Vorbefunde von anderer Praxis via USB-Stick (PDF)

[haba]

Bei uns erscheinen aktuell, aufgrund der Aufgabe einer Praxis in der Nähe, zahlreiche Patienten mit Vorbefunden im PDF-Format auf USB-Stick.
Die Vorbefunde sollen in Turbomed importiert werden.
Nun haben wir Bedenken bzgl. der Sicherheit solcher USB-Sticks.
Wie geht man am besten vor um zu verhindern dass Viren ins Praxissystem gelangen?
(insbesondere wenn der USB-Stick vorher ggf auch vom Patienten noch am eigenen PC geöffnet wurde)
Und gibt es Tipps wie man dies möglichst effizient gestaltet?

[baerdoc]

Bei uns kommt kein USB-Stick, keine CD oder DVD und auch kein Dateianhang an/in einen Praxiscomputer.
Alle externen Dateien werden an einem separaten MAC geöffnet, auf Viren geprüft und per PDF-Druck als neue Datei gespeichert.

Ist vielleicht etwas neurotisch, damit kann ich aber gut schlafen!

[Nobbie]

Dem kann ich nur zustimmen, bei uns ist Stickverbot, nur unsere Datensicherungsplatten werden am USB angeschlossen. Das mit dem MAC ist keine schlechte Idee, nur hat nicht jeder einen. Ich würde den Patienten sagen, die sollen die wichtigen Befunde faxen, die landen dann als PDF in der Fritzbox und können von da bei dem Pat. importiert werden. Mail-Anhänge würde ich auch nicht akzeptieren.

[Kasimir]

... und per PDF-Druck als neue Datei gespeichert...

Und wenn man, so so wie ich, jahrzehntelang alle Befundberichte usw. gescannt und als jpg-Dateien in die Karteikarte übernommen hatte, kann man die PDF-Dateien nach der Virenüberprüfung auf dem externen Rechner natürlich auch mit fast jedem PDF-Drucker gleich in jpg-Dateien umwandeln, so dass sie sich nahtlos in die bisherige Struktur der Turbomed-Karteikarte einfügen.

[streller]

... und per PDF-Druck als neue Datei gespeichert...

Und wenn man, so so wie ich, jahrzehntelang alle Befundberichte usw. gescannt und als jpg-Dateien in die Karteikarte übernommen hatte, kann man die PDF-Dateien nach der Virenüberprüfung auf dem externen Rechner natürlich auch mit fast jedem PDF-Drucker gleich in jpg-Dateien umwandeln, so dass sie sich nahtlos in die bisherige Struktur der Turbomed-Karteikarte einfügen.

Hier wäre ich für einen Tipp/Link dankbar wie das geht

[Kasimir]

Zum Erstellen von PDF-Dateien habe ich immer "PDFCreator" benutzt. Hier kann man einstellen, wenn man statt einer PDF-Datei zum Beispiel eine jpg-Datei erstellen will.

Zum Anschauen/Öffnen einer schon vorhandenen PDF-Datei habe ich immer den "PDFXVwer" benutzt, den Turmomed standardmäßig immer mitliefert (in "Turbomed\ExtPrg\PDF" zu finden). Hier kann man, wenn man eine PDF-Datei geöffnet hat, diese in eine Bilddatei "exportieren" (Standartmäßig ist "tiff" eingestellt, man kann aber auf "jpg" umstellen - muss das aber nach jedem TM-Update einmalig neu einstellen). Mehrseitige PDFs werden dann aufgesplittet in mehrere jpg-Dateien, die man dann in einem Rutsch per Drag und Drop in die Karteikarte ziehen kann. Und so gibt es keinen Unterschied mehr zu den normalen eingescannten Dokumenten.

[michael]

Ist vielleicht etwas neurotisch, damit kann ich aber gut schlafen!

Bei uns gerade 4000 Mitarbeiter eines grossen Konzerns in Kurzarbeit/ Zwangsurlaub. Die wurden gehackt! Derzeit geht nichts mehr.
Und die haben sicher Geld in die Sicherheit gesteckt.

Soviel zum Thema "neurotisch"

Viele Grüße

michael

[haba]

Vielen Dank für die zahlreichen Antworten! Ich sehe nicht nur ich halte das Einlesen von USB Sticks für problematisch.
Wenn man die PDF Dateien auf einem separaten PC als PDF Datei oder JPg gedruckt hat wie bekommt man diese dann am sinnvollsten auf den Praxis-PC? (Nicht dass wenn man dies z.b. auch 0er USB Stick macht sich das Virus selbst auf diesen kopiert und doch in die Praxis gelangt?)

[Forti]

Aus einer ähnlichen Erwägung heraus habe ich einen "Faxempfangs-Ersatz für sensible Dinge von Pflegediensten usw." gebaut.

Vorgabe: Keine externe Speicherung, SSL-geschützte Einlieferung, Minimalinterface, Einlieferung auf Server innerhalb der Praxis, Kommunikation von extern nur auf diesen Server. Server kann intern nur auf den Mailserver sendend per SSL zugreifen.

- Winziger Webserver (VM wäre auch denkbar gewesen) auf Ubuntu-Basis mit eigenem Subnetz (VLAN möglich)
- Hängt hinter dem Router / Firewall an eigenem Port
- Subdomain mit CNAME auf den Dyn-Namen der Praxis (myfritz ginge dafür z.B.) wegen SSL / Let´s Encrypt
- Portweiterleitung 80,443 auf diesen Webserver (80 nur für Let´s Encrypt) und Freigabe Webserver-an-PraxismailserverLokal Port 465 (sichere Mailübertragung)
- Dort befindet sich ein Upload-Formular (Evoluted Directory Listing)
- Dort mittels https hochgeladene und vom clamav beim Schreiben geprüfte PDF werden minütlich mit einem cronjob durch ghostscript geschubst:

Code: Alles auswählen

#!/bin/bash
cd /var/www/vhosts/DOMAIN.TLD/sub.DOMAIN.TLD/in
for file in *.pdf; do
   if [[ -f "$file"  ]]; then
      # process the file with name in "$file" here
jetze=`date '+%Y_%m_%d__%H_%M_%S_%N'`;
new=$jetze-$file;      
gs -o ../out/$new -dNoOutputFonts -sDEVICE=pdfwrite $file -sOutputCMYKProfile=/usr/share/ghostscript/9.26/Resource/ColorSpace/iso300.icc -dOverrideICC=true
mailbody="Neues Dokument:<br><b> Anhängende Datei $new</b>"
echo "From: no-reply@DOMAIN.local" > /tmp/mailtest
echo "To: praxis@local.domain" >> /tmp/mailtest
echo "Subject: Dokumentenbox" >> /tmp/mailtest
echo "" >> /tmp/mailtest
echo $mailbody >> /tmp/mailtest
(cat /tmp/mailtest; uuencode ../out/$new $new.pdf) | /usr/sbin/sendmail -t
rm $new.pdf
mv ../out/$new ../bit/$new
rm $file
   fi
done

Das Farbprofil hat einen historischen Hintergrund: Das Script habe ich einst gebaut, um aus PDF-Formularen eine druckereitaugliche CMYK-Druckvorlage zu erzeugen.
Formal geht es hier aber nur darum, das PDF komplett "flat" zu machen, d.h. zu reinen Kurven/Vektoren ohne Schriften, Skripte und Formularfelder.

- Sendmail ist konfiguriert auf den praxisinternen Mailserver (hMailserver für Windows). Dieser ist vorhanden, damit er die Mails per Fetchmail vom Webspace aus dem Feuer holt, also lokal speichert.
- Sendmail stellt dann direkt in den Posteingang zu.

Ergebnis: Einmal komplett neugeschriebenes PDF aus einer gekapselten Box.

Restrisikobetrachtung (ohne Verfügbarkeitserwägungen):
- Angreifer müsste kleinen Ubuntuserver angreifen, also das kleine Interface per Port 80 oder 443. Präparierte Datei oder POST-Anweisungen für eine Shell via Port 443?
- Danach wären zwei Szenarien denkbar: Unterschieben einer verseuchten Datei in den Mailversand ins Praxispostfach (da läuft ja auch nochmal ein Malware-Scan) oder ein Versuch, den lokalen Mailserver über dessen SSL-Port zu knacken. Denn nur der ist überhaupt erreichbar.


Ein Upgrade besteht aktuell darin, dass die Files in einer lokalen Nextcloud landen, die dann das Script ausführt, per Mail benachrichtigt und einen Download-Link an das Praxispostfach schickt. Nach Download wird die Datei gelöscht. Einbindung per Freigabeordner wäre auch möglich (in TM reinziehen).
Hier bleibt aber zu beachten, den Upload nicht direkt in eine extern erreichbare Nextcloud, sondern eben über den o.g. Umweg zu gestalten.


Wenn Interesse besteht, kann ich das auch nochmal komplett ausführlich darstellen.
Inzwischen habe ich hier eine Handvoll Praxen, die das fröhlich nutzen für allerlei Sachen inkl. Bewerbungseingaben.

Gesamtaufwand mit Hardware: Miniserver (USFF-PC oder Raspi) 100 Euro, Zeitaufwand im schlimmsten Fall für alles bei 5 Stunden.
Voraussetzung ist lediglich eine Firewall mit entsprechender Ausleitung des Traffic. Ist die nicht vorhanden, geht es trotzdem, wäre aber deutlich weniger sicher.
Aber eine komplette und sachgerecht eingerichtete xyz-Sense ist auch für <1.000 Euro machbar und kann dann gleich VPN/Heimarbeit, Webfilter usw. miterledigen.

Have phun
Forti

[Forti]

Nachtrag zur eigentlichen Frage:

Oben habe ich die externe Einlieferung beschrieben. Und wenn ein Stick vor Ort ist?
Mit o.g. System können Sie dann theoretisch ein beliebiges Gerät im Gäste-WLAN oder mit LTE-Zugriff oder mobilem Hotspot (alles separat vom Praxisnetz) nutzen und den Stick nehmen, um die Dateien zu transferieren.
Es geht auch mit allen anderen Formaten, die Ghostscript lesend verarbeitet (Grafiken usw.).

In allen Fällen ist aber auch zu bedenken, dass die "fremden" Sticks was Böses auf das Gerät bringen können, also auch folgend eingesteckte Sticks (anderer Patienten) infizieren könnten.