Kort gezegd: Bij de website van een huisartsenpraktijk gaat het om de beveiliging van gezondheidsgegevens, niet alleen om een visitekaartje op internet. Controleer welke formulieren gegevens opslaan of per mail versturen, laat de PHP-patchstatus van de server schriftelijk bevestigen en zet bij verdenking direct de logs veilig.
Welke PHP-systemen in praktijken en medische zorgcentra draaien
De meeste praktijkwebsites zijn gebaseerd op een PHP-CMS, vaak WordPress, minder vaak TYPO3 of Joomla. Interessant wordt het bij de extra functies: formulieren voor recept- en verwijsaanvragen, anamneseformulieren om te downloaden of te uploaden, recall-aanmeldingen, vacatures met sollicitatie-upload en online afspraken maken.
Het afsprakensysteem is vaak een externe dienst die alleen wordt ingesloten. Dan staan de afspraakgegevens bij de aanbieder. Sommige praktijken gebruiken echter boekings-plug-ins die afspraken inclusief reden in de eigen websitedatabase opslaan. Precies dat verschil moet u kennen voordat u het risico beoordeelt.
Gezondheidsgegevens: waarom de website gevoeliger is dan hij lijkt
Een zin als “Ik heb weer mijn bloeddrukmiddel nodig” in het contactformulier is een gezondheidsgegeven. Zulke gegevens horen tot de bijzondere categorieën persoonsgegevens volgens art. 9 AVG. Voor artsen geldt bovendien het medisch beroepsgeheim, waarvan schending in Duitsland volgens § 203 StGB (het Duitse wetboek van strafrecht) strafbaar kan zijn.
Voor de website betekent dat: formulierinzendingen die in de database blijven staan, kopieën in formulier-plug-ins, maillogs op de server en geüploade documenten liggen bij een aanval binnen bereik. Wie code op de server uitvoert, leest ze doorgaans mee.
Laat controleren of uw formulier-plug-in inzendingen bovendien in de database opslaat. Veel plug-ins doen dat standaard. Wat niet is opgeslagen, kan ook niet weglekken.
Wat een storing of gegevenslek voor de praktijk betekent
Valt de website uit, dan bellen patiënten, en de praktijktelefoon is toch al druk. Dat is vervelend, maar beheersbaar. Zwaarder weegt een onopgemerkte aanval: doorverwijzingen naar frauduleuze sites onder de naam van de praktijk, vervalste formulieren of onderschepte aanvragen met een ziektebeeld.
Zo'n incident kan meldplichten jegens de toezichthouder voor gegevensbescherming oproepen, afhankelijk van het risico ook de kennisgeving aan de betrokkenen. De termijn van 72 uur volgens de AVG gaat in zodra u van de inbreuk kennisneemt. Bespreek de beoordeling met uw functionaris voor gegevensbescherming.
Praktijkwebsite en beveiliging: de typische verantwoordelijkheidskloof
In praktijken zijn er meestal drie betrokkenen die zich elk voor een deel verantwoordelijk voelen:
| Betrokkene | Zorgt in de regel voor | Vaak niet in beeld |
|---|---|---|
| IT-dienstverlener van de praktijk | Praktijkbeheersysteem, netwerk, connector, werkplekken | Websiteserver bij de hostingprovider |
| Webbureau | Ontwerp, inhoud, plug-ins | PHP-versie en herstart van de server |
| Hostingprovider | Serverbeheer | Formuliergegevens en plug-ins van de praktijk |
Bij PHP2Shell zit het lek precies tussen deze rollen: in PHP op de webserver. Bij shared hosting is meestal de hostingprovider verantwoordelijk, maar de bevestiging van de pakketstatus moet u zelf opvragen. Bij medische zorgcentra met meerdere vestigingen komt er vaak nog een exploitant bij die eigen voorschriften maakt.
Is er een brug tussen website en praktijknetwerk?
Meestal draait de praktijkwebsite bij de hostingprovider en heeft hij geen directe verbinding met het praktijkbeheersysteem. Er zijn echter uitzonderingen die u moet kennen: formulieren die gegevens automatisch naar het systeem overdragen, een websiteserver in het eigen rekencentrum van het zorgcentrum of inloggegevens die tegelijk voor website, mailaccounts en onderhoud op afstand worden gebruikt.
In zulke gevallen is een gecompromitteerde webserver niet alleen een websiteprobleem. Laat uw IT-dienstverlener van de praktijk en de websitebeheerder samen controleren welke verbindingen bestaan en welke wachtwoorden meermaals worden gebruikt. Voor de praktijk-IT gelden bovendien de voorschriften van de Kassenärztliche Bundesvereinigung (de Duitse federale vereniging van artsen die zorg verlenen aan wettelijk verzekerden) voor IT-beveiliging. Hoe ver ze de website raken, bespreekt u met uw functionaris voor gegevensbescherming.
De eerste uren na een waarschuwing
- Vraag de hostingprovider of PHP op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 staat of dat een backport is doorgevoerd, en of alle PHP-processen zijn herstart.
- Is dat niet bevestigd: schakel de website tijdelijk uit of vervang hem door een statische informatiepagina met telefoontijden, zoals het BSI (de Duitse federale dienst voor informatiebeveiliging) dat adviseert voor servers die niet te patchen zijn.
- Zet server- en toegangslogs vanaf 20 oktober 2026 veilig.
- Let op aanwijzingen voor een compromittering: onbekende bestanden, nieuwe beheerdersaccounts, gewijzigde doorverwijzingen.
- Betrek de functionaris voor gegevensbescherming vroeg, niet pas na de opschoning.
Hoe helpt PHP SOS concreet?
- Wij stellen met hostingprovider en bureau vast wie PHP patcht en herstart, en vragen de bevestiging met pakketstatus op.
- Wij onderzoeken waar op de webserver formuliergegevens, uploads en mailkopieën staan, en of er verbindingen met het praktijknetwerk bestaan.
- Bij verdenking zetten wij sporen veilig, zoeken naar webshells en saneren de server in het kader van onze noodhulp bij gehackte websites.
- Wij documenteren het incident zo dat uw functionaris voor gegevensbescherming de meldplicht kan beoordelen.
- Daarna verminderen wij opgeslagen gegevens en beveiligen wij de server, zodat er de volgende keer minder op het spel staat.
Veelgestelde vragen
Wordt mijn praktijksoftware getroffen door PHP2Shell?
Het praktijkbeheersysteem en de toegang tot de telematica-infrastructuur draaien in de regel los van de website. Getroffen zijn PHP-webservers, dus meestal de praktijkwebsite en daaraan gekoppelde formulieren of portalen. Of er verbindingen bestaan tussen website en praktijknetwerk, moet uw IT-dienstverlener controleren.
Zijn gegevens uit het contactformulier gezondheidsgegevens?
Vaak wel. Al het verzoek om een herhaalrecept of een afspraakwens vanwege bepaalde klachten laat conclusies over de gezondheid toe. Zulke gegevens horen tot de bijzondere categorieën volgens art. 9 AVG. De precieze indeling bespreekt u met uw functionaris voor gegevensbescherming.
Moet ik patiënten informeren als de website is gehackt?
Dat hangt ervan af of persoonsgegevens zijn getroffen en hoe hoog het risico voor de patiënten is. Bij gezondheidsgegevens is het risico vaak hoog. De beslissing neemt u met uw functionaris voor gegevensbescherming, zo nodig met juridisch advies.
Wie is bij de praktijkwebsite verantwoordelijk voor PHP-updates?
Dat staat in het hosting- of onderhoudscontract. Bij shared hosting en managed hosting patcht meestal de hostingprovider, bij een eigen server de ingeschakelde dienstverlener. Ontbreekt een duidelijke regeling, leg die dan nu schriftelijk vast.