# Varnost spletne strani za lekarne: prednaročila, trgovina in zdravstveni podatki

> Prednaročilo, fotografija recepta, trgovina: kako lekarne zaščitijo spletno stran pred PHP2Shell, zdravstvene podatke in prepoznajo farmacevtski spam.

Vir: https://phpsos.de/sl/branchen/apotheken/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Pri varnosti spletne strani lekarne gre za zdravstvene podatke: kdor prednaroči zdravilo ali fotografira recept, o svojem zdravju nekaj izda. Razjasnite, kdo upravlja vaš spletni strežnik, dajte potrditi popravek PHP in ponovni zagon ter bodite pozorni na skrito oglaševanje zdravil, ki ga napadalci radi vnašajo na strani lekarn.

## Katere sisteme PHP uporabljajo lekarne

Številne lekarne imajo spletno stran z delovnim časom, napotkom za dežurno službo in obrazcem za prednaročilo. Pogosto se doda funkcija za nalaganje fotografij receptov ali načrtov jemanja zdravil, poleg tega povpraševanja za dostavo na dom in termini za svetovanja ali cepljenja. Spletne lekarne in lekarne s spletno prodajo dodatno upravljajo trgovino, na primer na [WooCommerce](https://phpsos.de/sl/plattformen/woocommerce/) ali [Shopware 6](https://phpsos.de/sl/plattformen/shopware-6/).

Nekatere strani izvirajo iz paketov spletnih strani kooperacij ali specializiranih ponudnikov, druge je zgradila lokalna agencija. Za PHP2Shell se tu odloči, kdo upravlja strežnik in je s tem odgovoren za popravek PHP.

Posebej povedna so povpraševanja za dostavo na dom. Povezujejo bivalni naslov, telefonsko številko in zdravilo, pogosto starejših ali oskrbovanih ljudi. Kdor takšne zapise odtuji, ve, kdo živi sam, katera zdravila redno potrebuje in kdaj se dostavlja. To jih dela zanimive za goljufe, ki ciljno nagovarjajo starejše.

## Zdravstveni podatki: zakaj je že obrazec za prednaročilo občutljiv

Ime in zdravilo skupaj dajeta zdravstveni podatek. Takšni podatki sodijo med posebne kategorije osebnih podatkov po 9. členu GDPR. Za farmacevtke in farmacevte poleg tega velja dolžnost molčečnosti, katere kršitev je lahko kaznivo po § 203 StGB (nemški kazenski zakonik).

Na spletnem strežniku takšni podatki ležijo na več mestih: v podatkovni zbirki vtičnika za obrazce, v naloženih fotografijah receptov, v čakalnih vrstah pošte in v trgovini z zgodovino naročil. Kdor lahko prek PHP2Shell izvaja kodo, praviloma pride do vsega tega, ne da bi se moral prijaviti.

## Lekarna in varnost spletne strani: kaj napad povzroči

- **Uhajanje podatkov:** Prednaročila in fotografije receptov omogočajo sklepanje o boleznih. Tveganje za prizadete je visoko, obveznosti prijave po GDPR so verjetne. [72-urni rok](https://phpsos.de/sl/compliance/dsgvo-meldepflicht-72-stunden/) ocenite s pooblaščencem za varstvo podatkov.
- **Farmacevtski spam:** Napadalci vnesejo skrite strani z oglaševanjem receptnih zdravil. Iskalniki stran razvrstijo nižje ali prikažejo opozorilo, kot je opisano v priročniku [Odstranitev Googlovega opozorila](https://phpsos.de/sl/ratgeber/google-warnung-entfernen/).
- **Izgubljena prednaročila:** Če obrazec odpove ali preusmerja, stranke stojijo pred pultom, zdravilo pa ni naročeno.
- **Spremenjena trgovina:** Spremenjena koda v postopku naročanja lahko prestreže plačilne podatke ali stranke pošlje na ponarejene strani.

> **Pomembno:**
> Posodobitev trgovine ali CMS-ja PHP2Shell ne zapre. Ranljivost je odpravljena šele s PHP 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oziroma backportom, ki ga potrdi ponudnik, in šele po ponovnem zagonu vseh procesov PHP.

## Vrzel v odgovornosti v lekarni

| Področje | Običajno odgovoren | Pogosto nerazjasnjeno |
|---|---|---|
| Sistem za upravljanje lekarne, blagajne, TI | programska hiša ali IT lekarne | povezava s spletno trgovino |
| Spletna stran iz paketa kooperacije | ponudnik paketa | pisna potrditev popravka |
| Lastna spletna stran ali trgovina | agencija in ponudnik gostovanja | kdo posodablja in znova zaganja PHP |

V skupinah podružnic se doda, da ima lahko vsaka podružnica lastne obrazce ali domene, ki jih osrednje nihče ne vodi.

## Prednaročila in nalaganje receptov oblikovati varčno s podatki

Številni obrazci lekarn shranjujejo več, kot je potrebno. Prednaročilo potrebuje ime, dosegljivost in želeni pripravek, ne pa datuma rojstva, naslova ali diagnoze. Fotografije receptov naj ne ležijo trajno v javno dostopni mapi za nalaganje, ampak naj se po prevzemu izbrišejo.

Preverite tudi, kam gredo podatki obrazcev. Če vsako prednaročilo kot nešifrirano sporočilo pristane v skupnem poštnem predalu, do katerega dostopa veliko zaposlenih, je predal enako zaščite potreben kot strežnik. In če vtičnik za obrazce vsako povpraševanje dodatno odloži v podatkovno zbirko, tam z vsakim mesecem raste arhiv zdravstvenih podatkov, ki ga nihče ne potrebuje.

Manj ko leži na spletnem strežniku, manjša je škoda, če je kljub vsemu ogrožen. Odločitev o rokih hrambe sprejmete s pooblaščencem za varstvo podatkov.

## Prve ure za vodstvo lekarne

1. Pri upravljavcu spletnega strežnika pisno povprašajte o stanju popravkov PHP in ponovnem zagonu.
2. Brez potrditve: izklopite obrazec za prednaročila in nalaganje receptov ter preklopite na telefon. Zadošča obvestilo na začetni strani.
3. Dajte zavarovati dnevnike od 20. 10. 2026.
4. V Google Search Console preverite, ali se javljajo neznane strani ali varnostne težave.
5. Stare fotografije receptov in vnose obrazcev, ki jih ni več treba hraniti, po dogovoru s pooblaščencem za varstvo podatkov dajte izbrisati.

## Kako konkretno pomaga PHP SOS?

- S ponudnikom paketa, agencijo ali ponudnikom gostovanja razjasnimo, kdo popravlja PHP, in pridobimo potrditev s stanjem paketa.
- Spletno stran in trgovino preverimo glede webshellov, vnesenega farmacevtskega spama in spremenjene kode naročanja ter [odstranimo najdeno škodljivo programsko opremo](https://phpsos.de/sl/leistungen/malware-entfernung/).
- Pokažemo, kje na strežniku ležijo zdravstveni podatki, in pomagamo omejiti čas hrambe in nalaganja.
- Ugotovitve dokumentiramo tako, da lahko vaš pooblaščenec za varstvo podatkov oceni obveznost prijave.


## Pogosta vprašanja

**Ali PHP2Shell prizadene naš sistem za upravljanje lekarne?**  
Sistem za upravljanje lekarne in dostop do telematske infrastrukture praviloma tečeta ločeno od spletne strani. Prizadeti so strežniki PHP, torej večinoma spletna stran, obrazec za prednaročila in spletna trgovina. Ali obstajajo vmesniki med trgovino in sistemom lekarne, naj preveri vaš IT-izvajalec.

**Naša spletna stran izvira iz gradnika naše kooperacije. Kdo je odgovoren?**  
Pri paketih spletnih strani kooperacij, veletrgovcev ali specializiranih ponudnikov strežnik običajno upravlja ponudnik. Tedaj je popravek PHP pri njem. Pisno povprašajte o stanju, saj odgovornost za podatke vaših strank ostaja pri vaši lekarni.

**Kaj je farmacevtski hack?**  
Tako imenujemo napade, pri katerih se na ogroženo spletno stran vnesejo skrite strani ali povezave za oglaševanje zdravil. Obiskovalci pogosto ne vidijo ničesar, iskalniki pa to vidijo. Pri lekarni je to posebej občutljivo, ker se takšne vsebine pojavijo pod zaupanja vrednim imenom.

## Viri

- [php.net: varnostna obvestila](https://www.php.net/)
- [BSI: opozorila in priporočila](https://www.bsi.bund.de/)
- [Pomoč za Google Search Console](https://support.google.com/webmasters/)
- [33. člen GDPR: prijava nadzornemu organu](https://dsgvo-gesetz.de/art-33-dsgvo/)