Eine unerwartete Mail verlangt, den Praxissoftwarezugang noch heute zu bestätigen; sonst werde das Konto gesperrt. Nutzen Sie den Anmeldelink aus der Nachricht nicht. Öffnen Sie den bereits bekannten Zugang über die gespeicherte Praxisadresse oder ein zuvor geprüftes Lesezeichen und fragen Sie den Anbieter über den Kontakt, den Ihre Praxis schon kennt. Haben Sie bereits geklickt, Daten eingegeben oder eine Datei gestartet, nennen Sie genau diesen Schritt. Davon hängt die nächste Maßnahme ab.
Im Fallbeispiel kommt die Nachricht zwischen zwei Aufgaben am Empfang an. Eine Kollegin hat keine Änderung am Zugang begonnen. Sie unterbricht den Wechsel zur Schaltfläche, zeigt die Mail einer zuständigen Person und prüft den behaupteten Auftrag über den bekannten Anbieterweg. Diese Reihenfolge hilft dem Team, den Anlass zu klären, ohne die Nachricht selbst zum Einstiegspunkt zu machen.
easymed läuft im Browser in einer eigenen Praxisinstanz. Das Team erreicht Kalender, Patientenakte und Dokumentation über den gewohnten Praxiszugang. Bei einer ungewohnten Bestätigungsnachricht öffnet es diesen bekannten Weg unabhängig von der Mail und fragt den Anbieter über den vorhandenen Kontakt. So bleibt die laufende Praxisarbeit an der vertrauten Umgebung orientiert.
Die unerwartete Aufforderung vor der Anmeldung stoppen
Die Nachricht behauptet, dass der Softwarezugang kurz vor einer Sperre steht. Damit verbindet sie eine wichtige Praxisaufgabe mit einer sehr knappen Frist. Fragen Sie zuerst, welche Änderung Ihre Praxis selbst angestoßen hat und ob der Anlass dazu passt. Ein nicht erwarteter Bestätigungsauftrag wird nicht allein wegen seiner dringlichen Formulierung zur nächsten Arbeitsaufgabe.
Das BSI beschreibt typische Irrtümer zur E-Mail-Sicherheit. Ein vertrauter Absendername, eine persönliche Anrede, ein passendes Logo oder fehlerfreie Sprache belegen für sich genommen nicht, dass die Nachricht echt ist. Phishing-Mails können bekannte Anbieter nachahmen, persönlich wirken und zu einer schnellen Änderung drängen. Entscheidend ist deshalb, ob Ihre Praxis die konkrete Änderung tatsächlich angefordert hat und ob sie über einen unabhängig bekannten Weg bestätigt wird.
Prüfen Sie den behaupteten Anlass, nicht nur die Formulierung: Hat jemand in der Praxis selbst eine Passwortänderung, Einrichtung oder Kontosperrung veranlasst? Was genau soll bestätigt werden und bis wann? Halten Sie Betreff und Frist für die Rückfrage fest; die Echtheit klärt der Anbieter über den bekannten Kontaktweg.
Den Anbieter über den bereits bekannten Weg erreichen
Öffnen Sie den bestätigten Zugang unabhängig von der Mail. Das kann eine bereits gepflegte bekannte Adresse oder ein zuvor überprüftes Lesezeichen sein. Verwenden Sie die Kontaktangaben, die Ihre Praxis beim tatsächlichen Anbieter schon kennt. Die Telefonnummer oder Rückantwortadresse aus der fraglichen Nachricht wird für diese Prüfung nicht übernommen.
Fragen Sie nach dem konkreten Vorgang: Hat der Anbieter eine Bestätigung angefordert, welche Änderung ist gemeint und über welchen Zugang soll sie vorgenommen werden? Eine normale Anmeldung über die bekannte Adresse klärt zunächst nur, dass dieser Einstieg funktioniert. Sie bestätigt nicht automatisch den Auftrag aus der Mail. Führen Sie eine notwendige Änderung erst über den bestätigten Anbieterweg aus.
Halten Sie die bekannte Praxisadresse und den Supportkontakt dort bereit, wo Empfang und Vertretung üblicherweise Softwarefragen nachschlagen. Im Beispiel findet die Kollegin den Kontakt in den betreuten Unterlagen und fragt nach Betreff und Zeitraum. Der Anbieter ordnet den Vorgang über den bestehenden Supportweg ein. So kann das Team die laufende Kalender- und Dokumentationsarbeit fortsetzen und zugleich eine konkrete Rückfrage verfolgen.
Die tatsächlich erfolgte Handlung offen benennen
Wenn die Kollegin sagt, sie habe bereits geklickt, braucht die IT-Betreuung einen genaueren Stand. Hat sie nur die Nachricht angesehen, eine verlinkte Seite geöffnet, Angaben eingegeben oder eine Datei gestartet? Diese Handlungen werden sachlich benannt. Das Team gewinnt dadurch eine Grundlage für den nächsten Schritt und muss den Ablauf nicht aus Vermutungen rekonstruieren.
Das BSI weist darauf hin, dass HTML-Inhalte bereits beim Anzeigen einer E-Mail aktiv werden können und dass ein angeklickter Link dem Absender zeigen kann, dass die E-Mail-Adresse genutzt wird. Beschreiben Sie daher auch, ob die Nachricht nur geöffnet wurde und ob anschließend etwas Ungewöhnliches zu sehen war. Eine geöffnete Nachricht ist eine andere Beobachtung als eine aufgerufene Anmeldeseite; halten Sie beides getrennt fest.
Im Beispiel hat eine Person die Seite geöffnet, dann jedoch vor der Anmeldung gestoppt. Sie beendet den begonnenen Vorgang und informiert die zuständige Betreuung über die geöffnete Seite und den Zeitpunkt. Die technische Prüfung richtet sich auf diese Beobachtung. Ob ein Download erfolgte oder eine ungewöhnliche Meldung erschien, wird ebenfalls mitgeteilt.
Bei einer Eingabe von Zugangsdaten wird genau das sofort gemeldet. Nennen Sie auch, ob ein zusätzlicher Code eingegeben oder eine unerwartete Freigabe am Smartphone bestätigt wurde. Bestätigen Sie keine weitere, nicht selbst ausgelöste Anmeldung. Wenn eine Datei heruntergeladen, geöffnet oder gestartet wurde, teilen Sie Dateiname, Zeitpunkt und den sichtbaren Ablauf unverzüglich der IT-Betreuung mit. Starten Sie kein Reparatur- oder Sicherheitsprogramm aus der Nachricht.
Geheimnisse gehören nicht in eine allgemeine Fallnotiz. Wenn die Betreuung die ursprüngliche Nachricht für ihre Prüfung braucht, fragen Sie nach dem vorgesehenen sicheren Übermittlungsweg. Das Team übermittelt dann den Fallbezug und die benötigte Nachricht gezielt, statt Link oder Anhang im Kollegenkreis weiterzuverteilen.
Nach preisgegebenen Zugangsdaten den Kontozugang sichern
Die Phishing-Checkliste von Polizei und BSI empfiehlt nach weitergegebenen Zugangsdaten, schnell ein neues Passwort zu setzen, danach alle aktiven Sitzungen zu beenden und das Konto auf Änderungen zu prüfen. Verwenden Sie dafür ausschließlich den bestätigten Zugang des betroffenen Dienstes. Die Phishing-Seite wird nicht für die Änderung verwendet.
Melden Sie die Eingabe unmittelbar dem Anbieter oder der IT-Betreuung. Ändern Sie das betroffene Passwort über den bekannten Weg in ein neues, nur dort verwendetes Passwort. Beenden Sie anschließend alle aktiven Sitzungen, sofern der Dienst diese Einstellung anbietet. Prüfen Sie, ob Kontaktdaten, Wiederherstellungswege oder andere Einstellungen verändert wurden. Ist die Anmeldung nicht mehr möglich, kontaktieren Sie den Anbieter über seine bereits bekannten Kontaktdaten.
Wenn dasselbe Passwort auch bei anderen Diensten verwendet wurde, ändern Sie es dort ebenfalls. Wurde ein geschäftliches E-Mail-Konto eingegeben, prüfen Sie gemeinsam mit der Betreuung besonders die Dienste, die darüber Passwörter zurücksetzen oder eine Anmeldung über dieses Konto anbieten. Teilen Sie außerdem mit, wenn ein zusätzlicher Bestätigungscode eingegeben oder eine Freigabe bestätigt wurde. Der Support kann dann den tatsächlich betroffenen Zugang und weitere nötige Kontoprüfungen einordnen.
Rückmeldung und weitere Praxisarbeit zusammenführen
Halten Sie nach der technischen Bearbeitung fest, welche Maßnahme bestätigt ist, welcher Prüfpunkt noch offen ist und wer die nächste Rückmeldung übernimmt. So kann die Praxis zwischen wieder nutzbarer Termin- und Dokumentationsarbeit und dem noch offenen Sicherheitsvorgang unterscheiden. Ein erfolgreiches Gespräch oder Login wird nicht als Abschluss notiert, solange ein konkret benannter Schritt noch aussteht.
Eine kurze Mitteilung an das Team kann den Betreff und den bekannten Kontaktweg nennen. Verteilen Sie den verdächtigen Link nicht als neue Prüfanweisung. Wenn der bekannte Supportweg in den Praxisunterlagen schwer zu finden war, ergänzen Sie genau diese Fundstelle, damit auch eine Vertretung sie bei der nächsten Rückfrage schnell erreicht.
Den unabhängigen Prüfweg im Team einüben
Nutzen Sie eine vorbereitete Beispielnachricht ohne ausführbaren Link. Eine Kollegin erkennt den behaupteten Bestätigungsauftrag, stoppt die Anmeldung und zeigt den bekannten Zugang sowie den passenden Ansprechpartner. Im Mittelpunkt stehen der unabhängige Einstieg und eine klare Rückmeldung. Das Team soll keine täuschend ähnliche fremde Anmeldeseite erstellen oder echte Zugangsdaten in einen Schulungsfall eingeben.
Lassen Sie das Team anschließend die vier möglichen Stände durchspielen: Nachricht angesehen, Seite geöffnet, Angaben oder Code eingegeben, Datei gestartet. Zu jedem Stand nennt die Person die konkrete Beobachtung, den Zeitpunkt und den passenden Kontaktweg. Besprechen Sie auch, wie eine unerwartete Freigabeaufforderung am Telefon oder Smartphone behandelt wird. Das BSI erklärt, dass Angreifende neben Passwörtern auch zusätzliche Codes oder Freigaben abfragen können.
Halten Sie die bestätigte Praxisadresse und den bekannten Supportkontakt in der internen Kurzanleitung fest. Eine Vertretung findet dort denselben unabhängigen Einstieg. Bei einer unerwarteten Anmeldemail lautet der nächste Schritt: innehalten, den Auftrag außerhalb der Nachricht prüfen und eine bereits erfolgte Handlung genau melden.
