Montagmorgen, 7:45 Uhr. Das Wartezimmer füllt sich, doch die Praxissoftware startet nicht. Auf dem Empfangsrechner steht eine Lösegeldforderung. Termine, Befunde, Abrechnungsdaten, Medikationspläne: nichts ist abrufbar. Für eine Arztpraxis ist das nicht nur ein technisches Problem, sondern eine Frage der Patientenversorgung und des Vertrauens.
Arztpraxen verarbeiten Gesundheitsdaten, die zu den sensibelsten Daten überhaupt gehören. Gleichzeitig fehlen meist eigene IT-Fachleute, und der Praxisalltag lässt wenig Zeit für IT-Themen. Deshalb gibt es für Praxen der vertragsärztlichen Versorgung eine eigene, verbindliche Richtlinie zur IT-Sicherheit.
In diesem Beitrag erfahren Sie, was die IT-Sicherheitsrichtlinie der KBV verlangt, welche Anforderungen je nach Praxisgröße gelten, was sich 2025 geändert hat und wie Sie die IT-Sicherheit Ihrer Praxis Schritt für Schritt aufbauen.
Die rechtliche Grundlage: § 390 SGB V und die KBV-Richtlinie
Nach § 390 SGB V legt die Kassenärztliche Bundesvereinigung in einer Richtlinie fest, welche Anforderungen an die IT-Sicherheit in der vertragsärztlichen Versorgung gelten. Die Anforderungen sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit vermeiden, dem Stand der Technik entsprechen, am Schutzbedarf ausgerichtet sein und regelmäßig überprüft und angepasst werden. Die Richtlinie wird im Einvernehmen mit dem BSI erstellt. Für Zahnarztpraxen gibt es eine entsprechende Richtlinie der KZBV. Die Vorgaben haben den früheren § 75b SGB V abgelöst.
Die wichtigsten Grundsätze laut KBV:
- Verbindlich für alle Praxen der vertragsärztlichen Versorgung, unabhängig davon, ob sie an die Telematikinfrastruktur angebunden sind.
- Verantwortlich ist die Praxisinhaberin oder der Praxisinhaber. Die Umsetzung einzelner Anforderungen kann delegiert werden, etwa an einen IT-Dienstleister, die Verantwortung bleibt.
- Die Richtlinie beschreibt ein Mindestmaß. Was darüber hinaus nötig ist, hängt von IT-Ausstattung, Personal und Gefährdungslage ab.
Daneben gilt die DSGVO: Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten, und Art. 32 verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. Die KBV-Richtlinie konkretisiert diese Pflichten für den Praxisalltag.
Welche Anforderungen für welche Praxis gelten
Die Richtlinie staffelt die Pflichten nach der Zahl der Personen, die ständig mit Datenverarbeitung betraut sind, und nach der eingesetzten Technik. Laut KBV-Praxishinweisen gilt:
| Praxistyp | Merkmal | Anzuwendende Anlagen |
|---|---|---|
| Praxis | bis 5 Personen in der Datenverarbeitung | Anlage 1 und 5 |
| Mittlere Praxis | 6 bis 20 Personen | Anlage 1, 2 und 5 |
| Großpraxis | mehr als 20 Personen oder Datenverarbeitung in erheblichem Umfang, etwa große MVZ oder Labore | Anlage 1, 2, 3 und 5 |
| Zusätzlich bei Großgeräten | Einsatz medizinischer Großgeräte wie CT oder MRT | zusätzlich Anlage 4 |
Anlage 1 enthält die Grundanforderungen für alle Praxen. Anlage 5 betrifft die dezentralen Komponenten der Telematikinfrastruktur wie Konnektor und Kartenterminals und gilt ebenfalls für alle Praxen. Anlage 2 und 3 ergänzen Anforderungen für größere Praxen, Anlage 4 für medizinische Großgeräte.
Was zum Basisschutz gehört
Die KBV fasst den Basisschutz für die IT-Infrastruktur so zusammen:
- Zugriffsschutz: Zugriffsrechte und Sperrcodes für alle Geräte.
- Passwörter: komplexe, nicht mehrfach verwendete Passwörter, nach Möglichkeit mit Multi-Faktor-Authentifizierung.
- Updates: zeitnahes Einspielen von Updates für Software, Betriebssysteme und Telematikinfrastruktur.
- Virenschutz und Firewall: Schutz vor Schadsoftware und unerlaubten Verbindungen, besonders am Übergang ins Internet.
- Backups: regelmäßige Sicherungen, die sich wiederherstellen lassen und nicht mitverschlüsselt werden können.
- Personal: regelmäßige Schulung und Sensibilisierung des Praxisteams.
- Medizinische Großgeräte: Zugriff auf Wartungsschnittstellen nur für Berechtigte, Protokollierung sicherheitsrelevanter Ereignisse.
Was sich 2025 geändert hat
Die aktualisierte Richtlinie ist laut KBV Anfang April 2025 in Kraft getreten. Die neuen Anforderungen mussten spätestens ab dem 1. Oktober 2025 umgesetzt sein, die bisherigen Anforderungen gelten weiter. Neu sind vor allem Vorgaben zum Praxispersonal:
- Regelmäßige Schulung des Personals zur Informationssicherheit, passend zu Aufgaben und eingesetzter Technik.
- Umgang mit Spam: verdächtige E-Mails nicht beantworten, keinen Links folgen, löschen.
- Einarbeitung neuer Mitarbeitender in die Praxis-IT und die geltenden Regeln.
- Geregelter Austritt: Rückgabe von Schlüsseln, Geräten, Ausweisen und Zugangsberechtigungen, Änderung bekannter Passwörter.
- Externes Personal: Verpflichtung von Dienstleistern auf die Regeln, Beaufsichtigung kurzfristig eingesetzter Externer, möglichst eingeschränkte Zugangsrechte und eine schriftliche Vertraulichkeitsvereinbarung vor dem Zugang zu vertraulichen Informationen.
Die Richtlinie wird regelmäßig fortgeschrieben. Den aktuellen Stand finden Sie jeweils auf der Seite der KBV.
Besonderheiten für MVZ, Zahnarztpraxen und Praxen über 50 Beschäftigte
Medizinische Versorgungszentren mit vielen Beschäftigten, mehreren Standorten oder eigenen Laboren fallen schnell in die Kategorie Großpraxis und müssen dann auch die Anforderungen der Anlagen 2 und 3 erfüllen. Hinzu kommen standortübergreifende Netze, zentrale Server und mehr externe Dienstleister.
Zahnarztpraxen unterliegen der entsprechenden Richtlinie der KZBV, die nach demselben gesetzlichen Auftrag aus § 390 SGB V erstellt wird. Inhaltlich sind die Anforderungen ähnlich, im Detail sollten sich Zahnarztpraxen an der Fassung der KZBV orientieren.
Ab 50 Beschäftigten kann eine Einrichtung als Erbringer von Gesundheitsdienstleistungen zusätzlich unter das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes fallen. Dann kommen Registrierung beim BSI, Meldepflichten für erhebliche Sicherheitsvorfälle und die gesetzlich geregelte Verantwortung der Geschäftsleitung hinzu. Ob das zutrifft, zeigt unser Beitrag Wer ist von NIS2 betroffen?.
Warum Arztpraxen ein Ziel für Angreifer sind
- Wertvolle Daten: Gesundheitsdaten lassen sich für Erpressung und Betrug missbrauchen.
- Hoher Zeitdruck: Eine Praxis kann nicht tagelang geschlossen bleiben. Angreifer setzen darauf, dass schnell gezahlt wird.
- Wenig eigene IT-Kompetenz: Updates, Backups und Sicherheitseinstellungen liegen oft bei einer externen Firma oder werden nebenbei erledigt.
- Viele Schnittstellen: Praxissoftware, Telematikinfrastruktur, Labor, Medizingeräte, Online-Terminbuchung, E-Mail.
Am häufigsten beginnen Angriffe mit einer Phishing-Mail, etwa einer vermeintlichen Rechnung, Laborbefund-Benachrichtigung oder Nachricht der Kassenärztlichen Vereinigung.
Die wichtigsten Maßnahmen im Praxisalltag
Backups, die wirklich funktionieren
Die Datensicherung ist die wichtigste Versicherung gegen Ransomware. Bewährt hat sich die 3-2-1-Regel: drei Kopien, zwei verschiedene Medien, eine davon außer Haus oder vom Netz getrennt. Mindestens einmal im Quartal sollte getestet werden, ob sich die Praxissoftware aus dem Backup wiederherstellen lässt und wie lange das dauert.
Zugänge absichern
Jede Person meldet sich mit eigenem Konto an, keine gemeinsamen Praxis-Logins. Bildschirmsperre bei Verlassen des Arbeitsplatzes, auch am Empfang. Fernzugriffe für den IT-Dienstleister oder für das Arbeiten von zu Hause nur mit Multi-Faktor-Authentifizierung. Wie das funktioniert, erklärt unser Beitrag Was ist Multi-Faktor-Authentifizierung?.
Netzwerk trennen
Gäste-WLAN im Wartezimmer, Praxisnetz mit Praxissoftware und Medizingeräte gehören in getrennte Netzbereiche. Ein Patient im WLAN darf niemals das Praxisnetz erreichen. Bei größeren Praxen und MVZ lohnt sich eine feinere Segmentierung, besonders für Medizingeräte, auf denen keine Sicherheitssoftware laufen kann.
E-Mail und Kommunikation
E-Mail-Filter gegen Spam und Phishing, Vorsicht bei Anhängen und Links, keine Patientendaten unverschlüsselt per E-Mail. Für die Kommunikation mit anderen Leistungserbringern stehen die Dienste der Telematikinfrastruktur zur Verfügung.
Telematikinfrastruktur
Konnektor und Kartenterminals sind nach Anlage 5 abzusichern. Dazu gehören die Aktualisierung der Komponenten, der Schutz vor unbefugtem Zugriff und eine sichere Einbindung ins Praxisnetz. Heilberufs- und Praxisausweise sind sicher aufzubewahren und PINs nicht weiterzugeben.
Mobile Geräte
Smartphones und Tablets mit Praxisdaten brauchen Gerätesperre, Verschlüsselung und die Möglichkeit, sie bei Verlust aus der Ferne zu sperren oder zu löschen. Private Messenger sind für Patientendaten tabu.
Schulung des Teams
Kurze, regelmäßige Schulungen mit Beispielen aus dem Praxisalltag, etwa gefälschten Mails im Namen von Labor oder Kassenärztlicher Vereinigung. Wichtigste Regel: Im Zweifel nicht klicken, sondern nachfragen. Mehr dazu auf unserer Seite zum Awareness-Training.
So gehen Praxen bei der Umsetzung vor
Die KBV empfiehlt ein schrittweises Vorgehen:
- Praxistyp bestimmen: Wie viele Personen arbeiten ständig mit der Datenverarbeitung? Gibt es medizinische Großgeräte?
- Bestandsaufnahme: Alle IT-Komponenten erfassen, von Rechnern und Druckern über Router und WLAN bis zu Konnektor, Kartenterminals und vernetzten Medizingeräten.
- Netzplan erstellen: Die Komponentenliste ist die Grundlage für einen Netzplan, der nach jeder Änderung aktualisiert wird.
- Anforderungen abgleichen: Mit der Checkliste der KBV prüfen, welche Anforderungen erfüllt sind und welche nicht.
- Maßnahmen festlegen und umsetzen: Zuständigkeiten klären, gegebenenfalls mit einem IT-Dienstleister.
- Regelmäßig überprüfen: Mindestens jährlich und nach größeren Änderungen.
Laut § 390 SGB V können Mitarbeitende von IT-Dienstleistern auf Antrag von der KBV zertifiziert werden, wenn sie geeignet sind, Praxen bei der Umsetzung zu unterstützen. Bei der Auswahl eines Dienstleisters lohnt es sich, nach Erfahrung mit der Richtlinie zu fragen.
Notfallplan für die Praxis
Ein Notfallplan muss nicht kompliziert sein, aber er muss im Ernstfall greifbar sein, also auch ausgedruckt:
- Wer wird angerufen? IT-Dienstleister, Notfallhotline, Praxisinhaber, Datenschutzbeauftragte. Wie Sie uns im Notfall erreichen, steht auf unserer Seite Gehackt, was tun?.
- Was tun die Mitarbeitenden? Betroffene Geräte vom Netz trennen, nicht ausschalten, nichts löschen, Vorfall melden.
- Wie läuft der Praxisbetrieb weiter? Papierformulare für Anamnese, Rezepte und Überweisungen, Terminliste als Ausdruck, Erreichbarkeit per Telefon.
- Wer meldet was? Datenpannen in der Regel innerhalb von 72 Stunden an die Datenschutzaufsicht, Anzeige bei der Polizei, Information der Kassenärztlichen Vereinigung je nach Vorgabe.
- Wie wird wiederhergestellt? Reihenfolge der Systeme, Zugangsdaten für das Backup, Ansprechpartner beim Softwarehersteller.
Praxisbeispiel: Eine Hausarztpraxis mit acht Beschäftigten
Eine Hausarztpraxis mit zwei Ärztinnen, fünf Medizinischen Fachangestellten und einer Verwaltungskraft ist eine mittlere Praxis im Sinne der Richtlinie, weil mehr als fünf Personen ständig mit der Datenverarbeitung arbeiten. Es gelten Anlage 1, 2 und 5.
Die Bestandsaufnahme zeigt: Die Mitarbeitenden nutzen ein gemeinsames Konto am Empfang, das Backup läuft auf eine USB-Festplatte, die dauerhaft angeschlossen ist, und das Gäste-WLAN hängt am selben Router wie das Praxisnetz. Der IT-Dienstleister hat einen dauerhaft offenen Fernzugang ohne zweiten Faktor.
Die Umsetzung dauert wenige Wochen: persönliche Konten mit Bildschirmsperre, Backup mit wechselnden Datenträgern und einer zusätzlichen verschlüsselten Kopie außer Haus, getrenntes Gäste-WLAN, Fernzugang nur auf Anforderung und mit Multi-Faktor-Authentifizierung, eine Vertraulichkeitsvereinbarung mit dem Dienstleister, eine einstündige Schulung für das Team und ein ausgedruckter Notfallplan im Schrank am Empfang. Ein erster Wiederherstellungstest zeigt, dass die Praxissoftware in gut zwei Stunden wieder läuft.
Typische Fehler in Arztpraxen
- Gemeinsame Logins für das ganze Team, die keine Nachvollziehbarkeit erlauben.
- Backups ohne Wiederherstellungstest oder dauerhaft am Rechner angeschlossen.
- Veraltete Systeme am Empfang oder an Medizingeräten ohne Sicherheitsupdates.
- Offene Fernzugänge des IT-Dienstleisters ohne zweiten Faktor.
- Gäste-WLAN im Praxisnetz.
- Keine Regelung beim Austritt, Passwörter und Zugänge bleiben bestehen.
- Kein Notfallplan, im Ernstfall weiß niemand, wen er anrufen soll.
Checkliste für Ihre Praxis
- Ist der Praxistyp nach der KBV-Richtlinie bestimmt?
- Gibt es eine aktuelle Liste aller IT-Komponenten und einen Netzplan?
- Hat jede Person ein eigenes Konto mit sicherem Passwort?
- Sind Fernzugänge mit Multi-Faktor-Authentifizierung geschützt?
- Werden Updates zeitnah eingespielt, auch für die Telematikinfrastruktur?
- Ist ein aktueller Virenschutz aktiv und eine Firewall konfiguriert?
- Gibt es ein Backup, das nicht mitverschlüsselt werden kann, und wurde die Wiederherstellung getestet?
- Ist das Gäste-WLAN vom Praxisnetz getrennt?
- Wurde das Team in den letzten zwölf Monaten geschult?
- Gibt es Regeln für Einarbeitung, Austritt und externe Dienstleister?
- Liegt ein ausgedruckter Notfallplan vor?
Fazit: Die Richtlinie ist das Minimum, nicht das Ziel
Die IT-Sicherheitsrichtlinie der KBV gibt Arztpraxen einen klaren, nach Größe gestaffelten Rahmen. Sie ist verbindlich, beschreibt aber nur das Mindestmaß. Wer Backups regelmäßig testet, Zugänge persönlich und mit zweitem Faktor absichert, Netze trennt, das Team schult und einen einfachen Notfallplan hat, ist gegen die häufigsten Angriffe gut aufgestellt und erfüllt gleichzeitig die wesentlichen Pflichten aus § 390 SGB V und der DSGVO.
Sie möchten wissen, wo Ihre Praxis steht? Unser IT-Security-Audit zum Festpreis prüft die IT-Sicherheit Ihrer Praxis und zeigt konkrete nächste Schritte. Jetzt kostenlose Erstberatung buchen.
Quellen
- § 390 SGB V: IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung
- KBV: IT-Sicherheit in der Praxis
- KBV: Praxishinweise zur Richtlinie IT-Sicherheit
- KBV: IT-Sicherheitsrichtlinie für Praxen mit neuen Anforderungen (April 2025)
- KBV: Basis-Schutz für die IT-Infrastruktur
- KZBV: IT-Sicherheit in der Zahnarztpraxis
- EUR-Lex: Datenschutz-Grundverordnung (EU) 2016/679
