Ein Satz, den wahrscheinlich jeder schon einmal gehört hat. Also nahm ich Platz im Behandlungsstuhl und wartete. Die Praxis machte einen hervorragenden Eindruck. Modern eingerichtet, neueste Geräte, digitale Prozesse. Neben mir stand ein Intraoralscanner, mit dem später ein hochpräzises 3D-Modell meines Gebisses erstellt werden sollte. Auf der Website wurde mit modernster Technologie, digitaler Behandlungsplanung und Invisalign-Therapien geworben. Kurz gesagt: Genau die Art von Praxis, die man sich als Patient heute wünscht.
Der Zahnarzt war noch beschäftigt. Und ich war allein. Mein Blick wanderte auf den Computer vor mir. Nicht gesperrt. Auf dem Bildschirm war meine Patientenakte geöffnet. Zahnstatus, Dokumentationen, Behandlungsverlauf, Anmerkungen und geplante Maßnahmen. Nichts Ungewöhnliches. Interessanter wurde es allerdings in der linken Seitenleiste. Dort waren die zuletzt geöffneten Patienten aufgelistet. Mit vollständigem Namen. Eine ganze Liste. Ein einziger Mausklick hätte vermutlich genügt, um zwischen verschiedenen Datensätzen zu wechseln.
Selbstverständlich habe ich nichts angeklickt. Aber genau darin liegt der Kern von Informationssicherheit. Es geht nicht darum, was tatsächlich passiert ist. Es geht darum, was möglich gewesen wäre.
(KI-generiertes Bild zur Veranschaulichung der Situation und zur Wahrung der Anonymität der besuchten Zahnarztpraxis, Bildnachweis Adobe Stock #976135953)
Wenige Minuten zuvor waren verschiedene Aufnahmen für meine geplante Invisalign-Behandlung angefertigt worden. Nicht nur meines Gebisses. Sondern auch von mir selbst. Von vorne. Von der Seite. Mit offenem Mund. Mit geschlossenem Mund. Und natürlich mit einem möglichst freundlichen Lächeln. Schließlich möchte man später dokumentieren können, wie erfolgreich die Behandlung verlaufen ist. Das klassische Vorher-Nachher-Bild. Mein Ausgangszustand. Meine schiefen Zähne. Mein Gesicht. Mein, zugegebenermaßen, wunderschönes Lächeln.
Die Bilder wurden direkt von der Kamera auf das Praxissystem übertragen. Kurz darauf saß ich also vor einem Computer, auf dem nicht nur medizinische Daten gespeichert waren, sondern potenziell auch hochauflösende Portraitaufnahmen meines Gesichts. Direkt neben mir stand zudem der Scanner, der wenige Minuten später ein dreidimensionales Modell meines gesamten Gebisses erzeugen sollte. Während ich dort saß, wurde mir zunehmend bewusst, wie viele sensible Informationen eine moderne Zahnarztpraxis heute eigentlich über ihre Patienten sammelt.
Gesundheitsdaten.
Fotos.
3D-Scans.
Versicherungsdaten.
Abrechnungsinformationen.
Röntgenbilder.
Behandlungsdokumentationen.
Und vieles davon an einem einzigen Arbeitsplatz.
Während ich noch darüber nachdachte, fiel mein Blick auf einen kleinen gelben Post-it. Er klebte direkt an einem Schrank neben dem Behandlungsstuhl. Darauf stand handschriftlich eine Zeichenkombination. Als eine Mitarbeiterin kurz ins Zimmer kam, fragte ich scherzhaft:
„Ist das etwa das Passwort für den Computer?“
Sie lachte.
„Ja, tatsächlich. Sonst kann sich das hier doch niemand merken.“
Ein sympathischer Kommentar. Und gleichzeitig vermutlich die kürzeste Zusammenfassung vieler Sicherheitsprobleme. Der gelbe Post-it wirkte fast wie ein Symbol für die Digitalisierung vieler Organisationen. Auf der einen Seite hochmoderne Technologie. Digitale Patientenakten. 3D-Scanner. Cloud-Anwendungen. KI-gestützte Behandlungsplanung. Auf der anderen Seite ein Passwort auf einem Klebezettel.
An dieser Stelle muss ich fairerweise etwas einordnen. Zum einen arbeite ich seit vielen Jahren in der IT-Branche. Zum anderen bin ich mit einer Zahnärztin verheiratet. Ich kenne daher viele Herausforderungen des Praxisalltags aus erster Hand:
Personalmangel.
Dokumentationspflichten.
Fortbildungen.
Qualitätsmanagement.
Datenschutz.
Abrechnungssysteme.
Behördliche Anforderungen.
Und nebenbei sollen Patientinnen und Patienten natürlich bestmöglich behandelt werden.
Dieser Artikel ist deshalb ausdrücklich keine Kritik an einer einzelnen Praxis. Im Gegenteil. Er beschreibt ein strukturelles Problem. Denn Ärzte und Zahnärzte werden über Jahre hinweg zu exzellenten Medizinern ausgebildet. Sie lernen Anatomie. Therapie. Diagnostik. Chirurgische Verfahren. Behandlungsplanung. Patientenversorgung.
Was sie üblicherweise nicht lernen: Unternehmensführung. Cybersecurity. IT-Risikomanagement. Cloud-Sicherheit. Digitales Marketing. Datenschutz-Folgenabschätzungen.
Trotzdem betreiben viele Praxisinhaber heute mittelständische Unternehmen mit mehreren Mitarbeitern, komplexen IT-Systemen und riesigen Mengen hochsensibler personenbezogener Daten. Von ihnen wird erwartet, gleichzeitig Arzt, Geschäftsführer, Datenschutzbeauftragter, Marketingverantwortlicher und IT-Leiter zu sein. Eigentlich ist es erstaunlich, dass das überhaupt so gut funktioniert.
Besonders die Fotos haben mich nachdenklich gemacht. Denn noch vor wenigen Jahren wären solche Aufnahmen vermutlich vollkommen unkritisch gewesen. Heute leben wir jedoch in einer Welt von Deepfakes, KI-generierten Identitäten und biometrischer Authentifizierung. Gesichter entsperren Smartphones. Fingerabdrücke autorisieren Banking-Apps. Biometrische Merkmale werden zunehmend als digitale Identität genutzt. Und genau deshalb sind moderne Patientenfotos deutlich wertvoller geworden als früher.
Wenn mein Passwort kompromittiert wird, kann ich es ändern. Wenn meine Kreditkarte kompromittiert wird, kann ich sie sperren. Was aber passiert, wenn mein Gesicht kompromittiert wird? Oder meine biometrischen Merkmale? Genau hier beginnt die eigentliche Herausforderung der kommenden Jahre.
Wer glaubt, das sei übertrieben, sollte einen Blick auf aktuelle Entwicklungen werfen. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass moderne Kameratechnik und KI-Systeme biometrische Merkmale aus hochauflösenden Bildaufnahmen extrahieren können. Selbst bekannte Selfies mit dem beliebten Peace-Zeichen können problematisch werden, wenn Fingerkuppen ausreichend detailliert sichtbar sind. Je mehr und je bessere Bilder verfügbar sind, desto einfacher können Fingermerkmale rekonstruiert werden. 
(Stockfoto, Bildnachweis Adobe Stock #260520503)
Das klingt zunächst nach Science-Fiction. Ist es aber längst nicht mehr. Wer heute tausende hochauflösende Patientenfotos speichert, sammelt nicht nur Dokumentationen von Zahnstellungen oder Behandlungserfolgen. Er sammelt biometrische Daten. Und biometrische Daten haben einen entscheidenden Nachteil: Man kann sie nicht zurücksetzen.
Noch kritischer wird es bei einem Verhalten, das vermutlich in vielen Praxen vorkommt. Ein ungewöhnlicher Befund. Eine interessante Aufnahme. Eine Rückfrage an einen Kollegen. Also schnell ein Foto machen. Kurz per WhatsApp verschicken. „Kannst du mal drüberschauen?“ Die Motivation dahinter ist meist vollkommen nachvollziehbar. Das Problem beginnt im Hintergrund.
Plötzlich liegt ein Patientenbild auf einem privaten Smartphone. Vielleicht sogar auf mehreren. In einer privaten Gerätesicherung. In einem Messenger-Verlauf. Möglicherweise noch Jahre später. Und irgendwann stellt sich eine unangenehme Frage: Kann die Praxis eigentlich noch nachvollziehen, wo sich diese Daten befinden?
Hinzu kommt, dass immer mehr Plattformen KI-Funktionen integrieren und Daten für unterschiedliche Zwecke verarbeiten, abhängig von Nutzung, Konfiguration und Vertragsbedingungen. Die eigentliche Gefahr besteht deshalb oft nicht in einem einzelnen Messenger. Sondern darin, dass irgendwann niemand mehr weiß, wo überall sensible Daten gelandet sind.
Viele Praxisinhaber würden vermutlich spontan sagen: „Unsere Patientenfotos liegen auf unserem Praxisserver.“ Die unangenehme Wahrheit lautet häufig: Vielleicht. Und vielleicht auch nicht. Denn moderne Kameras, Smartphones und Bildverwaltungsprogramme sind auf Komfort ausgelegt.
Adobe Lightroom. iCloud. Google Fotos. OneDrive. Dropbox. Creative Clouds. Synchronisationsdienste aller Art. Ein Bild wird aufgenommen. Importiert. Bearbeitet. Gespeichert. Synchronisiert. Gesichert. Und erscheint wenige Sekunden später auf mehreren Geräten gleichzeitig.
Das Problem ist nicht die Technologie. Das Problem ist die Transparenz. Denn stellen wir uns einmal folgendes Szenario vor: Der gelbe Post-it im Behandlungszimmer enthält das Kennwort des Rechners. Aus Bequemlichkeit wird dasselbe Passwort auch für andere Dienste verwendet. Für Lightroom. Für Adobe. Für Microsoft. Für die E-Mail-Adresse. Für den Cloudspeicher. Für praktisch alles.
Plötzlich geht es nicht mehr um einen einzelnen Computer im Behandlungszimmer. Plötzlich geht es um eine Cloud, die möglicherweise tausende Patientenfotos enthält. Vorher-Nachher-Dokumentationen. Portraitaufnahmen. Intraorale Bilder. Behandlungsverläufe. Jahrelang gesammelt. Der entscheidende Unterschied: Für einen Zugriff müsste sich niemand mehr in der Praxis befinden. Niemand müsste das Praxisnetzwerk kompromittieren. Niemand müsste überhaupt das Gebäude betreten. Ein Angreifer könnte theoretisch auf der anderen Seite der Welt sitzen. Mit Benutzername und Passwort. Gerade deshalb sind Cloud-Dienste häufig das attraktivere Ziel.
Während moderne Praxisverwaltungssoftware hoffentlich nur kontrolliert erreichbar ist, stehen Cloud-Anwendungen meist rund um die Uhr weltweit zur Verfügung. Und wenn das Passwort derselbe Kandidat ist, der bereits auf einem Post-it neben dem Behandlungsstuhl hängt, wird aus einer lokalen Schwachstelle sehr schnell ein globales Problem.
Hinzu kommt ein weiteres Phänomen, das vermutlich viele Praxisinhaber kennen. Irgendjemand muss sich um die IT kümmern. Also engagiert man jemanden. Den lokalen Freiberufler. Den Bekannten. Den Studenten. Den Nachbarn. Den günstigsten Anbieter. Denjenigen, der „etwas mit Computern macht“.
Und plötzlich ist dieser Mensch für alles verantwortlich:
Der Drucker druckt nicht.
Das WLAN funktioniert nicht.
Der Scanner hat Probleme.
Der Rechner startet nicht.
Die Website muss aktualisiert werden.
Das E-Mail-Postfach macht Schwierigkeiten.
Der Kalender synchronisiert nicht.
Die Telefonanlage spinnt.
Die neue Mitarbeiterin braucht einen Account.
Die Telematikinfrastruktur meldet Fehler.
Die Kamera überträgt keine Bilder.
(Stockfoto, Bildnachweis Adobe Stock #2160160711)
Und nebenbei soll dieser Dienstleister natürlich noch die gesamte IT-Sicherheit gewährleisten. Das Problem sind oft nicht die Fähigkeiten dieser Menschen. Das Problem ist die Realität. Die meiste Zeit geht für operative Probleme drauf. Der Drucker. Das Kabel. Der Scanner. Die Website. Das Outlook-Postfach. Cybersecurity wird dabei häufig zur Nebensache. Nicht weil sie unwichtig wäre. Sondern weil sie selten akut erscheint. Bis etwas passiert.
Dabei unterscheiden sich moderne Zahnarztpraxen heute kaum noch von mittelständischen Unternehmen. Sie besitzen Kundendaten. Cloud-Systeme. Digitale Produktionsprozesse. Remote-Zugänge.Mobile Endgeräte. Online-Dienste. Komplexe Softwarelandschaften. Der Unterschied ist lediglich: Mittelständler ab einer bestimmten Größe beschäftigen eigene Sicherheitsverantwortliche. Die Zahnarztpraxis hat häufig einen überlasteten Dienstleister, dessen letzter Einsatz darin bestand, ein beim Putzen gelockertes Stromkabel wieder einzustecken.
Besonders häufig hört man deshalb einen Satz:
„Der Rechner hat doch gar kein Internet.“
Als wäre damit jede Gefahr ausgeschlossen. Tatsächlich betreiben manche Praxen bestimmte Systeme bewusst isoliert. Kein Internet. Kein Hacker. Die Logik klingt nachvollziehbar. Die Realität sieht leider komplizierter aus.
Denn moderne Angriffe benötigen oft gar keine aktive Netzwerkverbindung. Sie benötigen lediglich Zugriff. Und genau den hatte ich als Patient schließlich ebenfalls. Moderne Werkzeuge wie Rubber Ducky oder Bash Bunny sehen aus wie gewöhnliche USB-Sticks. Tatsächlich geben sie sich gegenüber dem Computer als Tastatur aus und führen automatisiert Befehle aus. Innerhalb weniger Sekunden. Doch selbst das ist mittlerweile nicht mehr das eigentlich Beunruhigende. Viele vergleichbare Geräte verfügen über eigene Funkmodule oder drahtlose Kommunikationsmöglichkeiten.
Das bedeutet vereinfacht gesagt: Der USB-Stick wird eingesteckt. Screenshots werden erstellt. Patientenakten werden ausgelesen. Bildschirminhalte werden kopiert. Und die Informationen werden drahtlos an ein anderes Gerät übertragen. Während der vermeintliche USB-Stick weiterhin harmlos im Rechner steckt. In diesem Szenario ist es nahezu irrelevant, ob der Computer selbst mit dem Internet verbunden ist. Denn das eigentliche Problem war nie das Internet. Das eigentliche Problem war der unkontrollierte Zugriff.
Die vielleicht unangenehmste Erkenntnis meines Zahnarztbesuchs lautet deshalb: Der größte Risikofaktor sitzt oft nicht in einem fremden Land. Er sitzt manchmal direkt vor dem Bildschirm. Mit Einladung. Mit Patientenstatus. Mit Zugang zum Behandlungszimmer. Mit zehn Minuten Wartezeit.
Als der Zahnarzt schließlich hereinkam, begann die Behandlung ganz normal. Mein Gebiss wurde gescannt, die nächsten Schritte besprochen und kurze Zeit später verließ ich die Praxis wieder. Zurück blieb allerdings ein Gedanke. Die Digitalisierung in Arzt- und Zahnarztpraxen hat beeindruckende Fortschritte gemacht. 3D-Scans, digitale Patientenakten, Cloud-Anwendungen, KI-gestützte Planung und moderne Bildverarbeitung sind vielerorts bereits Alltag. Die Angriffsfläche wächst jedoch mindestens genauso schnell. Und das ist kein Vorwurf.
Es ist die Konsequenz eines Systems, das hochqualifizierte Mediziner gleichzeitig zu Unternehmern, Marketern, Datenschützern und IT-Verantwortlichen macht. Vielleicht sollte sich deshalb jede Praxis eine einzige Frage stellen: Wenn morgen ein externer Spezialist einen Tag lang versuchen würde, auf Ihre Daten zuzugreifen: Würden Sie mit Sicherheit ausschließen können, dass er erfolgreich wäre?
Falls die Antwort nicht sofort und ohne Zögern „Ja“ lautet, ist das keine Schande. Aber möglicherweise ein guter Zeitpunkt, die eigene Sicherheitsstrategie kritisch zu überprüfen. Denn moderne Technik begeistert Patienten. Sie begeistert Ärzte. Und leider manchmal auch Hacker gleichermaßen.
Ein erster Schutz für offene Netzwerkanschlüsse: Die RJ45 Port Buddies von RIEDEL Networks können sich Interessenten auf unserer Website bestellen
*Dieser Artikel wurde unter Betrachtung aktueller Marktgeschehnisse mit Hilfe von Copilot erstellt. Die Prompt-Erstellung und Supervision des Artikels erfolgte durch den Autor, der hierin seine Meinung repräsentiert sieht.
Timo Imbrogno ist Director Marketing bei RIEDEL Networks, sicherlich kein IT-Experte, aber Nerd im Herzen und schaut hin und wieder gerne einmal hinter die Kulissen. Seinen ersten Bug fand er bereits zum Start seiner beruflichen Laufbahn, als Facebook noch richtig angesagt war. Damals in der Veröffentlichungsfunktion von Fanpages und Custom-Apps, die seinerzeit noch wirklich (!) angesagt waren.
Von Zeit zu Zeit juckt es ihn in den Fingern und er schaut sich Dinge nicht nur aus Marketing-Perspektive, sondern mit ganz eigenem Blick auf die Dinge an. Dabei nutzt er gerne auch mal unkonventionelle Ansätze, um seinen Blickwinkel zu verdeutlichen oder zum Nachdenken anzuregen. Erwähnt sei hier exemplarisch die Werbemittelumtauschstation der IT-SA 2024.
Seine Beiträge bewegen sich dabei bewusst an der Schnittstelle von Fachwissen und Humor – und laden dazu ein, auch komplexe Themen einmal aus einer ungewohnten Perspektive zu betrachten.
RIEDEL Networks ist ein in Privatbesitz befindlicher, globaler Netzwerkanbieter, der sich auf maßgeschneiderte Netzwerke konzentriert. Wir sind im Gartner Magic Quadrant für Global WAN Services als Nischenanbieter gelistet, der auf mittelständische internationale Unternehmen und den Medien- und Veranstaltungssektor spezialisiert ist. Mit unserem eigenen globalen Backbone unterstützen wir Unternehmen dabei, weltweit vernetzt zu sein. Unsere Dienstleistungen umfassen Internetverbindungen, MPLS, SD-WAN, SASE, Cloud Connect, Security und vieles mehr. Unsere Kunden stammen aus verschiedenen Branchen und schätzen Qualität, Sicherheit und Zuverlässigkeit. RIEDEL Networks ist ein 100%iges Unternehmen der RIEDEL Communications Gruppe in Wuppertal, Deutschland, und ist vollständig im Privatbesitz von Thomas Riedel.
9 Min. Lesezeit
Timo Imbrogno : Aug 14, 2026, 5:37:43 PM
*Der Kontowechsel, bei dem ich meine Zugangsdaten herausgeben sollte Oder: Warum Cybersecurity manchmal genau dort endet, wo Sicherheitsprozesse...
2 Min. Lesezeit
Michael Martens : Sep 17, 2025, 3:00:00 PM
*Ein Gesundheitscheck 2024 mit Augenzwinkern „good news / could-do-better“ Die Netze der EU hatten ein ereignisreiches Jahr: 188 meldepflichtige...
3 Min. Lesezeit
Michael Martens : Mar 24, 2026, 4:56:12 PM
*Per Anhalter zur digitalen Souveränität Lieferung aufgrund realer Gegebenheiten auf unbestimmte Zeit verzögert Es ist eine wohlbekannte...
