. Vielen Dank.

IT Support

EDIT: Hat bisher über den Umstellungsprozess ohne Zerifikat funktioniert. Wir schließ0en diesen in der kommenden Woche ab und berichten.

Inzwischen ist die Verschlüsselung in den Server-Tools aktivierbar, lt. folgender Anleitung
https://support.tomedo.de/handbuch/server-tools/verschluesselung/

Bedarf es zur Umstellung irgendwelcher Zertifikate oder stellen die Server Tools automatisch ein Zertifikat für die gesicherte Verbindung her? Das geht leider aus der Anleitung nicht hervor.

Falls Zertifikate hochgeladen werden müssen, welchen Anbieter empfehlen Sie bzw. welche Anforderungen an das Zertifikat gibt es bzgl. "Trusted Certficiate"?

David Stenger

Hallo,

ich hatte mir das auch für heute vorgenommen. Man kann bei der erweitierten SSL/TLS-Einstellungen auf "Anzeigen" klicken. Dann werden vorhandene Zertifikate gelistet. Ich habe kein extra Zertifikat erstellt bzw. hochgeladen. Danach startet das tomedo-Server-Modul neu ... oder auch nicht. Bei mir ist der Start fehlgeschlagen. Eine Verbindung der Clients war nicht möglich.

Nachdem ist die SSL/TLS Verbindung wieder deaktiviert habe, wurden das tomedo-Server Modul erneut neugestartet und lief wieder korrekt.

Philipp Steinbach

Hallo die Herren.

wie ist hier der Stand?

Die Funktion der Umstellungsphase ist aktuell noch in der Erprobung. Leider ist der Button für alle zugänglich und eigentlich nicht offiziell unterstützt. Ich habe das mal herausnehmen lassen.

Grundsätzlich ist die Umstellung allerdings möglich und wird bei uns auch auf Rückfragen durchgeführt.

Ich würde Sie nächste Woche einmal kontaktieren und zu Ihren Problemen befragen und gegebenenfalls helfen. Sicher können wir da auch noch etwas von mitnehmen.

Mit freundlichen Grüßen

P. Steinbach

David Stenger

Hallo,

mein Stand ist der oben genannte. Habe es nicht nochmals probiert.

IT Support

Hallo,

bei uns hat die Umstellung relativ gut funktioniert.

Desktop Clients mit tomedo und Arzeko hat funktioniert, teilweise automatisiert, teilweise händischer Eingriff
IPAD Apps: tomedo Apps wurden automatisch umgestellt, bei Arzeko hat es bei einigen funktioniert, bei einigen gar nicht, hier haben wir ein Ticket beim Support öffnen lassen müssen, weil auch das "https zurücksetzen" keine Möglichkeit ergab, dass Verschlüsselungspasswort, das in den Server-Tools kreiert wurde und einsehbar ist, einzugeben. Aktuell funktioniert an einigen IPADs Arzeko nicht.

Wir haben lange gewartet, aber die Verschlüsselung steht bei uns auf oberster Agenda nach einem Cyber-Angriff und damaligen Fragen der ermittelnden Behörden nach interner Verschlüsselung. Das ist super, dass es jetzt klappt.

Geschwindigkeitseinbußen sind gefühlt nicht vorhanden. Wir haben allerdings vorher die Responsezeiten bei http und dann bei https nicht gemessen.

Viele Grüße

Michael Mildner