IT-Sicherheit in der Arztpraxis: Patientendaten richtig schützen
Für Kassenpraxen ist IT-Sicherheit Pflicht: Die KBV-Richtlinie nach § 390 SGB V regelt, was je nach Praxisgröße gilt. Was zu tun ist und wie Sie beginnen.
Die KBV legt darin im Einvernehmen mit dem BSI fest, was Praxen technisch und organisatorisch umsetzen müssen. Die aktuelle Fassung ist seit dem 1. April 2025 in Kraft.
Welche Regeln für Ihre Praxis-IT gelten.
Für Kassenpraxen gibt es drei Ebenen, die zusammen gelten:
- KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V: verbindliche Mindestmaßnahmen, gestaffelt nach Praxisgröße. Die Verantwortung liegt bei der Praxisinhaberin oder dem Praxisinhaber, die Umsetzung darf delegiert werden.
- DSGVO: Gesundheitsdaten sind nach Art. 9 eine besondere Kategorie, Art. 32 verlangt angemessene technische und organisatorische Maßnahmen. Die KBV-Richtlinie konkretisiert genau diese Maßnahmen für Praxen.
- Schweigepflicht nach § 203 StGB: Sie gilt auch dann, wenn ein Dienstleister Ihre Technik betreut.
Wer die Anlagen der Richtlinie abarbeitet, hat den größten Teil der Pflichten erfüllt.
Was hinter den Paragrafen steckt.
Tippen Sie auf eine Karte, um die Antwort zu sehen.
Fünf Anforderungen, die jede Praxis betreffen.
- 1Datensicherung regeln und testenAnlage 1 verlangt regelmäßige Sicherung aller relevanten Daten, Schutz vor unbefugtem Zugriff, eine feste Zuständigkeit und einen Test, ob die Sicherung vollständig und lesbar ist.
- 2Benutzer und Rollen anlegenIn der Praxissoftware sollen Rollen den Zugriff auf Patientendaten steuern. Ein gemeinsames Konto an der Anmeldung passt dazu nicht.
- 3Personal schulenSensibilisierung und Schulung zur Informationssicherheit sind seit dem 1. Oktober 2025 umzusetzen, ebenso die geregelte Einarbeitung neuer Mitarbeitender.
- 4Ausscheiden regelnSchlüssel, Geräte und Ausweise zurück, bekannte Passwörter ändern, auf die fortdauernde Schweigepflicht hinweisen. So steht es in Anlage 1, Nr. 2.
- 5TI-Komponenten pflegenÜber die Telematikinfrastruktur laufen E-Rezept und die seit Januar 2025 gestartete ePA, in die Praxen bestimmte Daten einstellen müssen. Updates für Konnektor und Kartenterminals regelt Anlage 5, seit 2021 verpflichtend.
Ein Konto für alle, eine Sicherung am selben Rechner.
So sieht eine typische Lage in kleineren Praxen aus: Am Rechner der Anmeldung arbeiten alle mit einem Konto, das Passwort kennt das ganze Team. Die Datensicherung läuft auf eine Festplatte, die dauerhaft an diesem Rechner hängt.
Öffnet dort jemand eine gefälschte Rechnung mit Schadsoftware, sind Praxissoftware und Sicherung gleichzeitig verschlüsselt. Bis die Systeme neu aufgesetzt sind, laufen Termine über Papier und Telefon. Danach bleibt die schwierigere Frage: Welche Patientendaten hat der Angreifer gesehen, und muss die Praxis das nach Art. 33 DSGVO melden?
Gewachsen oder nach Richtlinie.
- ✗Ein gemeinsames Konto an der Anmeldung, Passwort auf dem Zettel
- ✗Alle arbeiten mit Administratorrechten
- ✗Die Sicherung hängt dauerhaft am selben Rechner
- ✗Nach einem Abschied bleiben alle Passwörter gleich
- ✗Niemand weiß, wen man im Notfall zuerst anruft
- ✓Eigene Konten und Rollen in der Praxissoftware
- ✓Administratorrechte nur für die Verwaltung
- ✓Sicherung getrennt geschützt, Wiederherstellung getestet
- ✓Beim Ausscheiden werden bekannte Zugangsdaten geändert
- ✓Ein Notfallblatt nennt Nummern, Reihenfolge und Meldewege
Acht Fragen an Ihre Praxis-IT.
Jedes Nein zeigt Ihnen, wo Sie anfangen.
Tippen Sie an, was Sie schon haben. Bleibt in Ihrem Browser gespeichert.
Laufende Betreuung gegen einmalige Bestandsaufnahme.
Unsere Nettopreise, gerechnet für eine mittlere Praxis mit zwölf Arbeitsplätzen.
Ehrlich gesagt: Zuschüsse gibt es kaum.
Was in unserer Managed IT enthalten ist, steht in der Leistungsbeschreibung. Der Einstieg ist ein Security-Audit für 1.500 bis 3.000 € netto: Wir gleichen Ihre Praxis mit den Anlagen der Richtlinie ab und schreiben auf, was fehlt.
Bei der Förderung sind Praxen schlechter gestellt als andere Betriebe. Das BAFA fördert bei Ärztinnen, Ärzten und Psychotherapeuten nur Beratungen zur Einführung eines Qualitätssicherungssystems (Förderrichtlinie, Nr. 2.1). Das NRW-Programm MID-Digitale Sicherheit steht Arztpraxen nicht offen. Rechnen Sie also ohne Zuschuss.
Die KBV führt außerdem eine Liste zertifizierter Dienstleister. Die Zertifizierung ist laut KBV ein freiwilliges Angebot, keine Pflicht für Ihren Dienstleister.
Das Wichtigste in Kürze
- ✓Kassenpraxen müssen die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V umsetzen, aktuelle Fassung seit 1. April 2025.
- ✓Der Umfang hängt von der Zahl der Personen ab, die ständig mit der Datenverarbeitung arbeiten: bis 5, 6 bis 20, mehr als 20.
- ✓Datensicherung mit Test, eigene Rollen, Schulung und ein geregeltes Ausscheiden gehören für jede Praxis dazu.
- ✓Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt, Dienstleister müssen nach § 203 StGB zur Geheimhaltung verpflichtet werden.
- ✓Fördermittel für IT-Sicherheit gibt es für Praxen kaum; ein Audit kostet bei uns 1.500 bis 3.000 € netto.
Weiterlesen: IT-Sicherheit Duisburg · Die 3-2-1-Regel für kleine Betriebe · Offboarding: Zugriffe sperren · MFA im Unternehmen einführen: der Leitfaden ohne Aufstand im Team · Microsoft 365 sichert Ihre Daten nicht: Warum KMU ein eigenes Backup brauchen · IT-Notfallplan für kleine Unternehmen: Vorlage zum Ausfüllen auf einer Seite
Wir gleichen Ihre Praxis mit der Richtlinie ab. Erst 30 Minuten, kostenlos.
Im kostenlosen Security-Check klären wir, welche Anlagen für Ihre Praxis gelten und wo die größten Lücken liegen. Sie erreichen uns unter 02065 8296939, Anfragen beantworten wir werktags innerhalb von 24 Stunden.
Mehr dazu: IT-Sicherheit Duisburg
Drei Angaben, dann Ihre Kontaktdaten. Antwort werktags innerhalb von 24 Stunden — mit Einschätzung, ob Ihr Vorhaben förderfähig ist.
Lieber anrufen? +49 2065 8296939