Kort sagt: På en läkarmottagnings webbplats handlar det om säkerhet för hälsouppgifter, inte bara om ett visitkort på nätet. Kontrollera vilka formulär som lagrar uppgifter eller skickar dem per e-post, låt servern skriftligen bekräfta PHP-patchnivån och säkra loggarna direkt vid misstanke.
Vilka PHP-system som körs hos mottagningar och MVZ
De flesta mottagningswebbplatser bygger på ett PHP-baserat CMS, ofta WordPress, mer sällan TYPO3 eller Joomla. Det intressanta är tilläggsfunktionerna: formulär för recept- och remissförfrågningar, anamnesblanketter att ladda ned eller ladda upp, recall-anmälningar, platsannonser med uppladdning av ansökningar och tidsbokning online.
Tidsbokningen är ofta en extern tjänst som bara är inbäddad. Då ligger tidsuppgifterna hos leverantören. Vissa mottagningar använder dock bokningsplugin som lagrar tider tillsammans med ärendet i den egna webbplatsens databas. Just den skillnaden bör ni känna till innan ni bedömer risken.
Hälsouppgifter: varför webbplatsen är känsligare än den ser ut
En mening som ”Jag behöver mitt blodtrycksläkemedel igen” i kontaktformuläret är en hälsouppgift. Sådana uppgifter hör till de särskilda kategorierna av personuppgifter enligt art. 9 GDPR. För läkare gäller dessutom tystnadsplikten, vars brott enligt § 203 StGB (tyska strafflagen) kan vara straffbart.
För webbplatsen betyder det: Formulärinlägg som blir kvar i databasen, kopior i formulärplugin, e-postloggar på servern och uppladdade dokument ligger öppna vid ett angrepp. Den som kör kod på servern läser i regel med.
Låt kontrollera om ert formulärplugin lagrar inlägg även i databasen. Många gör det som standard. Det som inte är lagrat kan inte heller läcka.
Vad ett avbrott eller dataläckage betyder för mottagningen
Om webbplatsen faller bort ringer patienterna, och mottagningens telefon är redan fullbelagd. Det är besvärligt men hanterbart. Värre är ett oupptäckt angrepp: omdirigeringar till bedrägliga sidor i mottagningens namn, förfalskade formulär eller avlyssnade förfrågningar med sjukdomsanknytning.
En sådan incident kan utlösa anmälningsskyldighet gentemot dataskyddsmyndigheten, beroende på risken även underrättelse till de berörda. 72-timmarsfristen enligt GDPR börjar löpa så snart ni fått kännedom om överträdelsen. Klarlägg bedömningen med ert dataskyddsombud.
Mottagningens webbplats och säkerhet: det typiska ansvarsglappet
På mottagningar finns oftast tre parter som var och en känner ansvar för en del:
| Part | Tar i regel hand om | Ofta inte i blickfånget |
|---|---|---|
| Mottagningens IT-leverantör | PVS, nätverk, konnektor, arbetsplatser | Webbplatsens server hos webbhotellet |
| Webbyrå | Design, innehåll, plugin | PHP-versionen och serverns omstart |
| Webbhotell | Serverdrift | Mottagningens formulärdata och plugin |
Vid PHP2Shell ligger luckan precis mellan dessa roller: i PHP på webbservern. Vid delat webbhotell ansvarar oftast webbhotellet, men bekräftelsen av paketstatusen måste ni själva begära. På MVZ med flera verksamhetsställen tillkommer ofta huvudmannen, som har egna föreskrifter.
Finns det en brygga mellan webbplatsen och mottagningens nät?
Oftast körs mottagningens webbplats hos webbhotellet och saknar direkt förbindelse med praxisadministrationssystemet. Det finns dock undantag ni bör känna till: formulär som överför data automatiskt till PVS, en webbplatsserver i det egna MVZ:ets datacenter eller inloggningsuppgifter som används samtidigt för webbplats, e-postkonton och fjärrunderhåll.
I sådana fall är en komprometterad webbserver inte bara ett webbplatsproblem. Låt er IT-leverantör och webbplatsansvarig tillsammans kontrollera vilka förbindelser som finns och vilka lösenord som återanvänds. För mottagningens IT gäller dessutom föreskrifterna från den tyska läkarförbundet KBV (Kassenärztliche Bundesvereinigung) om IT-säkerhet. I vilken mån de berör webbplatsen klarlägger ni med ert dataskyddsombud.
De första timmarna efter en varning
- Fråga webbhotellet om PHP ligger på 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller om en backport är installerad, och om alla PHP-processer har startats om.
- Är det inte bekräftat: stäng av webbplatsen tillfälligt eller ersätt den med en statisk informationssida med telefontider, som BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar för servrar som inte kan patchas.
- Säkra server- och åtkomstloggar från och med den 20 oktober 2026.
- Håll utkik efter tecken på kompromettering: okända filer, nya adminkonton, ändrade omdirigeringar.
- Ta med dataskyddsombudet tidigt, inte först efter rensningen.
Hur hjälper PHP SOS konkret?
- Vi klarlägger med webbhotell och byrå vem som patchar och startar om PHP, och inhämtar bekräftelsen med paketstatus.
- Vi kontrollerar var på webbservern formulärdata, uppladdningar och e-postkopior finns, och om det finns förbindelser in i mottagningens nät.
- Vid misstanke säkrar vi spår, söker efter webshells och rensar servern inom ramen för vår nödhjälp vid hackade webbplatser.
- Vi dokumenterar incidenten så att ert dataskyddsombud kan bedöma anmälningsskyldigheten.
- Därefter minskar vi lagrade uppgifter och härdar servern, så att det står mindre på spel nästa gång.
Vanliga frågor
Berörs vårt journal- och praxissystem av PHP2Shell?
Praxisadministrationssystemet (PVS) och åtkomsten till telematikinfrastrukturen körs i regel åtskilda från webbplatsen. Berörda är PHP-webbservrar, alltså oftast mottagningens webbplats och formulär eller portaler som är kopplade till den. Om det finns förbindelser mellan webbplatsen och mottagningens nät bör er IT-leverantör kontrollera.
Är uppgifter från kontaktformuläret hälsouppgifter?
Ofta ja. Redan en begäran om ett återkommande recept eller ett tidsönskemål på grund av vissa besvär ger information om hälsotillståndet. Sådana uppgifter hör till de särskilda kategorierna enligt art. 9 GDPR. Den exakta bedömningen klarar ni ut med ert dataskyddsombud.
Måste jag informera patienter om webbplatsen har hackats?
Det beror på om personuppgifter berörs och hur hög risken är för patienterna. Vid hälsouppgifter är risken ofta hög. Beslutet fattar ni tillsammans med ert dataskyddsombud, vid behov med juridisk rådgivning.
Vem ansvarar för PHP-uppdateringar på mottagningens webbplats?
Det framgår av hosting- eller underhållsavtalet. Vid delat webbhotell och managed hosting patchar oftast webbhotellet, vid en egen server den anlitade leverantören. Saknas en tydlig reglering bör ni nu fastlägga den skriftligen.