DICOM-Sicherheit: Schutzmaßnahmen für Klinik und Praxis

DICOM-Sicherheit betrifft den gesamten Umgang mit radiologischen Daten: ihren Eingang, die Übernahme ins PACS und die Verarbeitung am Befundungsarbeitsplatz. Neben Bilddaten können DICOM-Dateien auch eingebettete Dokumente enthalten. Deshalb müssen Schutzmaßnahmen sowohl den Import als auch die Anwendungen berücksichtigen, mit denen diese Inhalte geöffnet werden.

Für Kliniken, Praxen und Teleradiologie-Anbieter ist ein abgestimmter Ablauf entscheidend. Freigegebene Importwege, geprüfte Anwendungen, technische Abschottung und klare Zuständigkeiten helfen, Sicherheitsrisiken zu begrenzen und medizinische Informationen verlässlich bereitzustellen.

Externe Untersuchungen erreichen medizinische Einrichtungen über unterschiedliche Wege, etwa Patienten-CDs, USB-Datenträger oder digitale Übertragungen. Für jeden vorgesehenen Eingangsweg sollte feststehen, wie die Daten angenommen, geprüft und weiterverarbeitet werden.

Ein geregelter Importprozess legt fest, welche Arbeitsplätze und Anwendungen dafür freigegeben sind. Mitgelieferte Programme werden nicht ungeprüft gestartet. Für auffällige Dateien braucht es einen gesonderten Prüfweg, bevor sie in den regulären Arbeitsablauf gelangen.

Zur sicheren Dateiannahme gehören mehrere Schutzmaßnahmen. Die Prüfung des Dateityps, die Untersuchung auf Schadsoftware und eine abgesicherte Verarbeitung ergänzen sich. Eine einzelne Kontrolle kann diese Aufgaben nicht vollständig übernehmen.

Neben der technischen Sicherheit muss die medizinische Nutzbarkeit erhalten bleiben. Ein Importverfahren sollte relevante Inhalte und ihre Zuordnung zur Untersuchung bewahren. Sicherheitsprüfungen dürfen nicht dazu führen, dass benötigte Unterlagen unbemerkt fehlen oder verändert werden.

Eine DICOM-Datei repräsentiert ein strukturiertes medizinisches Informationsobjekt. Der Standard sieht unter anderem die Einbettung von PDF-Dokumenten vor, beispielsweise für Befunde oder weitere Untersuchungsunterlagen.

Für einen sicheren Import reicht es deshalb nicht aus, nur die äußere Datei zu betrachten. Auch eingebettete Inhalte müssen im Prüf- und Verarbeitungskonzept berücksichtigt werden.

Der für eingebettete PDFs vorgeschriebene MIME-Typ application/pdf beschreibt das erwartete Format. Er belegt nicht, dass der tatsächliche Inhalt unbedenklich ist. Ebenso wenig liefert die Dateiendung .dcm einen Sicherheitsnachweis.

Für widersprüchliche Typangaben, ungültige Dokumentstrukturen oder nicht unterstützte Inhalte sollte ein definierter Umgang bestehen. Eine ungeprüfte Weiterleitung an beliebige Anwendungen schafft zusätzliche Risiken.

Die Sicherheit eines Dokuments hängt auch davon ab, wie es verarbeitet wird. Deshalb sollten DICOM- und PDF-Viewer durch die IT freigegeben, sicher konfiguriert und aktuell gehalten werden.

Für medizinische Dokumente werden häufig nicht alle Funktionen eines PDF-Viewers benötigt. Externe Verknüpfungen, eingebettete Anhänge oder aktive Dokumentfunktionen können zusätzliche Handlungsmöglichkeiten eröffnen. Welche davon erforderlich sind, sollte anhand des konkreten Arbeitsablaufs festgelegt werden.

Nicht benötigte Funktionen und Zugriffe lassen sich abhängig vom eingesetzten Produkt einschränken. Beispielsweise bietet Adobe Einstellungen zur Begrenzung externer Zugriffe und anderer potenziell riskanter PDF-Aktionen.

Auch Aktualisierungen benötigen eine klare Zuständigkeit. Dazu gehören die Bewertung verfügbarer Sicherheitsupdates, ihre Einführung und die Prüfung, ob die vorgesehenen Dokumente anschließend weiterhin korrekt dargestellt werden.

Eine Sandbox ermöglicht es, Dokumente in einer abgeschotteten Ausführungsumgebung zu öffnen. Zugriffe auf die reguläre Arbeitsumgebung können dadurch begrenzt werden.

Entscheidend ist die konkrete Konfiguration. Netzwerkverbindungen, freigegebene Ordner oder andere Übergänge zur produktiven Umgebung können die Schutzwirkung einschränken. Eine Sandbox mit weitreichenden Zugriffsrechten bietet deshalb eine andere Absicherung als eine konsequent begrenzte Umgebung.

Auch der Rückweg muss geregelt sein: Welche Dateien dürfen die Umgebung verlassen, wie werden sie geprüft und wo werden sie anschließend gespeichert? Das Zurücksetzen der Sandbox beseitigt keine möglichen Veränderungen, die bereits außerhalb dieser Umgebung erfolgt sind.

Sandbox-Verarbeitung ergänzt andere Schutzmaßnahmen. Sie ersetzt weder aktuelle Software noch Virenschutz, beschränkte Berechtigungen oder einen kontrollierten Importprozess.

Ein Sicherheitskonzept muss im Arbeitsalltag anwendbar sein. Dafür sollte klar sein, wer externe Daten annimmt, wer technische Auffälligkeiten bewertet und wer über das weitere Vorgehen informiert wird.

Diese Aufgabenverteilung ist ein organisatorischer Vorschlag. Ihre konkrete Ausgestaltung richtet sich nach den vorhandenen Systemen, Zuständigkeiten und Versorgungsabläufen der Einrichtung.

Schulungen sollten die Situationen aufgreifen, die beim Umgang mit radiologischen Daten tatsächlich auftreten: mitgebrachte Datenträger, eingebettete PDFs, unerwartete Download-Aufforderungen und Sicherheitswarnungen.

Die 2025 aktualisierte KBV-IT-Sicherheitsrichtlinie berücksichtigt die Sensibilisierung und Schulung des Praxispersonals stärker. Die neu hinzugekommenen Anforderungen waren spätestens ab dem 1. Oktober 2025 umzusetzen:  KBV zu den aktualisierten Anforderungen.

Zum sicheren Umgang mit der Praxis-IT gehören auch Regeln für externe Daten und die Nutzung freigegebener Software, nachzulesen unter KBV: Anforderungen für Praxen.

Gut erreichbare Ansprechpartner erleichtern es, verdächtige Inhalte frühzeitig prüfen zu lassen. Sicherheitsabläufe sollten deshalb verständlich dokumentiert sein und auch bei hoher Arbeitsbelastung funktionieren.

In der Teleradiologie werden Daten zwischen unterschiedlichen Einrichtungen und Systemen ausgetauscht. Die beteiligten Partner sollten daher abstimmen, welche Übertragungs- und Importwege vorgesehen sind, welche Dokumenttypen verarbeitet werden und wie technische Rückfragen geklärt werden.

Radiology Advanced behandelt eingehende Dateien unabhängig von ihrer Herkunft als potenzielles Sicherheitsrisiko. Zum Öffnen zugesendeter Dokumente wird eine Sandbox eingesetzt, die nach der Nutzung zurückgesetzt wird. Dieser Ansatz ergänzt die weiteren technischen und organisatorischen Schutzmaßnahmen.

Ein verlässlicher Umgang mit DICOM-Daten verbindet damit kontrollierte Importe, geeignete Anwendungen und technische Abschottung mit eindeutigen Zuständigkeiten im Betrieb.