00:00:03:

00:00:06: Willkommen beim Erztetag,

00:00:08: dem Podcast der Erze Zeitung.

00:00:10: Ich bin Julia Frisch, Redakteurin im Praxisresort und ich gehe heute mit IT-Experte von Nellis zur Frage nach wie sicher unsere Praxisverwaltungssysteme sind?

00:00:21: Und wie erfahre ich welche Sicherheitsstandards sie überhaupt

00:00:25: erfüllen –

00:00:26: wo sind die Einfahrtstore für Cyberkriminelle in den Praxen?

00:00:30: Frank Nellis ist Geschäftsführender Gesellschafter der Data Loom X-Trivonsechzig GmbH in Berlin.

00:00:37: Anders für unser Gespräch ist die Untersuchung des Bundesamts für Sicherheit in der Informationstechnik, besser bekannt als BSI, in der die Sicherheit vom PVS unter die Lupe genommen wurde – der Bericht dazu wurde im März veröffentlicht.

00:00:53: Frank Nelles hat Betriebswirtschaft Informatik und Jura studiert und war zudem sechzehn Jahre im Rettungsdienst aktiv.

00:01:00: Er kennt sich also aus mit IT, Recht und der Gesundheitsbranche.

00:01:05: Von Nelles ist zu dem EU-IT Compliance Manager zertifizierter Datenschutzbeauftragter TÜV und Mitglied im Datenschutzzetzwerk Berlin.

00:01:15: Hallo Herr Nelles!

00:01:16: Ich bin schon sehr gespannt auf unser Gespräch heute denn Sie haben sich eingehend und das darf man hier auch schon verraten Auch kritisch mit den BSI Bericht zur Sicherheit der PVS befasst.

00:01:28: In einer Mitteilung zu dem Bericht betont das BSI, dass in allen PVS-Schwachstellen gefunden wurden.

00:01:35: Wissen jetzt in den Praxen die Alarmglockenleuten?

00:01:38: Nein, das würde ich nicht sagen!

00:01:39: Also wichtig ist es, dass man sehr nüchtern darauf zugeht und sich anschaut was man hat.

00:01:44: letztendlich muss man aus dem Berichte des BSI auch herausfiltern, dass wir hier keine komplette Übersicht haben sondern im Endeffekt erst mal vier Praxissysteme, die wirklich getestet wurden von dreiundzwanzig Mängel aufgewiesen haben.

00:02:00: Nichtsdestotrotz heißt es natürlich das in dem Bereich doch einiges noch zu tun ist.

00:02:06: also man hat ja hier die ganzen Patientenwarten, die man verwaltet und darauf basierend kann man davon sprechen dass ich als Praxisleitung habe in einem System Speichere, das mich digital unterstützt und wo ich ja eigentlich erst mal davon ausgehe dass es sicher ist.

00:02:26: Letztendlich wurden allerdings Lücken gefunden die man in neuen Sprachstellenkategorien eintalen kann und die nicht unerredet sind und es waren wenn man zusammenfasst auch den größten Diamarkt gerade unterwegs sind.

00:02:38: Sie haben mir schon erwähnt, dass zweiundzwanzig PVS untersucht worden und davon nur vier dann nochmal tiefergehend.

00:02:46: Wie aussagekräftig ist denn dann überhaupt eine solche Untersuchung?

00:02:50: Kann man davon ausgehen, dass dann wirklich alle relevanten Schwachstellen gefunden wurden.

00:02:55: Ich würde sagen das es bessere und auch schlechter gibt.

00:02:58: so ist meine Erfahrung zumindest von dem was ich aus meiner Tätigkeit in den Bereich auch weiß.

00:03:04: letztendlich muss man aber sagen relativ schnell gewachsen die Anforderungen die stetig steigen und den wünschen die Patienten aber auch die Ärzte an die Digitalisierung haben, dann angepasst und da natürlich auch den ganzen Zahlbersicherheitsvorschriften, die wir jetzt haben nicht nachgezogen.

00:03:22: Und das ist glaube ich der große oder die große Thematik wie wir einfach haben um dementsprechend das ganze auch mit der Werthaltigkeit, die dahinter ist zu betrachten.

00:03:35: Die vier PVS-Hersteller, die eingehender untersucht wurden weiß man denn?

00:03:41: Um welche Hersteller es sich da handelt?

00:03:43: Können Sie uns da vielleicht so ein bisschen aus dem Nähekästchen plaudern?

00:03:47: Naja, also sagen wir mal so.

00:03:48: Letztendlich hat das BSI natürlich nicht veröffentlicht, wer es ist.

00:03:52: Wenn man aber so'n bisschen reinschaut in die Systeme oder was getestet wurde gibt es zum Beispiel einen System, dass es rein Mac OS, also sprich Apple und eigentlich gibt's in der relevanten Größenordnung nur einen Mitspieler Das ist die Firma Tomedo, die Reile auf Apple unterwegs ist Und dann der größte, der unterwegs ist eigentlich ZGN nach wie vor mit vielen Systemen.

00:04:14: Also es ist nicht immer nur ein PVS sondern die haben in vielen unterschiedlichen Kategorien eine PVS-Systeme und ich gehe davon aus dass wenn man den Bericht analysiert das man auf diese Systeme dann auch kommen würde.

00:04:27: von der Herstellerseite

00:04:29: Das sind sie uns auf die Schwachstellen zu sprechen kommt die das BSI herausgefunden hat.

00:04:34: welche sind das denn?

00:04:36: oder kann man das sagt eben sind neun Stück?

00:04:39: Die gefunden wurden, welche sind denn die wichtigsten oder schwerwiegendsten Schwachstellen, die entdeckt worden?

00:04:47: Also was ich an meiner Einschätzung im schwerwiegenden Halte ist das es zu meinen alten Schwachstellen sind.

00:04:53: Das sind im Endeffekt solche Themen wie Remote Code Execution nennt man das.

00:04:58: Es bedeutet dass im Endefekt ein Dritter über einen offenen Zugang aus dem Internet eigenen Schadhrut implementieren könnte der dann Dementsprechend mit den Daten das macht, was der Angreifer möchte.

00:05:13: Desweiteren sind es dann Themen wie Private oder Privileg escalation Das ein normaler Benutzer so sie oder ich.

00:05:22: wir können uns einfach in die meisten Systeme und da kann man wirklich durchwirk alle nennen selber atmen rechte verschaffen Ja also werden bisschen tiefer drin ist kann also kompletten Zugang haben und Ich möchte jetzt keine unter Generalverdacht stellen.

00:05:35: aber Letztendlich kann ich mit so einem Atmenrecht natürlich auch unbewusst Sachen machen, die dazu führen das Daten abschließen und dadurch habe ich da ein Thema was wir letztendlich begleiten müssen.

00:05:48: Der dritte Punkt ist dann ein sogenanntes SQL Injection Verfahren.

00:05:52: Das ist schon ein uraltes Relikt aus dem Datenbankbereich wo ich speziell auf einen SQL Server der hat die Daten speichert, im Hintergrund zugreifen kann und bestimmte Befehle hineingehen kann.

00:06:10: Und damit gebunden daraus wieder Daten bekommen, die ich eigentlich nicht haben durfte.

00:06:15: Dann sind es halt sogenannte veraltete Bibliotheken, bedeutet die Entwickler eine Software und arbeitet zum Beispiel... Wenn man das jetzt mal auf die Windows-Ebene ziehen würde mit Windows XP.

00:06:26: Biblioteken gibt's so in der Art nicht aber das wäre zum Beispiel obwohl wir mittlerweile bei Windows Elf sind.

00:06:33: Das heißt, die Hersteller haben das nicht nachgezogen und haben das im Endeffekt in den System dringelassen.

00:06:40: Und dann das Gleiche gemacht was man Microsoft stetig vorbehofft wenn man dass man den galtes alten Kernel also den zentralen Bereich im Betriebssystem eigentlich eine großart verändert hat.

00:06:54: Und das sind natürlich Angriffslücken die ich nutzen kann wenn ich so ein bisschen weiß wie ich daran komme Zumal auch drei von den vier Untersuchten direkt aus dem Internet auf eine Lücken hatten, wo ich dann als dritter aus dem internet auch in das System reinkommen konnte.

00:07:10: Welche Lücken sind das?

00:07:11: wenn ich fragen darf?

00:07:13: Sie haben im Internet so genannte Ports.

00:07:16: also wenn sie auf einer Seite gehen haben die oben eben in der Browser-Leiste ist im HTTPS genannt dass es zum Beispiel ein port four three über denen sie quasi Dann mit dem System Koenziation können.

00:07:27: und da gibt's so Ports die nennen sich FDP.

00:07:30: das ist dann ein zwanzig und zweinzwanzig.

00:07:33: Und wie quasi eine Straße mit Hausnummern.

00:07:36: also wenn sie in Angriff sind schauen Sie halt an der Strasse welcher Haus nur hat die Tür offen stehen?

00:07:41: Und durch diese Türe ging es natürlich rein, wenn die Offen steht und wenn er hinterlach ganz schloss ist, dann geht es halt ganz rein.

00:07:47: Das ist im Endeffekt die Thematik.

00:07:49: wenn sie was Internet einen Angriff planen und so kommen sie in andere Systeme rein Und da ist ein FDP oder so'n alter Anschluss wie die Achtzig, das war das ältere Protokoll für den Intervitzugriff.

00:08:04: Die sind teilweise immer noch vorhanden und sie können drauf zugreifen.

00:08:09: Das macht man natürlich dann gerne.

00:08:10: also wenn ich sowas finde als ich war ja mal auf der anderen Seite Dann kann man sowas natürlich sehr schön ausnutzen.

00:08:16: und gerade wenn es dann Daten sind vom Patienten kann man doch sehr schon plaktiv ausnutzend Wie wir jetzt ja auch gesehen haben bei UniMed, dem Abbrechner im Bereich der Unikliniken.

00:08:26: Wo jetzt ja viele Kliniken in Deutschland wirklich ein großes Problem haben, weil wird es Patienten-Daten abgeschlossen sind also gerade ganz frisch am vierzehnzehnten April passiert und dann frage ich mich halt warum so was immer noch möglich ist?

00:08:40: Also grade so einfache Sachen schließt man eigentlich sehr schnell und direkt.

00:08:46: das ist auch der nächste Punkt.

00:08:49: Auflauch dem Bericht stelle ich fest, dass die Transportverschüsse.

00:08:53: Wenn ich ein Paket von A nach B schicke, muss das ja verschlüsselt werden weil ihre Person bezogen in Daten drin sind.

00:08:58: und gerade auch im Bereich der Ärzte sprechen wir nicht nur vom Datenschutz sondern besprechen auch vom Beschutz aus dem Berufsstand heraus also bis hin zum Strafgesetzbuch um zwei Hundert Drei Zwei A den Geheimnis verraten dann auch strafreichlich verfolgt.

00:09:14: und da sind halt immer noch Schwachstellen Wo wir von einer Transportverschlußung sprechen, die TLS-I.Einz sich nennt, die heute immer noch eingesetzt wird oder gar nicht vorhanden ist was dazu führt dass wir im Endeffekt dann eine unsicherere Betragung haben und das es halt nichts Exotisches muss ich sagen.

00:09:35: das finden wir auch bei anderen System also nicht nur beim Praxisbereich aber gerade im Praxisbereich hat sich hochpräsente Daten und da sollte man unterscheiden zu einem Zonameterverband der im Endefekt jetzt sage ich mal vorsichtig, nur Mieterdaten hat.

00:09:51: Aber ich glaube wer eine Parzellenaktik bekommt kann natürlich da schon mehr daraus

00:09:55: machen.".

00:09:56: Hat sie denn insgesamt alles überrascht was das BSE aufgeschlüsselt hat?

00:10:01: oder haben Sie damit gerechnet dass auch relativ einfache Lücken existieren die durch die man in die PVS reinkommen kann?

00:10:10: Sagen wir mal so, mich hat es nicht gewundert.

00:10:11: Weil wir ja auch in dem Bereich die ganze Fallwall-Absicherung machen und sehen dann auch wie die Systeme kommunizieren.

00:10:18: Und versuchen dann teilweise auch das Ganze auf einen anderen Sicherheitsstand zu bringen indem wir bestimmte Kommunikationen einfach blocken... ...und dann halt von verschiedenen Herstellern gefragt werden ob wir es öffnen können oder ob wir das öffnend können.

00:10:31: Das führt natürlich dann genau zu diesen Problemen.

00:10:33: Deswegen bin ich eigentlich ein bisschen dankbar für den Berichtadmeteuer eigentlich das auch mal plakativ darstellen können.

00:10:41: Ich glaube, hier muss sich jeder Praxisbesitzer fragen, welches Software setz ich ein und was macht die?

00:10:47: Weil letztendlich ist die Verantwortung bei der Praxisleitung beim Arzt und er muss den Auftragsverarbeitungsvertrag mit der Klinik, mit dem Praxisschließen und den Auftakt des Verarbeitungspunktages prüfen.

00:11:02: Und da muss zum Beispiel eine Verschlüsselung muss benannt werden und es reicht heute nicht mehr aus, in einem Auftragsverarbeitungsvertrag zu benennen.

00:11:10: Ja wir verschlüsseln unsere Daten sondern ich muss schon sagen bis die AES verschlüsselt.

00:11:15: also ist eine Verschlüssung gefahren was ich machen kann.

00:11:18: mit welchen Verschlüßungsversionen arbeite ich als TLS wie ich ihn schonmal erwähnt habe Und das ist heutzutage eigentlich Standard im professionellen Auftrag zur Arbeitung zu trägen dass dies genannt wird Genauso wie man immer fragt, wo wir meine Daten hin sollten.

00:11:34: Wir fragen, gehen die Daten überhaupt dahin?

00:11:37: Und wie kommen sie an den Punkt?

00:11:38: und das glaube ich wird zu wenig befragen.

00:11:42: Ich kann verstehen dass man sehr viel auf usability nägt wertlegt und dass man auch sehr viel die Praktikabilität der Systeme im Zusammenarbeit mit den Geräten oder auch mit Laboren sich anschaut.

00:11:57: Aber auf Grundlage auch der aktuellen Situation, auch den letzten Erfahrungen die wir jetzt aus einem Unklinikbereich haben wissen wir dass wir vielleicht auch den Security Bereich nach vorne stellen müssen.

00:12:09: Und nicht jedes Tool was ich nutzen kann und dazu führt das ich jetzt gerade mal ein Export machen kann ist vielleicht sicher und da sollten wir uns dann fragen weil wir immer noch Daten Dritter verarbeiten nur nicht unsere eigenen Daten.

00:12:21: Woran erkenne ich denn als Praxis, welche Sicherheitsstandards meine PVS benutzt.

00:12:28: Das BSI hat ja selber gesagt dass die Standards von Hersteller zu Herstellern sehr unterschiedlich sind.

00:12:36: Woran erkenne ich das selber als Praxis und woher weiß ich ist sie jetzt gut oder ist ihr erst schlecht?

00:12:42: Es gibt zwei Möglichkeiten.

00:12:43: Die eine Möglichkeit ist Ich freche direkt mit dem Hersteler da sollte dann schon technisches Wissen haben um auch zu verstehen was das gegenüber mir sagt.

00:12:51: Was andere ist immer noch die digitale Version eines einer technischen oder saturschen Maßnahmen, die wir dann im Endeffekt dafür nutzen können dass wir sehen okay welche technische Maßnahme nutzt das System um meine Daten die Patientendaten die Abbrechungsdaten zu verarbeiten und dementsprechend auch sicher in dem System aufzubarten.

00:13:20: Meistens sind fünf, sechs Seiten langs Dokument.

00:13:24: Das muss ich lesen.

00:13:26: Wenn man da so ein bisschen sich hinstellen sagt wie das verstehe ich nicht dann gibt es eine Möglichkeit hier der TeleTrust.

00:13:33: Das ist ja eine Webseite wo im Endeffekt der Stand der Technik immer dargestellt wird und die beschreiten dann auf vielen Seiten was man denn eigentlich heute als Standard erwarten kann auch in hochkritischen Systeme und sind da auch sehr weit vorne.

00:13:52: Das heißt, wenn ich mich so ein bisschen daran entlang handele oder eine andere Möglichkeit wäre auch vom BSI selber die bieten halt gerade für Verschlußungsverfahren oder für sogenannten Grundschutz viele Kataloge und auch Dokumente an, die ich nutzen kann auf eine Praxis umzuschauen.

00:14:10: was mache ich denn jetzt eigentlich?

00:14:11: also wie möchte ich das Ganze jetzt aufbauen?

00:14:15: Um dementsprechend das ganze einmal sicher zu haben, praktikabel zu haben und letztendlich auch für meine Patienten den Forft er nutzen zu können, denen die Daten bieten.

00:14:29: Und damit auch eine schneller Behandlung, die wir lassen können.

00:14:33: Letzte Möglichkeit ist natürlich – ich würde sagen wie erste – aber es ist natürlich mal berufbar bei uns an.

00:14:38: Wir können sowas aus dem Stegreifen bis täglich machen und viele auch in der Security Audit begleiten.

00:14:44: Wie viel kostet so einer Audit?

00:14:47: Können Sie den Ärzten da so ein Pimal-Daumen sagen, was sie ausgeben müssten?

00:14:51: Ja das hängt davon.

00:14:52: also es hängt von der Größe ein bisschen ab.

00:14:54: Es hängt vom Komplexität ab weil die Staaten so beachten und gehen aber durchaus bis fünf Tausend Euro hoch.

00:14:59: Eigentlich wie gesagt von der größeren Art.

00:15:01: wenn sie einen MvZ haben mit mit sechzig Plätzen mit unterschiedlichen Geräte Anwendungen dann ist das halt größer.

00:15:08: Vorher dabei ist sie bekommen halt eine Zartvikade raus.

00:15:11: Mit dem Zartikat können sie dann auch gegenüber etwaigen Behörden oder Anfragen dann sagen hier Schauen Sie mal, ich habe das alles gemacht.

00:15:18: Alles gut!

00:15:19: Schwierigkeits ist letztendlich wenn den Lücken festgestellt werden und ich habe mich für ein System wie CGM oder Tumido entschieden, wie wir damit umgehen?

00:15:31: Der Hersteller meiner Erfahrung reagiert nicht sofort, wenn einen Kunde anruft und sagt er hätte jetzt gerne eine Transportverschlussung auf dem Verfahren eins Punkt drei dann Hör ich sehr oft, wir machen das in zwei Jahren oder wir machen es mit dem nächsten Update.

00:15:45: Oder wir haben's eingeplant und das ist halt heutzutage nicht mehr ausreichend.

00:15:50: Und wenn es dazu führt dass man dann ein neuer Auswand ans PVS drücken muss wird das schon etwas schwieriger.

00:15:56: und da gibt es sogenannte compensating controls also Kontrolls die ich nutzen kann um das Ganze noch sicherer zu machen.

00:16:06: allerdings wird es ja keinen Verstand halten.

00:16:09: und alle Cloud Systeme die jetzt genutzt werden können in dem Bereich, gerade was Gesundheitsdaten angeht.

00:16:18: Unterliegen E der Sozialgesetzgebung, drahin neunzigste Aufgangstein oder drei fünfneunzend dreieinneunzig genannt.

00:16:25: dann auch die sogenannte C-Fünf Testierung durch das BSI oder über das BISI und den Wirtschaftsprüfer wo sie dann ein Zertifikat vom Hersteller bekommen und danken sich sicher gehen.

00:16:35: okay wenn es C-fünf, zwartausendzwanzig oder Neues zwartauzentzechsundzwanziges zertifiziert ist Dann habe ich erst mal mit dieser cloud-losem Casay einen sehr guten Grundlagenstand und überhaupt das einsetzen zu können.

00:16:49: Das BSE will ja sein Bericht als Grundlage nehmen, um einheitliche IT-Sicherheitsstandards zu etablieren.

00:16:59: Wie realistisch ist es denn, dass solch einheitlicher Standard zustande kommt?

00:17:04: Und warum gibt es den eigentlich bisher noch nicht?

00:17:08: Ich sage immer vorsichtig Es gibt's ja!

00:17:11: Die Adressaten sind aber in der Regel nicht Praxen oder kleinere Einrichtungen, das sind in der Wege die Großen.

00:17:19: Also wer setzt sowas um?

00:17:20: Aus meiner Erfahrung sind es große Unternehmen, die da noch eigene Bereich für Security und für Datenschutz generell für diesen ganzen Druckkachtungsbereich einsetzen.

00:17:33: Da kommt einiges in die Unternehmen rein.

00:17:36: Ich bin der Meinung, man muss die Gesetzgebung aus dem Bereich des Dachschutzes hier etwas verändern, den Hersteller mehr eine Pflicht nehmen.

00:17:43: Weil wenn ich ein System kaufe muss sich davon ausgehen so können dass das sogenannte Privacy bei Design und bei Default ist nämlich, dass die Anwendungen die ich bekomme nach den aktuellen Dach-Schutzregelungen und wir sind jetzt im Jahr zwei tausend sechsundzwanzig also wir haben mal eben schon acht Jahre große Erfahrungen umgesetzt werden können.

00:18:01: Es wäre ein kleiner Satz der da drin ist.

00:18:03: Wir haben es in einem Kommentaren teilweise wenn man fließt mit drinnen Allerdings wäre es dann verbindlich für die Hersteller.

00:18:10: Wir haben uns jetzt alle besprochen, wie würden Sie sonst deinkommen, dass eine Praxis das Bruch tragen kann?

00:18:15: Und wir warten, wenn sie eine Praxise eröffnen sind mit einem Arzt oder zwei MFA's.

00:18:18: Wir müssen sich schon eine relativ teure Team-Mannschaft aufstellen, die damit das Ganze immer auf dem Stand hält.

00:18:24: und da bin ich der Meinung Es soll ein Standard geben.

00:18:28: den haben wir.

00:18:29: Er muss halt nur so umgesetzt werden, dass es auf der einen Seite bezahlbar bleibt Auf der anderen Seite dem genügt was wir an Schutz gut haben Und das ist kein großer Schritt mehr, sondern eigentlich nur etwas was für eine Gesetzgebung durchgesetzt werden muss.

00:18:43: Sie meinen mit dem Standard die Datenschutz-Grundverordnung?

00:18:46: Die Datenschutz-Gund Verordnung wir haben im Bereich der Europäischen Verordnung haben wir den sogenannten Cyber Resilience Act.

00:18:56: jetzt erkommt Wir haben die EU Produkthaftungsrichtlinie, die jetzt kommt zum Ende des Jahres.

00:19:01: Wir haben das Thema AI in einem eigenen Ecke zu können und natürlich muss das alles im nationalen Gesetzgebung umgesetzt werden.

00:19:10: Aber wenn wir uns mal zusammen setzen würden, dann würden wir genau diesen Punkt aufnehmen und somit auch die Sicherheit von Herstellerseite gewährleisten können.

00:19:19: Und damit auch ein Testat befahren kann was dazu dient gegenüber dem Käufer oder der Stelle, die eigentlich ja gelernt hat Menschen so helfen und nicht Verträge zu prüfen, damit sehr Rechtsanwärte geworden das einfach zu machen und herzustellen.

00:19:35: Wir haben dafür Checklisten, allerdings wie gesagt ist das Ganze so stark im Wandel und geht so schnell weil es halt auch diese ganzen Zahlbar Angriffen gibt und da muss man halt in der Auswahl leider Gottes heute immer noch sehr vorsichtig sein.

00:19:50: aber ja ich bin ein Verfechter von einem Standard genau wie eine Dateninteroperalität auch im Security Bereich dass das den Mindeststandard ist den nicht als Hersteller und aufbaue natürlich als Praxis auch dementsprechend darstellen muss.

00:20:05: Ohne jetzt die Praxen in einer Kostenfalle zu locken, weil ich denke das kann dann auch wenn der Hersteller schon gelasset hat auf einem etwas günstiger Bereich übergehen.

00:20:16: Gibt es denn gegen die Herstellern kein Druckmittel diese Sicherheitsstandards zu garantieren?

00:20:25: Ist das nicht irgendwo in irgendeinem Gesetz oder in irgend einer Vorordnung festgeschrieben, dass sie doch eigentlich die Gesundheitsdaten schützen müssen?

00:20:33: Ne doch.

00:20:34: Also das gibt es schon letztendlich.

00:20:37: Es ist nicht so, dass die Freiarbeiten Walpen schalten denn aber kein Kläger da auch keinen Rester.

00:20:42: Das heißt ich muss mich ja damit auskennen, damit ich im Endeffekt das ganze auch darstellen kann und an Hersteller sagen kann, so geht's nicht!

00:20:51: Und der Weg, das BSI jetzt gewählt hat ist ja der erste Weg um das mal plakativ darzustellen.

00:20:56: Weil ich glaube wenn man sich eine Praxis aus der Alpha hingeht und sagt liebe CGM Das was du da machst ist alles nicht sicher.

00:21:06: gesagt die CGM passt mal auf ohne jetzt ein Shaming oder Blaming gegen den CGM zu machen ist einfach nur ein Beispiel.

00:21:12: dann sagen sie ja sehr schön ähnlich wie Microsoft Dann nehmen wir das mal auf wie ich ihm sag denn es ist jetzt nichts wo ich dann auch ein Klageweg oder irgendwas beschreiten kann, weil es jetzt kein spezielles Gesetz dazu gibt.

00:21:27: Weil da muss man gut achten haben und sie wissen wie lange das dauert.

00:21:30: Und das ist glaube ich die Problematik, die dahinterstehend.

00:21:33: Was ist denn mit der KBV Sicherheitsrichtlinie?

00:21:36: Welche Ausbildung hat die denn auf die ganze Sicherheitsdiskussion?

00:21:41: Das ist halt eine Sicherheitsrechtlinie, ne!

00:21:44: Ja also... Es ist eine Richtlinie.

00:21:47: Die ist sehr gut.

00:21:47: Ich möchte auch gar nicht schlecht drehen Aber es ist halt eine Richtlinie und die Richtlinien sind nur, wo ich mich dran entlang hange um einen Effekt zu machen.

00:21:56: Und wenn ein Dritter den Ärzten dann sagt oder den MFAS, die verantwortlich sind, ja das ist jetzt alles sicher, weil wir sprechen der KBV Sicherheitsrichtlinie, da ist das ja kein Tastat sondern ist das etwas was ich letztendlich einfach als Aussage habe?

00:22:12: Das ist heute die Thematik.

00:22:13: Wir haben viele Richtlinen, wir haben Richtlinge vom BSI, wir rechtlichen Bereichen haben, das ist halt leider noch zu locker.

00:22:25: Es gibt ja auch von verschiedenen anderen Verbänden Richtlinien die wie vorgeschlagen sind.

00:22:31: Das wird halt alles ein bisschen leider nicht hart genug betrieben.

00:22:36: also das was man jetzt gemacht hat im Bereich der SGB V Regulierung dass man gesagt habe okay wenn ihr ein Cloudsystem mit treibt das Artikel neun Daten also hoch sensibte Daten verarbeitet, bereitstellt, speichert.

00:22:51: Dann müsst ihr ein gewisses Sicherheitsniveau haben und verweist dann auf den Cfm-Standard.

00:22:57: Das sollte man vielleicht für generell alles machen was in diesem hoch sensiblen Bereich unterwegs

00:23:03: ist.".

00:23:03: Gibt es einen Grund dafür warum man das jetzt nur für die Cloud gemacht hat?

00:23:07: Und nicht auch für andere Komponenten in der Praxis?

00:23:10: Ist Ihnen da etwas

00:23:11: bekannt?".

00:23:13: Die Thematik da ist letztendlich, dass man ja in die Freiheitsrechte so ein bisschen eingreifen muss.

00:23:18: Also nicht das Grundrecht der Freiheit, aber wenn wir als Praxisbeginner anfängt, möchte man vielleicht Appelgeräte haben, die einfach schick sind und gut aussehen und weiß sind.

00:23:27: also wir diskutieren unseren Angeboten und Besprechungen vor Ort bei Gründen sehr oft über Farben der Geräte, über Größe der Gereite.

00:23:37: Und da ist so die Thematiker, wenn man jetzt tinkt und sagt ich Sagt ihr ja was auf, du musst das so und so aufbauen.

00:23:46: Damit scheiden dann schon Hersteller aus.

00:23:47: Wird es eher schwierig in diesem persönlichen Bereich zu machen?

00:23:51: Weil es auch die eigene Entscheidung ist.

00:23:53: Und da kann ich halt schlecht vorschreiben... Wir müssen jetzt alle Windows nehmen weil Windows damit kompatibel ist.

00:23:59: Wir müssen alle Mac nehmen weil das dann auch typisch kompatible ist oder wir sagen am sichersten ist Linux.

00:24:04: Wobei wir jetzt ja auch da wissen dass Linux nicht sicher ist.

00:24:06: Weil ein paar Bereiche haben die schon ältere Lücken aufgedeckt haben.

00:24:12: Ich denke, da ist so die Thematik und auch der größte Widerstand in Eingriff.

00:24:16: Die persönliche Entscheidungsfreiheit.

00:24:18: wie stelle ich meine Reiche aus?

00:24:22: Wie stelle sich meine Systeme aus?

00:24:25: Und wir erleben es auch tagtäglich nach den Passworten.

00:24:29: Da wird empfohlen, zwölft Zeichen hochkomplex.

00:24:33: Der eine sagt lassen sie's auslaufen oder benutzen sie lieber nicht den Auslauf weil dann wird einfach hochgezählt.

00:24:39: Da gibt's ja auch kein Gefühl, sonst kommt immer der Bereich Praktikabilität, Usability gegen den Bereich Sicherheit und vielleicht ein Stück Gewohnheit wie ich mit dem System arbeite.

00:24:53: Und viele die halt dann wechseln in so eine Selbstständigkeit und dann auch Personen neben sind natürlich das System gewohnt.

00:25:01: mit denen wollen sie weiterarbeiten.

00:25:02: Und ich würde mir der Dank hingehen und würde sagen, okay.

00:25:04: Ich muss erst mal einen Zagschikat grundlegend haben was ich bei der GMATIC habe Grundlegend für ein PVS-System haben und damit kann ich an den Markt gehen.

00:25:15: Und damit scheiden dann wahrscheinlich schon viele aus weil nur die Großen sich die Kosten leisten können um das so umzusetzen.

00:25:21: Und ich glaube da liegt so ein bisschen die Koherenz zwischen den Bereichen und zwischen den Themen die wir letztendlich... haben und wo es dann auch so in die Entscheidungsfreiheit, welches System ich nicht mehr mit hineingehe.

00:25:35: Wenn man mich fragt, wäre es wichtig dass die Hersteller mehr verpflichtet werden weil ich glaube das würde in vielen Bereichen einfacher werden und es müsste halt so sagen, dass was neu aufgedeckt wird wie zum Beispiel vorgestern die Thematik, dass dann Kompromierprogramm sehr prinzipiell bei den vielen Praxen genutzt wird um Berichte kleiner zu machen oder zu versenden Und mit Passwort zu singen, wird einfach gehackt.

00:25:59: und es ist eine alte Lücke die schon lange bekannt ist.

00:26:01: Und daraus resultierend müsste ich natürlich jetzt alle unsere Kunden anrufen müssen sagen machen wir das Update wenn es da schon gibt oder Änderungen von Seven Zip auf ein Anlass bekommen.

00:26:11: Ich glaube das ist eher die Debatte die ich natürlich auch bewuslichte muss.

00:26:15: In vielen Einrichtungen ist es so dass sich auch Talbis auf Hardware- und Softleträcke die von neunzehnt sechsten achtzig ist.

00:26:21: Also da steht dem nichts mehr in der Tal.

00:26:26: Dann haben wir vielleicht für Windows XP ein Update gemacht, aber nicht gehört dass Windows XP schon lange keine Updates mehr hält und das ist so ein Problem.

00:26:33: Und dann kommen natürlich auf die letzte Ebene der Startmache.

00:26:35: zuvor.

00:26:36: also wenn die Schlagzahlen hier in Berlin lauten, dass wir weiter in Minus sieben behalten darf eine höhere Summe am Eichmannshoff zahlen ja dann ist vielleicht der andere Bereich wenn ich in einer Praxis jetzt wo ich dann für Medizin die Reite viel Geld ausgebe oder IT sehr viel Geld ausgebe Und dann höre das andere, die uns eigentlich diese ganze Gesetzgebung geben.

00:26:59: Die umgehen und das Ganze mit Steuergern am Zahlen etwas schwierig.

00:27:04: Sie sprechen etwas an was ja auch das BSI gesagt hat.

00:27:08: sie haben wirklich nur die PVS Systeme untersucht ohne die anderen Komponenten die in der Praxis vorhanden sind noch zu berücksichtigen.

00:27:18: da gibt es sicher aus ihrer Erfahrung heraus genug Einfallstore für Cyberkriminelle, um an die Daten vom Praxen zu kommen.

00:27:28: Können Sie uns sagen, welche Tore da sind?

00:27:31: Die oft vorhanden sind in den Praxens und die sie dann wieder schließen müssen?

00:27:37: Ja also sehr oft stelle ich fest dass wir mit WLAN-Bereichen arbeiten.

00:27:44: Das heißt, Sie haben ja heutzutage wenn Sie in die Praxis gehen, haben Sie stetig sogenannte Patienten WLANs Ja, und dann logge ich mich da ein in so einem Patienten-Wählern.

00:27:55: Und kann auf dieses Thema der MFA zuwalfeln.

00:27:57: Das heißt, die sind ganz gut trennt.

00:27:59: Man hat einfach nur zweites Wählern aufgemacht... ...und ja damit einen Passwort, jetzt sagen wir es erlaubt herzubekommen.

00:28:06: Dann hab' ich auch schon erlebt oder schön dass sie da sind war auch ein Passwort was natürlich von Grund her schon eine Lücke letztendlich ist.

00:28:15: Dann macht immer mehr über die WLAN thematik gesprochen.

00:28:18: das wird also auch die ganze Telefonie auf WLAN umgestellt Es wird die ganze Infrastruktur aufwäldern umgestellt, was von der Flexibilität ganz schlecht war stehen.

00:28:29: Aber es ist natürlich dann auch bedeutet dass selbst ein MRT also ein radiologisches Gerät auch mit solchen Zugängen angeschlossen ist.

00:28:42: und ausresultierend habe ich dann wenn ich so eine Einsatzdauer habe das ist eines der größten die ich kenne ja sehr schnell Zugang zum System kann alles machen.

00:28:52: Ich finde sehr oft schlecht gepetschtes System bis hin zu gar nicht gepätschten System.

00:28:58: Das war jetzt mal eingerischt und ist dann Hause gegangen, weil die laufen ja noch.

00:29:03: Und jeder Patsch kostet Geld und bedeutet Ausfall.

00:29:06: Wachtungsverträge sind oft Brennentörter.

00:29:09: das ist so eine Thematik wie ich sehr oft höre.

00:29:14: Ja?

00:29:15: Dann habe ich halt immer auf den Höchstenbereich dass es halt die Trennung also die Auftrennung wenn ich als MFA drei MFA's, die mal arbeiten sehr oft mit dem Konto MFA und ein, zwei, drei für fünf.

00:29:28: Weil ich keine Mitarbeiter machen, wo die andere aufgehört hat.

00:29:32: Dass das heute auch anders geht wissen sehr viele nicht.

00:29:35: Das ist Ganggeber und es ist einer der größten Einfahrts-Tore, die ich direkt am Rechner sehe oder auch in den Systemen sehe.

00:29:42: Ich habe keine Passwortvorschrift,

00:29:44: d.h.,

00:29:44: das Pathose ist einfach sehr leicht und wird dann auch noch zwischen den einzelnen Personen herumgereicht.

00:29:52: Und schenken wir mal, jetzt geht eine Person hin.

00:29:54: Verlässt die Praxis, wechselt sie nachher andere und vielleicht nicht in so einem guten Feld bis gegangen?

00:30:00: Ja auch danke dafür!

00:30:02: Ich kann ja mal nachgucken, weil geändert wird das nicht.

00:30:05: Also die ganzen Standards sind eigentlich aus den Größenunternehmen kennend.

00:30:09: Sind hier Einfahrts-Tore, die bei kleinen Unternehmen respektive Praxen sehr oft noch vorhanden sind.

00:30:15: und die Aussage, ja aber es läuft ja.

00:30:17: Und wenn sie jetzt das Update machen oder Ausfälle kann es sein dass danach was nicht funktioniert?

00:30:23: Ja, das ist so.

00:30:24: Aber letztendlich wenn Sie die Änderung nicht vornehmen dann ist es halt so, dass sie angreifbar sind.

00:30:32: und wenn sie anggreifbar waren, dann kann es auch mal vielleicht von zwei Stunden aus, weil diese durch den Update haben zu einem Außen von mehreren Wochen kommen, weil sie erst verschlüsselt sind.

00:30:42: Was gratten Sie Praxen denn bei dem Passwort, dass wirklich jeder Mitarbeiter ein eigenes Passwort hat.

00:30:48: Ja.

00:30:48: Egal ob es dann bisschen umständlich wird vielleicht in der Handtrabung?

00:30:53: Nein das haben wir ja.

00:30:54: also eigentlich haben wir das nicht mehr.

00:30:55: Wenn mir heute... Also wir haben damals schon mit dem Service System gemeinsame Laufwerke gehabt und ich kannte auch schon, also dann habe ich angefangen vor dreißig Jahren konnte hier auch schon Daten gemeinsam ablegen.

00:31:08: Heutzutage kann ich an den Daten so gemeinsam arbeiten, d.h.

00:31:12: Wir übergabe in dem meisten system dann auch meine kollegin übergeben und die braucht nicht meinen kennmacht um reinzukommen.

00:31:20: Hier sage ich eigentlich das ist ja nichts anderes wie ihr pinn von der ec-körche.

00:31:26: Wenn jetzt etwas passiert sie haben ein angeriss Dann kommt die forensik und die forensikt wird ihnen sagen Moment Ich habe hier einen lock, siebts nur zwei drei sechs da waren sie am system Sie sind erschuld Da bewalten Sie mal den Forenziker und den Rechtsanwälten oder auch für die Versicherung folgend, dass sie das nicht waren.

00:31:48: Dann müssen Sie schon gute Argumente

00:31:49: haben.".

00:31:50: Man könnte es ein paar Mal sagen ja aber meine Kollegin wusste auch das kennenworte.

00:31:53: Ja, aber ihre Kollegin worte ihn wahrscheinlich nichts an, das weiß ich.

00:31:57: Und das sind so Sachen, die letztendlich menschlich total verständlich sind im Praxisalltag in der Hektik und den Druck, denen alle haben da sind.

00:32:08: Aber dann muss ich meine Praxis halt so aufbauen, dass ich mit Übergaben arbeite, das gemeinsam Laufwerken arbeite und meinetwegen auch mit einem Postfacharbeiter, was sich freigegebe – allerdings nicht auf Persönschaften.

00:32:20: Wie viel kostete es in Ihrer Ansicht nach um eine Praxis vernünftig abzusichern gegen Hacker-, Cyberkriminelle?

00:32:30: Und ist es überhaupt möglich, eine Praxise so gut absichern, dass gar nichts mehr passiert?

00:32:36: Das glaubt man ja eigentlich nicht vor dem Hintergrund, dass jetzt auch die KI schon Heckern hilft, die die ganzen offenen Stellen zu finden in den System.

00:32:46: Genau also ich glaube das Märchen, dass wir hundert Prozent Sicherheit erreichen – das haben wir nicht!

00:32:54: Wir können sehr gut absichern und wir können davon ausgehen, dass sie eine sehr hohe Prozentzahl erreichen.

00:33:02: in der Sicherheit allerdings muss man immer bedenken, wenn eine Schwachstelle gefunden wird durch diese Schwachstellen in der Regel erst dann geschlossen.

00:33:11: Das heißt vollkantet keiner diese Schwachtstelle.

00:33:15: Bedeutelt auf die anderen Seite ich sollte halt immer schauen dass sich vielleicht etwas erzögert aber relativ zügig das Einspiele was mich schützt und von der Fireball beginnt um den Schutz nach außen zu haben bis hin zu einem Sicher- und Praxis System alles zu unterlegen und dementsprechend auch die Trennung zwischen Medizin Netzwerk, Patienten-Netzwerke und internen Netzwerk vorzunehmen.

00:33:42: Um da auch nochmal abzuschotten... Da gibt es ganz viele Maßnahmen, dass ein Team bunter Blumenstrauß, den man zusammenstellen kann, von den Kosten hinkt das auch immer von der Größe an.

00:33:52: Ja, Sicherheit ist teuer!

00:33:54: Das ist leider so.

00:33:56: Hängt aber damit zusammen, dass die ganzen Sicherheitsfirmen, die jetzt Viren Software herstellen, die Fireworks herstellen natürlich Versuchen immer vorn dabei zu sein, eigene Hacker beschäftigen die ihre Systeme auch testen.

00:34:09: Die müssen ihre Zartifikate braubringen, sie müssen nicht so eine Zertifizierung haben.

00:34:15: Ansonsten dürfen Sie auch bestimmte Umgebungen gar nicht eingesetzt werden.

00:34:18: das kostet alles Geld.

00:34:20: Eine Hausnummer daran zu schreiben gerade in EU ist halt immer schwierig und da kann man durchaus mal davon ausgehen.

00:34:29: wenn ich eine Standardpraxis habe einen Arzt zwei MFA's Mit WLAN, mit einer festgebundenen Infrastruktur.

00:34:39: Mit einer Abtrennung der Netzwerke, mit einem Firewall und einem eigenes Server, dann liegen sie schon bei ... Ich würde sagen über dreißigtausend Euro in die erste Anschaffung.

00:34:49: Und dann kommen die Beachtungsregel dazu.

00:34:51: Stolzse Summe!

00:34:52: Aber die sollte man sich wahrscheinlich schon leisten?

00:34:55: Ja, man muss das ja aufrechnen.

00:34:56: Letztendlich kann ich es ja eigentlich sagen, wenn ich drei Wochen lang nicht mehr lange bin... meine Praxis zu betreiben oder sagen wir zwei Wochen, um es kürchterzumachen.

00:35:08: Und muss da mal die Personalkosten, die Ausfahrtkosten alles dagegen rechnen auch in die Versicherung vielleicht zahlen?

00:35:15: Dann ist das wahrscheinlich eine Erstanschaffung sehr viel Geld aber im zweiten Blick vielleicht gut eingestellt und dementsprechend angeschaut.

00:35:24: Nellis was raten Sie denn dem Praxen.

00:35:26: jetzt nach dem Bericht des BSI Sollte man an seinen Hersteller herantreten und fragen, was sie für Standardsverbände sich irgendwas schwarz auf weiß geben lassen zum Abheften?

00:35:41: Ich würde aus meiner Sicht als Schritt eins mehr Zeit in die Auswahl eines Praxissystems stecken.

00:35:48: Und mir denke auch daraus eine Essenz ziehen zu können, um zu schauen wer ist nicht nur Newsability sondern auch ein Sicherheitsstaat?

00:35:56: das der eine Weg.

00:35:58: Der zweite Weg ist, ich muss mir den sogenannten Auftragsverarbeitung zutragen und die damit verbundenen technologischen Maßnahmen anschauen.

00:36:07: Wenn ich sie nicht verstehe, muss ich mir leider einen dazu nehmen der es versteht.

00:36:12: Und da aber auch ein, der es damit auskennt ist meine Einschätzung.

00:36:15: Nichtsdestotrotz sollte... Man sich selber auch schulen mit neuen Systemen, weil letztendlich kommen immer mehr KI bezogen.

00:36:23: Das Thema auf dem Markt oder werden ergänzt in den aktuellen Bereichen.

00:36:27: also da sollte ich mich auskennen gerade wenn sie auch nutzen möchte.

00:36:31: das ist aus meiner Sicht einer der grade wichtigsten Themen auch nach vorne gesehen auch für meine Mitarbeitenden die dann natürlich auch nicht nutzen können und da kommen wir sehr viel weiter nach vorn und können.

00:36:44: auch viele Routine Aufgaben in die KI-Verlage sehe ich sehr große Chancen.

00:36:51: und ansonsten ja es gibt durchaus Verbände, ob's da verbinde sind oder ob generell ein Bundesverband ist.

00:37:00: Wenn ihnen was auffällt sollte man sich das schon zusammen tun und sollte vielleicht auch mal in einer gemeinsamen Vorlage den Bundesvorliegen der dann vielleicht mehr ausrichten kann als wenn man als einzige Praxis oder als zwei drei Praxen einen Hersteller wandt.

00:37:19: Ja, auch in Hersteller Kosten und das ist mir klar.

00:37:21: Aber ich denke wir sollten im Jahr im Jahr zum Jahr oder im Jahr oder zum Jahr, wenn man Geräte verkauft.

00:37:27: Es gibt ja Übersichten mittlerweile welche PVS gibt es am Markt?

00:37:31: Und welche werden viel genutzt von den Ärzten und auch weiter empfohlen?

00:37:35: Gibt es denn solche Websites oder Übersichten für die Sicherheitsstandards der PVS?

00:37:40: Nein!

00:37:41: Also mir nicht bekannt.

00:37:42: Mir absolut nicht bekannt.

00:37:44: Vielleicht wäre das mal ein guter Tipp als Folge jetzt zu machen.

00:37:47: Aber wie Sie ja auch schon einen Eingang sagten, es ist vielleicht nicht einmal so schnell gemacht weil viele Informationen nicht beigeben sind.

00:37:58: Und an Demo-Version der einzelnen PVS Hersteller wann zu kommen die man dann nutzen kann um einen Angriff zu fahren und zu schauen was passiert da wie gut sie sind.

00:38:08: ich weiß nicht ob das so einfach gelingt.

00:38:11: sagen wir's mal freundlich.

00:38:12: Also man müsste sich, wenn man sich für ein bestimmtes System interessiert erstmal den Hersteller anschreiben und ihn fragen was benutzt du eigentlich als Standard?

00:38:21: Genau also es gibt ja durchaus auch da kann man vielleicht KI nutzen.

00:38:26: Gerade es gibt einen Bereich Lord jetzt mittlerweile den Liegelbereich der ist schon relativ gut.

00:38:32: Der kann auf rechts sicher gut formulieren.

00:38:34: Und wenn man Dalhouten prompt also eine Eindamme macht und sagt okay gebt mir mal bitte eine Checkliste zurück die alle rechtlich notwendigen Einstellungen eines PVS Systemes darstellt und macht dieses Bitter als Checkliste, dann werde ich schon ein relativ gutes Ergebnis bekommen.

00:38:54: Und das kann ich ja meinem PVS Ampeter dann geben und sagen, dass es in meinen Mindestvoraussetzungen nicht gerne hätte.

00:39:01: Das vergleicht auch mal mit dem Auftragsverarbeitungsbezeichnungs- und den Toms.

00:39:06: Dann schau ich mir's mal an!

00:39:09: Wie gesagt... Kriege ich vielleicht auch ein Bild, wenn ich eine Antwort kriege?

00:39:15: Vielleicht bekomme ich auch keine Antwort weil ich dann als nicht gern gesehener Kunde gelistet bin.

00:39:22: Keine Ahnung also ganz ganz vorsichtig aber das schafft ja durchaus Arbeit auf einer Hersteller Seite die glaube ich heutzutage so nicht bedient ist.

00:39:31: Wenn ich keine Antwort bekomme sollte ich über einen Wechsel nachdenken

00:39:36: Genau.

00:39:36: Also grundsätzlich gilt ja auch aus der DSGFO, die dreht sich heraus wenn sie in den Verzeihsverarbeitungstätigteilungen und Technologen oder Situationen am Schwächen feststellen müssen Sie diese Schwächen für sich bewerten und nach Artikel thirty-five DSG FO und sogenannte Datenschutzvorgabschätzung machen.

00:39:52: Und kommen Sie dann zum Schluss dass die Gesundheitsdaten nicht geschützt sind Dann dürfen sie eigentlich per se mit denen nicht zusammenarbeiten.

00:40:01: das muss wir alles so haben.

00:40:03: also ist er nicht gesetzeskonform dürfen Sie nicht zusammenarbeiten, sonst haben sie ja wieder einen schwarzen Peter.

00:40:08: Bei der Versicherung nachher?

00:40:10: Oder wo habe ich den schwarzem Peter dann genau?

00:40:13: Naja letztendlich die Versicherung ist die eine Seite der Medaille und die andere Seite der medaille ist denn wirklich auch die Strafrechtsbewertung.

00:40:19: zweihundertdrei, sprich wenn ich halt nicht geprüft habe ob die Patienten-Daten, die ich verschicke Und ich mache es jetzt nicht über über das Cinematikinfrastruktur sondern schickst halt einfach ein Kollegen raus mit dem kompletten Radulierbericht Das Wort Abgeficht, dann bin ich halt nicht nur im Bereich der Produkthaftung oder in dem Bereich der eigenen Haftung aufgrund Art von Datenschutz und andere.

00:40:42: die sind strafrecht.

00:40:44: Es ist immer ein geheimes Verwahrt und dementsprechend greift er der SdGW-Zwone drei A an einer MFA zum Beispiel weil ich muss mich mit den Systemen auskennen.

00:40:53: das meinte ich eben mit Schulungen.

00:40:54: Ich muss mich schon darauf schulen lassen.

00:40:57: was bedeutet das?

00:40:59: Nichtsdestotrotz sage ich immer Ich habe mir bewusst diesen Beruf gewählt, um mit dem im ganzen Artierbereich nichts zu tun haben.

00:41:05: Deswegen ist es vielleicht ganz gut, wenn man sich da auch hinzu sucht.

00:41:09: Ein schönes Schusswort Herr Nettis!

00:41:11: Ich bedanke mich für das Gespräch.

00:41:14: Vielen Dank!