IT-Sicherheit Arztpraxis 2026: In Arztpraxen hängen Terminvergabe, elektronische Dokumentation, Laborbefunde, Kommunikation und Abrechnung von funktionierender IT ab. Gleichzeitig werden besonders sensible Patientendaten verarbeitet. Die Kassenärztliche Bundesvereinigung (KBV) hat ihre IT-Sicherheitsrichtlinie auf Grundlage von § 390 SGB V überarbeitet; zahlreiche zusätzliche Vorgaben zur Einweisung und Schulung des Personals sind seit dem 1. Oktober 2025 umzusetzen. IT-Sicherheit Arztpraxis 2026 bedeutet daher nicht nur Firewall und Virenschutz, sondern auch geregeltes Personalmanagement, sichere Zugänge, Backup-Tests und dokumentierte Notfallabläufe. Dieser Leitfaden richtet sich an Praxisinhaber, medizinische Fachangestellte und IT-Verantwortliche.
GORTNET Fachredaktion · Stand: 28. Oktober 2026 · Hinweis: keine Rechtsberatung
Welche IT-Sicherheitsrichtlinie für die Arztpraxis gilt
Die KBV-Richtlinie enthält technische und organisatorische Mindestanforderungen für vertragsärztliche und vertragspsychotherapeutische Praxen. Sie unterscheidet zwischen Basisanforderungen und zusätzlichen Anforderungen entsprechend Praxisgröße, Ausstattung und IT-Nutzung. Die maßgebliche Fassung wurde 2025 aktualisiert; neue Maßnahmen zur Personalsensibilisierung und Einarbeitung müssen seit Oktober 2025 im Alltag umgesetzt sein. Nicht jede Einrichtung unterliegt aufgrund einer allgemeinen Größenangabe automatisch den gleichen Detailpflichten.
Für die Umsetzung sollten Praxisleitung und IT-Verantwortliche die passenden Anlagen der offiziellen KBV-Richtlinie heranziehen. Neben den Anforderungen an allgemeine Praxistechnik können besondere Anlagen für medizinische Großgeräte und dezentrale Komponenten der Telematikinfrastruktur relevant sein. Eine pauschale Internet-Checkliste ohne Bezug zur tatsächlichen Ausstattung ersetzt diese Einordnung nicht. Dokumentieren Sie den fachlichen Standort und den Stand der geprüften Richtlinie.
Praxisgröße und Ausstattung bestimmen den Umfang
Nach der KBV-Systematik gelten die Basisanforderungen aus Anlage 1 für kleine Praxen mit bis zu fünf ständig mit der Datenverarbeitung betrauten Personen. Für mittlere Praxen mit sechs bis zwanzig entsprechenden Mitarbeitenden kommen zusätzliche Vorgaben aus Anlage 2 hinzu. Größere Praxen beziehungsweise Einrichtungen mit umfangreicher Datenverarbeitung müssen weitergehende Anforderungen berücksichtigen. Die genaue Einordnung kann zudem von konkreten medizinischen Geräten abhängen.
Erstellen Sie zuerst einen einfachen Steckbrief: Mitarbeiterzahl nach KBV-Kriterium, Standorte, eingesetzte Praxisverwaltungssoftware, TI-Anbindung, medizinische Großgeräte, Laborinterfaces und Fernwartung. Auf dieser Grundlage lässt sich bestimmen, welche offiziellen Prüfungen für die Praxis relevant sind. Das verhindert sowohl Untererfüllung als auch unnötige Technikbeschaffung, die für den tatsächlichen Betrieb keinen Vorteil bringt.
Praxispersonal einweisen und regelmäßig sensibilisieren
Ein zentraler Schwerpunkt der aktualisierten Richtlinie ist der sichere Umgang des Personals mit der Praxis-IT. Neue Mitarbeitende müssen in relevante Systeme und Abläufe eingearbeitet werden. Regelmäßige Schulungen sollen insbesondere die eingesetzte Technik, Informationssicherheit und sichere Verhaltensweisen abdecken. Die Praxisleitung trägt Verantwortung dafür, dass die Maßnahmen nicht lediglich als ungenutzte Dokumente in einem Ordner liegen.
Organisieren Sie kurze, konkrete Einweisungen: Wie werden verdächtige E-Mails erkannt, wo dürfen Patienteninformationen gespeichert werden und wen informiert eine Mitarbeiterin bei einem ungewöhnlichen IT-Vorfall? Verwenden Sie reale typische Situationen aus dem Praxisalltag. Dokumentieren Sie Termine, Inhalte und Teilnahme in angemessenem Umfang. Die KBV stellt in ihrem Hub Musterunterlagen und Schulungsmaterialien bereit, die als Ausgangspunkt verwendet werden können.
Onboarding und Offboarding mit echten Zugriffsregeln
Wenn neue Ärztinnen, Ärzte oder medizinische Fachangestellte beginnen, benötigen sie häufig Zugänge zu Praxisverwaltung, E-Mail, Druckern und externen Portalen. Die Rechte sollten zur konkreten Aufgabe passen. Ein allgemeines gemeinsames Passwort für alle Beschäftigten erschwert Nachvollziehbarkeit und schafft unnötige Risiken. Legen Sie deshalb personenbezogene Konten und einen nachvollziehbaren Freigabeprozess fest, soweit die eingesetzten Anwendungen es unterstützen.
Beim Austritt müssen genutzte Zugangsdaten, Tokens und gegebenenfalls bekannte gemeinsame Passwörter geprüft und geändert oder ungültig gemacht werden. Die KBV nennt entsprechende Maßnahmen ausdrücklich. Vergessen Sie externe Dienstleister, ausgeschiedene Praxispartner und zeitlich befristete Vertretungen nicht. Eine einfache Offboarding-Liste sollte von Praxisleitung und IT gemeinsam bestätigt werden. Nur so wird aus einer Verwaltungsentscheidung auch eine tatsächliche technische Sperrung.
Praxisverwaltungssystem und Softwareupdates
Praxisverwaltungssysteme sind geschäftskritisch. Ein Fehler bei Abrechnung, Dokumentation oder Datenzugriff kann den Praxisbetrieb erheblich beeinträchtigen. Nutzen Sie unterstützte Versionen, prüfen Sie Herstellerinformationen und definieren Sie Wartungsfenster. Ein Softwareupdate darf nicht unkontrolliert produktive Schnittstellen zu Labor, Kartenleser, TI-Komponenten oder medizinischen Geräten beeinflussen. Gleichzeitig dürfen bekannte Sicherheitslücken nicht über Monate offen bleiben.
Erstellen Sie ein Inventar der verwendeten Systeme mit Softwareständen, Eigentümern und Supportverträgen. Dokumentieren Sie, wann Updates geprüft und installiert wurden, sowie bekannte Einschränkungen. Größere Änderungen sollten mit einem kontrollierten Backup und einem technisch sinnvollen Rückfallplan vorbereitet werden. Der Fachbereich muss anschließend bestätigen, dass zentrale Funktionen wie Rezepte, Dokumentation und Laboranbindung tatsächlich funktionieren.
Telematikinfrastruktur sicher betreiben
Die Telematikinfrastruktur (TI) verbindet Praxen mit bestimmten digitalen Anwendungen des Gesundheitswesens. Komponenten wie Konnektoren, Kartenleser, Authentisierungsmedien und Zugangsdienste benötigen geeignete Netzwerkanbindung und Konfiguration. Sicherheitsmaßnahmen dürfen die spezifizierten Anforderungen und Herstellerhinweise nicht umgehen. Gleichzeitig muss die Praxis wissen, wer administrative Änderungen an TI-Komponenten durchführen darf.
Trennen Sie soweit technisch und organisatorisch möglich medizinische Spezialkomponenten, allgemeine Bürogeräte und Gast-WLAN. Prüfen Sie Zugriffsrechte, Fernwartung und Protokollierung. Dokumentieren Sie die Kontaktwege zu TI-Dienstleistern für Störungen und Sicherheitsvorfälle. Die zusätzlichen KBV-Anforderungen für dezentrale TI-Komponenten sind anhand der konkret eingesetzten Geräte zu prüfen; pauschale Firewallregeln aus dem Internet sind kein geeigneter Ersatz.
Firewall, WLAN und Netzsegmentierung
Eine professionelle Firewall schützt nicht allein durch ihren Produktnamen. Entscheidend sind aktuelle Firmware, restriktive Zugriffsregeln, abgesicherte Administrationskonten und nachvollziehbare Fernwartung. Ein Gäste-WLAN sollte keinen direkten Zugang zu Praxisservern oder medizinischen Geräten erhalten. Gerade Multifunktionsdrucker, IoT-Komponenten und ältere Windows-Systeme dürfen nicht unkontrolliert im gleichen Vertrauensbereich wie sensible Anwendungen betrieben werden.
Erstellen Sie einen einfachen Netzplan, wie ihn die KBV auch mit Musterdokumenten unterstützt. Markieren Sie Praxisserver, Workstations, Drucker, TI-Komponenten, Internetanbindung und externe Supportwege. Prüfen Sie, welche Verbindungen wirklich erforderlich sind. Veränderungen am Netz müssen mit der Praxissoftware und den medizinischen Geräten abgestimmt werden, damit eine Sicherheitsmaßnahme nicht die Patientenversorgung beeinträchtigt.
Backups: Verfügbarkeit ist nicht Wiederherstellbarkeit
Viele Praxen verlassen sich darauf, dass ein Backupjob erfolgreich abgeschlossen wurde. Entscheidend ist jedoch, ob Datenbank, Dokumente und Anwendungen im Notfall wiederhergestellt werden können. Definieren Sie, welche Datenbereiche besonders kritisch sind und welchen Zeitraum an Datenverlust die Praxis organisatorisch verkraften kann. Berücksichtigen Sie die Aufbewahrung medizinischer Dokumentation und die Anforderungen an die Vertraulichkeit der Sicherungen.
Eine belastbare Strategie beinhaltet voneinander unabhängige Sicherungskopien, geeignete Zugriffsschutzmechanismen und regelmäßige Restore-Tests. Ein isolierter Test verhindert, dass versehentlich produktive Daten überschrieben werden. Nach dem Restore sollte die Praxisleitung beziehungsweise ein fachlich zuständiger Mitarbeitender kontrollieren, dass Patientenakten, Terminverwaltung und relevante Schnittstellen korrekt funktionieren. Technischer Erfolg allein genügt nicht.
Medizinische Großgeräte und Herstellerabhängigkeiten
Bildgebende Verfahren und andere medizinische Großgeräte besitzen häufig besondere Betriebssystem-, Schnittstellen- und Updateanforderungen. Eine Sicherheitslösung darf deren zertifizierte Funktion nicht ohne Prüfung verändern. Dennoch sind ältere Komponenten ein Risiko, wenn sie ungeschützten Zugriff oder veraltete Protokolle benötigen. Ziel ist eine kontrollierte Risikominderung unter Berücksichtigung der Patientenversorgung.
Dokumentieren Sie Hersteller, Modell, eingesetzte Software, Wartungsvertrag und zulässige Sicherheitsänderungen. Wo eine direkte Aktualisierung nicht möglich ist, können Netzwerkisolierung, restriktive Zugriffsregeln und verstärktes Monitoring helfen. Solche Maßnahmen ersetzen notwendige Herstellerkorrekturen nicht dauerhaft. Prüfen Sie zudem die einschlägigen KBV-Anlagen für Großgeräte, statt jedes Gerät wie einen gewöhnlichen Bürocomputer zu behandeln.
Datenschutz und IT-Security ergänzen sich
Gesundheitsdaten sind besonders schutzbedürftig. Die technische Sicherheit der Praxis muss deshalb mit Datenschutzanforderungen verbunden werden. Zugriff auf Patientendaten sollte nachvollziehbar und an berufliche Aufgaben gebunden sein. Bildschirmarbeitsplätze, mobile Geräte, E-Mail-Kommunikation und exportierte Dokumente benötigen praktische Regeln, die Mitarbeitende verstehen und im Alltag einhalten können.
Ein Datenschutzkonzept beschreibt mehr als die DSGVO-Seite der Praxiswebsite. Relevant sind zum Beispiel Zugriffsrechte, verschlüsselte Übertragung, sichere Löschung, Meldung möglicher Datenschutzvorfälle und Vereinbarungen mit Auftragsverarbeitern. Die gesetzliche Einordnung möglicher Meldungen erfordert eine individuelle Prüfung. Ein technischer Incident-Bericht liefert dafür Fakten, ersetzt aber nicht die Entscheidung der verantwortlichen Stelle.
Notfallplan bei Ransomware oder IT-Ausfall
Ein Praxis-Notfallplan muss berücksichtigen, dass Patienten auch dann versorgt werden müssen, wenn IT-Systeme ausfallen. Legen Sie fest, welche Aufgaben vorübergehend analog oder mit alternativen Verfahren erledigt werden können und wer Entscheidungen über technische Wiederinbetriebnahme trifft. Wichtig sind externe Ansprechpartner, sichere Kommunikationswege und klare Prioritäten für die Wiederherstellung.
Üben Sie mindestens ein realistisches Szenario: Das Praxisverwaltungssystem ist nicht erreichbar, und der normale IT-Dienstleister kann nicht sofort eingreifen. Prüfen Sie, wie Termine, dringende Behandlungen und relevante Dokumente gehandhabt werden. Nach der Übung wird festgehalten, welche Kontaktdaten, Berechtigungen oder Backup-Informationen fehlen. Ein Notfallhandbuch sollte unabhängig von den betroffenen Produktionsservern erreichbar bleiben.
IT-Dienstleister auswählen, ohne falsche Zertifizierungsannahmen
Die KBV führt ein Verzeichnis speziell zertifizierter IT-Dienstleister für die Umsetzung ihrer Richtlinie. Die Nutzung eines dort gelisteten Anbieters ist nach KBV-Angaben eine optionale Möglichkeit, keine generelle Pflicht zur Beauftragung ausschließlich solcher Dienstleister. Entscheidend ist, dass ein gewählter Partner die Anforderungen der Praxis versteht und seine technische Arbeit nachvollziehbar dokumentiert.
Fragen Sie nach Erfahrung mit dem eingesetzten Praxisverwaltungssystem, TI-Komponenten, Backup-Wiederherstellung, sicherer Fernwartung und Datenschutzvereinbarungen. Verlangen Sie keine unbelegten Zertifikate. Ein professioneller Dienstleister sollte verständlich erklären, welche Aufgaben er übernimmt und welche Entscheidungen bei der Praxisleitung bleiben. Die Verantwortung für den sicheren Praxisbetrieb lässt sich nicht einfach durch einen Wartungsvertrag vollständig abgeben.
30-Tage-Maßnahmenplan für Arztpraxen
Woche eins: Praxisgröße und relevante KBV-Anlagen bestimmen, IT-Inventar und Netzplan erstellen. Woche zwei: Mitarbeitereinweisung, Rollen, Offboarding und Fernwartungszugänge prüfen. Woche drei: Firewall, Updates, TI-Betrieb und Backupstrategie kontrollieren. Woche vier: einen Restore-Test durchführen, Notfallkontakte prüfen und offene Abweichungen priorisieren.
Dokumentieren Sie nicht nur Maßnahmen, sondern deren Nachweis: Wann wurde die Wiederherstellung getestet, welche Geräte sind aktualisiert, wer hat die Schulung absolviert und welche Zugänge wurden entfernt? Ein schlanker, gepflegter Maßnahmenplan ist für kleinere Praxen nützlicher als ein umfangreiches Sicherheitskonzept ohne tatsächliche Umsetzung.
FAQ zur IT-Sicherheit in Arztpraxen
Seit wann gelten die neuen KBV-Personalvorgaben?
Die zusätzlichen Anforderungen zur Schulung und Einweisung sind seit dem 1. Oktober 2025 umzusetzen.
Gelten für jede Praxis dieselben Anforderungen?
Nein. Die KBV differenziert nach Größe, Datenverarbeitung und gegebenenfalls medizinischer Ausstattung.
Muss ein IT-Dienstleister zwingend KBV-zertifiziert sein?
Nein. Die KBV beschreibt die Auswahl speziell zertifizierter Dienstleister als optional.
Reicht eine vorhandene Firewall als Nachweis?
Nein. Sicherheitsrichtlinien umfassen auch Organisation, Updates, Zugriffsrechte, Backups, Personal und Notfallverfahren.
Fazit: Sicherheit muss im Praxisalltag funktionieren
Eine tragfähige Strategie für IT-Sicherheit Arztpraxis 2026 verbindet KBV-Anforderungen, sichere Technik, geschultes Personal und tatsächlich geübte Notfallabläufe. Priorisieren Sie Maßnahmen nach Gefährdung der Patientenversorgung und der Vertraulichkeit der Daten. Prüfen Sie Detailpflichten anhand der für Ihre Praxis geltenden offiziellen Dokumente.
Weitere GORTNET-Inhalte
Für eine technische Bestandsaufnahme und IT-Betreuung im Raum Wiesbaden GORTNET kontaktieren.
Offizielle Quellen
Dieser Artikel ist eine technische Orientierung. Er ersetzt keine rechtsverbindliche Auslegung der jeweils geltenden Richtlinie oder datenschutzrechtliche Beratung.