# Weboldal-biztonság orvosi rendelőknek és MVZ-knek

> Időpontfoglalás, receptkérés, űrlap: így védik az orvosi rendelők és MVZ-k weboldalukat a PHP2Shell ellen, és óvják a GDPR 9. cikke szerinti adatokat.

Forrás: https://phpsos.de/hu/branchen/arztpraxen/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Az orvosi rendelő weboldalánál az egészségügyi adatok biztonságáról van szó, nem csupán a hálón lévő névjegykártyáról. Vizsgálja meg, mely űrlapok tárolnak adatot vagy küldenek levelet, kérje írásban a szerver PHP-javítási állapotának visszaigazolását, és gyanú esetén azonnal mentse a naplókat.

## Milyen PHP-rendszerek futnak rendelőkben és MVZ-kben

A legtöbb rendelői weboldal PHP-alapú CMS-en fut, gyakran [WordPressen](https://phpsos.de/hu/plattformen/wordpress/), ritkábban TYPO3-on vagy Joomlán. A kiegészítő funkcióknál válik érdekessé a helyzet: receptkérő és beutalókérő űrlapok, letölthető vagy feltölthető anamnézislapok, visszahívási regisztrációk, csatolt dokumentumokkal feltölthető álláshirdetések, valamint online időpontfoglalás.

Az időpontfoglalás gyakran külső szolgáltatás, amelyet csak beágyaznak. Ilyenkor az időpontadatok a szolgáltatónál vannak. Néhány rendelő azonban olyan foglalási bővítményeket használ, amelyek az időpontokat a kéréssel együtt a saját weboldaluk adatbázisában tárolják. Ezt a különbséget érdemes ismernie, mielőtt felméri a kockázatot.

## Egészségügyi adatok: miért érzékenyebb a weboldal, mint amilyennek látszik

Egy olyan mondat a kapcsolatfelvételi űrlapban, mint „Újra szükségem lenne a vérnyomás elleni gyógyszeremre”, egészségügyi adat. Az ilyen közlések a személyes adatok GDPR 9. cikke szerinti különleges kategóriáiba tartoznak. Az orvosokra emellett titoktartási kötelezettség vonatkozik, amelynek megsértése a német Btk. (StGB) 203. §-a (német jogszabály) szerint büntetendő lehet.

A weboldal szempontjából ez azt jelenti: az adatbázisban megmaradó űrlapbejegyzések, az űrlap-bővítményekben lévő másolatok, a szerveren lévő levélnaplók és a feltöltött dokumentumok támadás esetén elérhetők. Aki kódot futtat a szerveren, általában ezeket is olvassa.

> **Tipp:**
> Ellenőriztesse, hogy az űrlap-bővítménye a bejegyzéseket az adatbázisban is eltárolja-e. Sok bővítmény alapértelmezetten ezt teszi. Ami nincs eltárolva, az nem is szivároghat el.

## Mit jelent a kiesés vagy adatszivárgás a rendelőnek

Ha a weboldal kiesik, a betegek telefonálnak, és a rendelői telefon amúgy is leterhelt. Ez bosszantó, de kezelhető. Súlyosabb egy észrevétlen támadás: átirányítás csaló oldalakra a rendelő nevében, hamis űrlapok vagy betegségre utaló, elvitt kérések.

Egy ilyen incidens bejelentési kötelezettségeket vonhat maga után az adatvédelmi hatóság felé, a kockázattól függően az érintettek értesítését is. A [GDPR 72 órás határideje](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/) attól kezdődik, hogy tudomást szerez a jogsértésről. Az értékelést tisztázza az adatvédelmi felelősével.

## Az orvosi rendelő weboldala és a biztonság: a tipikus felelősségi rés

A rendelőkben többnyire három érintett van, akik mind a feladat egy-egy részéért érzik magukat felelősnek:

| Érintett | Általában ezzel foglalkozik | Gyakran nincs szeme előtt |
|---|---|---|
| Rendelői IT-szolgáltató | ügyviteli rendszer, hálózat, konnektor, munkaállomások | a weboldal szervere a tárhelyszolgáltatónál |
| Webügynökség | design, tartalmak, bővítmények | a szerver PHP-verziója és újraindítása |
| Tárhelyszolgáltató | szerverüzemeltetés | a rendelő űrlapadatai és bővítményei |

A PHP2Shell esetében a rés éppen e szerepek között van: a webszerveren futó PHP-ban. [Megosztott tárhelynél](https://phpsos.de/hu/server/shared-hosting/) többnyire a szolgáltató felel, a csomag állapotának visszaigazolását azonban Önnek kell kérnie. Több telephelyes MVZ-knél gyakran még a fenntartó is hozzájön, saját előírásokkal.

## Van-e híd a weboldal és a rendelő hálózata között?

A rendelő weboldala többnyire a tárhelyszolgáltatónál fut, és nincs közvetlen kapcsolata a rendelői ügyviteli rendszerrel. Vannak azonban kivételek, amelyeket ismernie kell: űrlapok, amelyek az adatokat automatikusan átviszik az ügyviteli rendszerbe, a saját MVZ-adatközpontban üzemelő weboldal-szerver, vagy olyan hozzáférési adatok, amelyeket egyszerre használnak a weboldalhoz, a levelezési fiókokhoz és a távkarbantartáshoz.

Ilyen esetekben a feltört webszerver nem csupán weboldal-probléma. Vizsgáltassa meg rendelői IT-szolgáltatójával és a weboldal gondozójával közösen, milyen kapcsolatok állnak fenn, és mely jelszavakat használják többször. A rendelői IT-re emellett érvényesek a Kassenärztliche Bundesvereinigung (a német szövetségi kassza-orvosi egyesület) IT-biztonsági előírásai. Hogy ezek mennyiben érintik a weboldalt, azt az adatvédelmi felelősével tisztázza.

## Az első órák egy figyelmeztetés után

1. Kérdezze meg a tárhelyszolgáltatót, hogy a PHP a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzión áll-e, vagy telepítettek-e backportot, és hogy minden PHP-folyamat újraindult-e.
2. Ha ez nincs visszaigazolva: kapcsolja ki átmenetileg a weboldalt, vagy cserélje le statikus tájékoztató oldalra a telefonos elérhetőségi idővel, ahogyan azt a BSI (a német szövetségi információbiztonsági hivatal) a nem javítható szerverekre ajánlja.
3. Mentse a szerver- és hozzáférési naplókat 2026. 10. 20-tól.
4. Figyeljen a [feltörés jeleire](https://phpsos.de/hu/php2shell/bin-ich-gehackt-anzeichen/): ismeretlen fájlok, új rendszergazdai fiókok, módosított átirányítások.
5. Vonja be korán az adatvédelmi felelőst, ne csak a tisztítás után.

## Hogyan segít konkrétan a PHP SOS?

- A tárhelyszolgáltatóval és az ügynökséggel tisztázzuk, ki javítja és indítja újra a PHP-t, és beszerezzük a csomagállapotot igazoló visszaigazolást.
- Megvizsgáljuk, hol vannak a webszerveren űrlapadatok, feltöltések és levélmásolatok, és hogy van-e kapcsolat a rendelő hálózatával.
- Gyanú esetén nyomokat mentünk, webshelleket keresünk, és megtisztítjuk a szervert a [feltört weboldalakra szóló vészhelyzeti segítségnyújtásunk](https://phpsos.de/hu/leistungen/website-gehackt-notfallhilfe/) keretében.
- Az incidenst úgy dokumentáljuk, hogy az adatvédelmi felelős értékelni tudja a bejelentési kötelezettséget.
- Ezt követően csökkentjük a tárolt adatok mennyiségét, és megerősítjük a szervert, hogy legközelebb kevesebb forogjon kockán.


## Gyakori kérdések

**Érinti a PHP2Shell a rendelői szoftveremet?**  
A rendelői ügyviteli rendszer és a telematikai infrastruktúra elérése általában a weboldaltól elkülönítve működik. A PHP-webszerverek érintettek, vagyis többnyire a rendelő weboldala és a hozzá kapcsolt űrlapok vagy portálok. Hogy van-e kapcsolat a weboldal és a rendelő hálózata között, azt az IT-szolgáltatójának kell megvizsgálnia.

**Egészségügyi adatnak számítanak a kapcsolatfelvételi űrlap adatai?**  
Gyakran igen. Már egy ismételt recept kérése vagy bizonyos panaszok miatti időpontkérés is következtetni enged az egészségi állapotra. Az ilyen adatok a GDPR 9. cikke szerinti különleges adatkategóriákba tartoznak. A pontos besorolást az adatvédelmi felelősével tisztázza.

**Tájékoztatnom kell a betegeket, ha a weboldalt feltörték?**  
Ez attól függ, hogy érintettek-e személyes adatok, és mekkora a kockázat a betegekre nézve. Egészségügyi adatoknál a kockázat gyakran magas. A döntést az adatvédelmi felelősével, szükség esetén jogi tanácsadással együtt hozza meg.

**Ki felel a rendelő weboldalának PHP-frissítéseiért?**  
Ez a tárhely- vagy karbantartási szerződésben áll. Megosztott és menedzselt tárhelynél többnyire a szolgáltató javít, saját szervernél a megbízott szolgáltató. Ha nincs egyértelmű szabályozás, érdemes most írásban rögzíteni.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/)
- [GDPR 33. cikk: bejelentés a felügyeleti hatóságnak](https://dsgvo-gesetz.de/art-33-dsgvo/)