Die professionelle Messaging-Plattform des CHU Montpellier basiert auf einer Multi-Faktor-Authentifizierung, die mit einem standortspezifischen segmentierten Netzwerk kombiniert ist. Für einen Mitarbeiter, der sich anmelden möchte, verwandelt die Kombination dieser beiden technischen Anforderungen eine banale Handlung (seine E-Mails lesen) in einen Prozess, bei dem die Reihenfolge der Schritte ebenso wichtig ist wie die Anmeldedaten selbst.
Browser oder mobile Anwendung: Auswirkungen auf die Sicherheit von Patientendaten
Bevor wir über das Anmeldeverfahren sprechen, beeinflusst eine vorherige Entscheidung das Niveau der Datenexposition. Der Browser öffnet eine temporäre Sitzung, die sich bei der Abmeldung oder nach einer Inaktivitätszeit schließt. Keine Nachrichten oder Anhänge werden lokal auf dem Gerät gespeichert.
Die mobile Anwendung hingegen kann Nachrichten und deren Anhänge lokal auf dem Gerät des Mitarbeiters synchronisieren. In einem Krankenhauskontext, in dem die Kommunikation regelmäßig Gesundheitsinformationen enthält, ist dieser Unterschied nicht unerheblich.
| Kriterium | Browser (Web-Sitzung) | Mobile Anwendung |
|---|---|---|
| Lokale Speicherung von Nachrichten | Keine | Synchronisation auf dem Gerät möglich |
| Persistenz der Sitzung | Automatische Schließung nach Inaktivität | Sitzung im Hintergrund aufrechterhalten |
| Risiko bei Verlust des Geräts | Niedrig (nichts gespeichert) | Hoch (Nachrichten und Anhänge zugänglich) |
| Kompatibilität bei gemeinsam genutzten Geräten | Geeignet (einfache Abmeldung) | Ungeeignet (Konto an das Gerät gebunden) |
Für Mitarbeiter, die an gemeinsam genutzten Arbeitsplätzen in Behandlungsräumen oder Bereitschaftsbüros arbeiten, bleibt der Browser die sicherste Zugangsart. Die mobile Anwendung ist eher für Führungskräfte oder Praktiker geeignet, die über ein dediziertes berufliches Gerät verfügen.
Ein detaillierter Leitfaden zur Messaging für Mitarbeiter des CHU Montpellier beschreibt die funktionalen Unterschiede zwischen diesen beiden Zugangsarten.
MFA-Registrierung im CHU Montpellier: Die Netzwerkbeschränkung, die niemand klar angibt
Die MFA-Registrierung muss über das interne Netzwerk des CHU erfolgen. Diese Verpflichtung stellt den Hauptblockadepunkt bei der ersten Anmeldung dar. Der Versuch, den Einmalcode über ein Gast-WLAN, von zu Hause oder über eine mobile Verbindung zu aktivieren, löst keine explizite Fehlermeldung aus: Der Prozess schlägt stillschweigend fehl.
Der Mitarbeiter muss sich physisch in einem Dienst des CHU befinden, verbunden mit dem kabelgebundenen Netzwerk oder dem professionellen WLAN, um die Verknüpfung zwischen seinem Konto und der Authentifizierungsanwendung (z.B. Microsoft Authenticator) zu starten. Sobald diese Registrierung im internen Netzwerk validiert ist, werden Verbindungen von außen möglich.
Konkrete Schritte der initialen Registrierung
- In einen Dienst des CHU gehen und sich mit dem professionellen Netzwerk (kabelgebunden oder internes WLAN, nicht das Gastnetzwerk) verbinden
- Das Authentifizierungsportal des CHU über einen Browser öffnen und die Anmeldedaten eingeben, die vom IT-Service bereitgestellt wurden
- Der Verknüpfungsprozedur mit der Authentifizierungsanwendung auf dem persönlichen oder beruflichen Telefon folgen
- Den von der Anwendung generierten Einmalcode validieren, um die Registrierung zu bestätigen
Nach diesem Schritt funktioniert der Remote-Zugang normalerweise. Jeder Versuch einer Registrierung außerhalb des internen Netzwerks schlägt ohne Warnung fehl, was die Mehrheit der Support-Tickets zur ersten Anmeldung erklärt.
Verlust des Telefons und desynchronisierte MFA: zwei unterschiedliche Blockaden
Ein vergessenes Passwort kann in wenigen Minuten über das Standardverfahren zurückgesetzt werden. Der Verlust oder die Ersetzung des mit der MFA verbundenen Telefons folgt einem ganz anderen Prozess.
Die Rücksetzung des zweiten Faktors erfordert eine Intervention des IT-Supports. Der Mitarbeiter kann ein neues Gerät nicht selbstständig mit seinem Konto verknüpfen. Diese Abhängigkeit schafft eine variable Ausfallzeit, abhängig von der Auslastung des Support-Services.
Abgelaufenes Passwort versus verlorenes Telefon
Ein abgelaufenes Passwort kann im Selbstbedienungsverfahren über das Authentifizierungsportal behandelt werden. Der Prozess bleibt auch von außerhalb des Netzwerks zugänglich, vorausgesetzt, die MFA-Registrierung wurde bereits durchgeführt.
Der Verlust des Telefons hingegen unterbricht den Zugang zum zweiten Faktor. Der Mitarbeiter muss den Support kontaktieren, seine Identität nachweisen und dann die Registrierung erneut über das interne Netzwerk durchführen. Diese doppelte zwingende Passage (Support und dann internes Netzwerk) verlängert die Wiederherstellungszeit.
Management des Zugriffslebenszyklus: Ankunft, Versetzung, Abgang
Der Zugang zur Messaging-Plattform des CHU beschränkt sich nicht auf eine Benutzer-ID und ein Passwort. Die Rechte sind an die ausgeübte Position gebunden. Bei einer internen Versetzung, einem Wechsel des Dienstes oder einem Abgang müssen die Zugänge deaktiviert und dann gemäß dem neuen Umfang neu zugewiesen werden.
Dieses Management des Identitätslebenszyklus bedeutet, dass der Mitarbeiter, der den Dienst wechselt, vorübergehend den Zugang zu seiner Messaging-Plattform verlieren kann, bis die Rechte neu konfiguriert sind. Das Intranet-Portal und die Fachanwendungen folgen derselben Logik der Neuzuweisung.
- Ankunft: Erstellung des Kontos, Zuweisung der Rechte gemäß dem Dienst, MFA-Registrierung vor Ort obligatorisch
- Versetzung: Deaktivierung der alten Rechte, Neuzuweisung im neuen Umfang, manchmal Notwendigkeit, die Registrierung erneut durchzuführen
- Abgang: vollständige Deaktivierung des Kontos und Löschung der Remote-Zugänge
Jeder Positionswechsel kann eine neue MFA-Registrierung erfordern. Mitarbeiter, die häufig zwischen den Diensten versetzt werden, sollten diese Phase mit dem IT-Support vor ihrem tatsächlichen Dienstantritt antizipieren.
Der Zugang zur Messaging-Plattform des CHU Montpellier hängt weniger vom Wissen um eine URL ab als von der Beherrschung der technischen Sequenzierung: Zuerst Registrierung im internen Netzwerk, dann Auswahl des geeigneten Zugangsmodus für die eigene Position und Antizipation der Blockierungsfälle im Zusammenhang mit dem Telefon oder den Dienstwechseln.
