Schadsoftware durch Excel und Word verhindern

Eine falsche Dateiendung könnte im schlimmsten Fall dazu führen, dass Sie den Versicherungsschutz Ihrer Cyberversicherung verlieren. Was es damit auf sich hat und wie Sie diesen Fehler vermeiden, erklären die Experten der Ecclesia med.

In der E-Mail Ihres Steuerberaters mit der Betriebswirtschaftlichen Auswertung (BWA) könnte Schadsoftware lauern. Dann nämlich, wenn Sie oder der Absender der E-Mail noch Excel- oder Worddateien mit den Endungen *.doc, *.xls nutzen. Ohne es zu wissen, können Sie sich damit Viren und Trojaner auf den Praxis-PC holen.

Hier erklären wir gemeinsam mit den IT-Experten von Ecclesia med, worin die Gefahr besteht und wie man sie bannt. Ecclesia med ist als Versicherungsmakler auf das ambulante Gesundheitswesen spezialisiert.

Gefahr durch Makros

Seit 2007 – also seit 15 Jahren – gibt es einen neuen Standard für Microsoft Office-Dateien. Aus *.doc für Word-Dateien wurde *.docx, aus *.xls für Excel-Tabellen wurde *.xlsx und aus *.ppt für Powerpoint-Präsentationen wurde *.pptx.

Das hat einen guten Grund: Die früheren Dateiendungen gelten in puncto IT-Sicherheit als veraltet und unsicher. „In die Dateien der alten Office-Programme können sogenannte Makros oder Skripte eingebettet sein. Das sind kleine Programme, die auf das Betriebssystem des Rechners zugreifen, auf dem eine solche Datei geöffnet wird. In diesen kleinen Programmen kann Schadsoftware enthalten sein, die zum Beispiel anderen Schadprogrammen den Zugang zu dem Computer und damit auf das Netzwerk dahinter ermöglicht“, erklärt Henning Weibezahl. Er ist IT-Sicherheitsbeauftragter der Ecclesia med GmbH.

Davon muss der Verfasser der Datei gar nichts wissen. Er selbst ist auch nicht Ziel der Attacke, sondern transportiert den PC-Parasiten einfach unwissentlich. IT-Experten raten deshalb dazu, rasch zu neueren Office-Versionen zu wechseln. Bei Arztpraxen verlangt auch die Verpflichtung zu einem ordnungsgemäßen IT-Betrieb, die Software aktuell zu halten. Microsoft bietet schon seit Jahren keine regelmäßigen Sicherheitsupdates für veraltete und unsichere Versionen von Microsoft Office mehr an.

Viele Institutionen und Anbieter blockieren deshalb automatisch E-Mails mit den problematischen Dateianhängen. „Auch unser Netzwerk der Ecclesia med lässt Anhänge in den alten Office-Formaten nicht mehr passieren“, sagt Weibezahl. Praxen sollten solche Dateien weder per E-Mail noch per Wechseldatenträger (USB, CD-Rom) annehmen. Praxisinhaber sollten dafür mit ihrem IT-Support Kontakt aufnehmen.

Sicherheitsupdates sind eine Auflage der Versicherung

Wer eine spezielle IT-Versicherung abgeschlossen hat, sollte ebenfalls rasch handeln. Frank Schultz, Experte für Cyberversicherungen bei Ecclesia med, warnt: „Zu allen Cyber-Versicherungen gibt es die Verpflichtung, dass der Versicherungsnehmer eine zeitnahe Installation von Sicherheitsupdates und -patches gewährleisten muss.“ Da aber für die alten Office-Produkte keine Updates mehr zur Verfügung gestellt werden, kann der Versicherungsnehmer seiner Verpflichtung zum Patchmanagement gar nicht mehr nachkommen.

Wenn es nachweislich durch die alten Programme zu einem Schadenfall komme, der auf eine nicht mehr geschlossene Sicherheitslücke zurückzuführen sei und damit im direkten Zusammenhang stehe (Kausalität), könne sich der Versicherer auf eine „Obliegenheitsverletzung“ berufen, erklärt Schultz. Denn der Arzt als Versicherungsnehmer trägt die Verpflichtung zur Minderung des Risikos. Das bedeutet, dass er alles dafür tun muss, dass ein Schadenfall möglichst erst gar nicht eintritt.

Die Konsequenzen so einer Obliegenheitsverletzung hängen von den Versicherungs-AGB ab. Im schlimmsten Fall bleibt der Arzt auf dem gesamten Schaden sitzen.

Tatsächlich sind E-Mails der häufigste Weg, wie sich Praxissysteme mit Schadsoftware infizieren. Die häufigsten Bedrohungen für die Praxis-IT stellen wir in unserem Beitrag über Cybercrime vor.

• Prüfen Sie, ob Ihre Office-Software auf dem aktuellen Stand (z. B. Microsoft Office 2016, 2019, 2021 oder 365) ist.
• Prüfen Sie, ob Sie noch Dateien mit den Endungen *.doc, *.xls oder *.ppt verwenden. Öffnen Sie diese Dateien und speichern Sie sie im aktuellen Format (*.docx, *.xlsx, *.pptx) neu ab. Prüfen Sie bei komplexeren Dateien danach Layout und Funktion.
• Wenn Sie E-Mails mit Dateianhängen versenden, nutzen Sie nur die aktuellen, sicheren Dateiformate.
• Besprechen Sie mit Ihrem IT-Dienstleister, ob Ihr IT-Netzwerk bereits ein- und ausgehende E-Mails mit den betroffenen Dateianhängen blockiert bzw. ob dieser Schutz noch implementiert werden muss.
• Sensibilisieren Sie Ihre Mitarbeiter für die erhöhte Gefahr durch bestimmte Dateien, z. B. im Rahmen einer Teambesprechung.
• Prüfen Sie die AGB Ihrer Cyberversicherung und besprechen Sie Fragen mit Ihrem Versicherungsberater.