IT-Sicherheit in der Arztpraxis

Die IT-Sicherheitsrichtlinie der KBV: was seit 2025 gilt

Für vertragsärztliche und vertragspsychotherapeutische Praxen legt die Kassenärztliche Bundesvereinigung nach § 390 SGB V verbindliche Mindestanforderungen an die IT-Sicherheit fest, für Zahnarztpraxen tut das die KZBV. Die überarbeitete Fassung der KBV-Richtlinie ist am 1. April 2025 in Kraft getreten, das BSI hat sie vorher bestätigt. Die neuen Anforderungen mussten Praxen bis zum 1. Oktober 2025 umsetzen. Was bereits seit 2021 galt, bleibt bestehen.

Neu oder deutlich geschärft sind fünf Themen: Schulung und Sensibilisierung des Praxisteams, Datensicherung mit klarer Zuständigkeit, sichere Einstellungen für E-Mail-Programm und Mailserver samt Umgang mit Spam, ein geregeltes Update-Management und die Sicherheit von Cloud-Anwendungen. Welche Anlagen der Richtlinie Ihre Praxis erfüllen muss, hängt von der Zahl der Personen ab, die ständig mit Daten arbeiten. Die Tabelle unten zeigt die Einteilung.

Zertifizierte IT-Dienstleister

Die KBV führt ein Verzeichnis von Dienstleistern, die für die Umsetzung der Richtlinie zertifiziert sind. Einen solchen Dienstleister zu beauftragen ist freiwillig, Sie dürfen auch mit Ihrem bisherigen IT-Betreuer arbeiten. Der Vorteil eines zertifizierten Anbieters: Er kennt die Anlagen der Richtlinie und dokumentiert die Umsetzung so, dass Sie sie bei Nachfragen vorzeigen können.

Betrifft NIS2 Arztpraxen?

Die meisten Praxen nicht. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz gilt seit dem 6. Dezember 2025, ohne Übergangsfrist. Laut KBV fallen Praxen, Berufsausübungsgemeinschaften und MVZ als „wichtige Einrichtungen“ darunter, wenn sie mindestens 50 Personen beschäftigen oder mindestens 10 Mio. € Jahresumsatz und 10 Mio. € Jahresbilanz haben. Ab 250 Beschäftigten oder 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme gelten sie als „besonders wichtig“. Der Bundesverband MVZ schätzt, dass etwa 1.000 Praxen und MVZ betroffen sein könnten.

Betroffene Einrichtungen müssen sich beim BSI registrieren und erhebliche Sicherheitsvorfälle melden: eine Erstmeldung innerhalb von 24 Stunden, eine ausführliche Meldung nach 72 Stunden und eine Abschlussmeldung nach einem Monat. Ob Ihre Einrichtung dazugehört, prüfen Sie mit der Betroffenheitsprüfung auf der Website des BSI. Bei Zweifeln, etwa wegen der Gesellschaftsform, lohnt sich rechtlicher Rat.

Die Praxis-Website als Einfallstor

Die Website läuft getrennt vom Praxisverwaltungssystem, ein Risiko ist sie trotzdem. Veraltete Content-Management-Systeme und Erweiterungen sind das häufigste Einfallstor für Angriffe auf Websites. Eine gehackte Praxis-Website verteilt Schadsoftware oder Spam, landet auf Sperrlisten, und Formulare mit Patientenanfragen können abfließen. Updates, tägliche Sicherungen und eine Überwachung der Erreichbarkeit verhindern das meiste davon. Das gehört bei uns zur Betreuung und Wartung. Läuft Ihre Website noch auf Joomla 3 oder einer alten WordPress-Version, ist ein Relaunch meist sicherer als jedes Flickwerk.

Was Sie diese Woche prüfen können

• Wann wurde die Website zuletzt aktualisiert, und wer ist dafür zuständig?
• Wo liegen die Sicherungen, und hat schon einmal jemand eine zurückgespielt?
• Wer hat Zugang zum Redaktionsbereich? Ehemalige Mitarbeitende und Agenturen entfernen.
• Sind sichere Passwörter und, wo möglich, Zwei-Faktor-Anmeldung eingerichtet?
• Weiß das Team, wie eine gefälschte Rechnungs- oder Paket-Mail aussieht?

Wenn es passiert ist

Ist die Website gehackt, hilft der Website-Notdienst ab 690 € netto, bei Schadsoftware die Malware-Bereinigung ab 790 € netto, beides über mannheims-webdesign.de. Sind Patientendaten betroffen, melden Sie die Datenpanne innerhalb von 72 Stunden an die Datenschutz-Aufsichtsbehörde (Art. 33 DSGVO). Informieren Sie sofort Ihren Datenschutzbeauftragten, falls Sie einen haben.