IT-Sicherheits-Prüfliste

IT-Sicherheits-Prüfliste für Arztpraxen und MVZ¶

Diese Prüfliste fasst alle Checklisten des Guides in einem Dokument zusammen. Sie ist kein Test – sie ist ein Arbeitsinstrument. Gehen Sie sie einmal pro Jahr durch, oder immer dann wenn sich etwas Wesentliches ändert: neuer IT-Dienstleister, neue Mitarbeiter, Umzug der Praxis, neue Cloud-Dienste, neue medizinische Geräte am Netz.

Nicht jeder Punkt ist für jede Praxis gleich relevant. Eine Einzelpraxis ohne Mitarbeiter überspringt die Abschnitte zu Mitarbeiterverwaltung. Ein MVZ mit mehreren Standorten hat erweiterte Anforderungen. Konzentrieren Sie sich auf das, was für Ihre konkrete Situation zutrifft.

Legende: Sie = Praxisinhaber/Verantwortliche/r · IT = IT-Dienstleister · G = Gemeinsam · PVS = Praxisverwaltungssystem

1. Telematik-Infrastruktur (TI)¶

TI-Konnektor ist installiert und aktuell – Firmware-Stand regelmäßig geprüft. (IT)
eHBA (elektronischer Heilberufsausweis) ist vorhanden, aktuell und sicher verwahrt – nicht im Arbeitsbereich liegen lassen. (Sie)
eHBA wird ausschließlich für berechtigte Zugriffe genutzt – nicht dauerhaft eingesteckt. (Sie)
Primanota (Praxis-Konnektions-Verwaltung) ist richtig konfiguriert – nur notwendige Dienste aktiviert. (IT)
VPN/Proxy zur TI ist aktiv und korrekt konfiguriert – keine direkten Ports zum Internet offengelegt. (IT)
TI-Zertifikate sind aktuell und werden regelmäßig erneuert (vor Ablauf). (IT)
TI-Verbindungen werden regelmäßig getestet – monatliches Audit am einfachsten über PVS-Logs. (IT)
Notfallplan bei TI-Ausfall ist vorhanden: Wie läuft die Kassenabrechnung ohne TI? (Sie / IT)
Fallback-Zugang zur KV ist dokumentiert (Telefon, E-Mail für Notfall-Kontakt). (Sie)

2. Praxisverwaltungssystem (PVS)¶

3. Medizinische Geräte am Netzwerk¶

Bestandsliste aller medizinischen Geräte am Netzwerk ist vorhanden (EKG, Blutdruckmessgeräte, PACS-Systeme, etc.). (Sie / IT)
Jedes Gerät hat eine Inventarnummer und einen Standort dokumentiert. (Sie)
Firmware und Software aller Geräte werden regelmäßig aktualisiert (falls Updates verfügbar sind). (IT)
Alte/EOL-Geräte (End-of-Life) ohne Hersteller-Support werden identifiziert und ggf. ausgebaut. (Sie / IT)
Medizinische Geräte sind vom eigentlichen Arbeitsnetwork isoliert – oder nur über VPN erreichbar. (IT)
Standardzugangsdaten (Admin-Passwörter) aller Geräte wurden geändert. (IT)
Ein Geräte-Manager (Person oder IT-Dienstleister) ist benannt, der für Updates und Wartung zuständig ist. (Sie)
Wenn Geräte das Internet brauchen (z. B. Cloud-Upload von Messwerten): Verbindung ist verschlüsselt und Datenschutzerklärung des Herstellers geprüft. (IT)

4. Domain & DNS¶

Sie sind der registrierte Inhaber Ihrer Domain – nicht Ihr Webdesigner oder Hoster. (Sie)
Sie haben Zugang zum Konto bei Ihrem Registrar und kennen das Passwort. (Sie)
Die automatische Verlängerung Ihrer Domain ist aktiviert und die Zahlungsmethode ist aktuell. (Sie)
Das Ablaufdatum Ihrer Domain ist in Ihrem Kalender eingetragen (als Erinnerung 3 Monate vorher). (Sie)
Sie haben eine Kopie Ihrer DNS-Einträge im Notfalldokument. (Sie)
Sie wissen, wie Sie im Notfall den A-Record und den MX-Record Ihrer Domain ändern können. (Sie)
DNSSEC ist aktiviert (wenn Registrar dies anbietet). (IT)

5. E-Mail und Kommunikation¶

KIM (Kommunikation im Medizinwesen) – falls vorhanden:

KIM-Adresse ist registriert und aktiv. (Sie / IT)
KIM wird für Arztbriefe und Befunde genutzt – als sichere Alternative zu E-Mail. (Sie)
KIM-Verbindung wird regelmäßig getestet (mindestens monatlich). (IT)

6. Passwörter & Zwei-Faktor-Authentifizierung¶

7. Endgeräte & Updates¶

8. Verschlüsselung¶

Festplattenverschlüsselung ist auf allen Laptops aktiv (FileVault / BitLocker / LUKS). (IT)
Bei BitLocker: Die Online-Speicherung des Schlüssels ist geprüft und eine bewusste Entscheidung getroffen. (Sie)
Der Wiederherstellungsschlüssel ist sicher aufbewahrt – getrennt vom Gerät. (Sie)
Praxis-Server/NAS: Festplatte ist verschlüsselt. (IT)
Alle Smartphone haben eine Bildschirmsperre – damit ist die Geräteverschlüsselung aktiv. (Sie)
Mein NAS verschlüsselt zumindest die Ordner mit sensiblen Daten (Patientenakten, Abrechnungen). (IT / Sie)
Externe Festplatten und USB-Sticks mit Patientendaten sind verschlüsselt. (IT / Sie)
Für besonders sensible Cloud-Daten wird clientseitige Verschlüsselung genutzt (z. B. mit Cryptomator). (Sie / IT)
E-Mails mit Befunden oder Diagnosen werden verschlüsselt versendet (S/MIME oder PGP). (Sie / IT)

9. Backups¶

Falls NAS vorhanden:

Sie wissen, dass RAID kein Backup ist – Sie haben ein separates Backup Ihres NAS. (Sie)
Das NAS-Backup enthält eine physisch getrennte Kopie und eine Offsite-Kopie. (IT / Sie)
Auf Ihrem NAS laufen nur Dienste, die Sie aktiv nutzen – alle anderen sind deaktiviert. (IT)
Das NAS ist nicht direkt aus dem Internet erreichbar – oder der Zugang ist per VPN abgesichert. (IT)
Standard-Passwort des NAS wurde geändert. (IT)

10. Netzwerk & Internet¶

11. Cloud-Dienste & Online-Speicher¶

12. Virenschutz & Schutz vor Schadsoftware¶

Virenschutz-Software ist auf allen Geräten installiert und aktuell. (IT / Sie)
Automatische Signatur-Updates sind aktiv. (IT)
Ransomware-Schutz ist aktiviert. (IT)
Web-Filter / DNS-Schutz für gefährliche/bösartige Websites ist aktiv. (IT)
Browser und Browser-Plugins sind aktuell und auf das Minimum reduziert. (IT / Sie)
Es werden keine raubkopierten oder nicht vertrauenswürdigen Softwarequellen genutzt. (Sie)
Lizenzen des Virenschutzes sind aktuell und nicht abgelaufen. (Sie / IT)
Geplante Scans sind aktiv (mindestens wöchentlich bei kritischen Systemen). (IT)

Sie prüfen die tatsächliche Absenderadresse bei verdächtigen E-Mails – nicht nur den Anzeigenamen. (Sie)
Sie klicken nicht auf Links in E-Mails, die Sie nicht erwartet haben – Sie rufen die Website direkt auf. (Sie)
Sie öffnen keine Anhänge aus unbekannten oder verdächtigen Quellen. (Sie)
Geänderte Bankverbindungen werden immer telefonisch mit dem Absender bestätigt – niemals per E-Mail. (Sie)
Sie wissen, was Sie tun müssen, wenn Sie auf eine Phishing-Mail hereingefallen sind (Session-Terminierung, Passwort-Änderung, ggf. Anzeige). (Sie)
Sie wissen, wo Sie in Ihren wichtigsten Diensten (PVS, E-Mail, Cloud) alle aktiven Sitzungen beenden können. (Sie)
Mitarbeiter sind für Phishing sensibilisiert – regelmäßig Schulung und Simulation. (Sie)
Ihre Mitarbeiter kennen die Eskalationskette: An wen wenden Sie sich bei verdächtigen E-Mails? (Sie)

14. KI-Tools sicher nutzen¶

Sie wissen, welche KI-Tools Sie nutzen und wie diese Ihre Daten verarbeiten. (Sie)
Sie geben keine personenbezogenen Patientendaten in öffentliche KI-Tools (ChatGPT, Copilot, Claude Free) ein. (Sie)
Sie haben die Datenschutzeinstellungen Ihres KI-Tools geprüft – insbesondere ob Eingaben zum Training genutzt werden. (Sie)
Sie nutzen ärztliche Schweigepflicht-Anforderungen nicht transparent um KI-Tools, die diese nicht erfüllen. (Sie)
Sie prüfen KI-Output auf Fakten und Richtigkeit, bevor Sie diese an Patienten weitergeben (KI-Halluzinationen!). (Sie)
Sie haben mit Patienten ggf. geklärt, ob der Einsatz von KI in ihrer Behandlung erlaubt ist. (Sie)
Sie laden keine biometrischen Daten (Fotos von Patienten, Stimme, Videos) in KI-Tools hoch. (Sie)
Auftragsverarbeitungsvertrag (AVV) mit KI-Anbieter ist vorhanden, wenn Sie personenbezogene Patientendaten verarbeiten. (Sie / IT)

15. Datenschutz & DSGVO¶

Auftragsverarbeitungsverträge (AVV):

AVV mit IT-Dienstleister ist geschlossen und aktuell. (Sie)
AVV mit PVS-Anbieter ist vorhanden. (Sie)
AVV mit allen genutzten Cloud-Anbietern ist vorhanden. (Sie)
AVV mit KIM-Anbieter ist vorhanden (falls KIM genutzt). (Sie)
AVV mit Hosting-Provider / Website-Betreiber ist vorhanden. (Sie)
AVV mit allen medizinischen Partnern (Labore, Radiologien, überweisende Ärzte) ist vorhanden. (Sie)
Alle AVVs sind aktuell und vollständig – jährliche Prüfung. (Sie)
Verschwiegenheitsverpflichtungen nach § 203 Abs. 4 StGB sind in alle Verträge mit Partnern aufgenommen. (Sie)

16. Berufsgeheimnis & ärztliche Schweigepflicht (§ 203 StGB, § 630f BGB)¶

Sie wissen, dass Sie als Arzt der Schweigepflicht unterliegen und § 203 StGB zum Schutz Ihrer Patientendaten. (Sie)
Alle Endgeräte, auf denen geschützte Patientendaten gespeichert oder verarbeitet werden, sind verschlüsselt. (IT)
Alle Mitarbeiter sind schriftlich zur Verschwiegenheit verpflichtet (idealerweise mit Verweis auf § 203 StGB). (Sie)
Bei Ausscheiden von Mitarbeitern werden alle Zugangsdaten zum PVS geändert und Geräte zurückgegeben/gelöscht. (Sie / IT)
Mit jedem externen Dienstleister (IT, Labore, Radiologie, überweisende Ärzte) liegt ein Auftragsverarbeitungsvertrag vor. (Sie)
Dienstleisterverträge enthalten das Need-to-know-Prinzip: Der Partner erhält nur die Daten, die er konkret braucht. (Sie)
Dienstleisterverträge regeln die Subunternehmerbeauftragung: Darf der Partner Unterstützer nutzen? (Sie)
Sie halten sich an die Richtlinien Ihrer Kassenärztlichen Vereinigung oder der KBV. (Sie)
Die KBV-Sicherheitsrichtlinie (IT-Sicherheitsrichtlinie nach § 390 SGB V) ist bekannt und Anforderungen sind umgesetzt. (Sie / IT)

17. KBV-Sicherheitsrichtlinie Compliance (Kassenärzte)¶

Sie kennen die KBV-Sicherheitsrichtlinie und deren Anforderungen. (Sie)
Alle Anforderungen zu Passwörtern sind umgesetzt (Mindestlänge, Komplexität, Wechselfristen). (IT)
Anforderungen zu Verschlüsselung (Festplatte, Transport) sind umgesetzt. (IT)
Anforderungen zu Zugangsschutz und Rechteverwaltung sind umgesetzt. (IT)
Anforderungen zu Dokumentation und Audit-Logging sind umgesetzt. (IT)
Sicherheitsincidents werden dokumentiert und gemeldet (an KBV, wenn relevant). (Sie / IT)
Regelmäßige Sicherheits-Schulungen für Mitarbeiter sind durchgeführt. (Sie)
Ein Sicherheitsverantwortlicher (Person oder Rolle) ist benannt. (Sie)

18. Website & Online-Präsenz¶

19. Notfallplanung & Krisenmanagement¶

Vorbereitung:

Sofortmaßnahmen bei einem Vorfall:

Bei Ransomware zusätzlich:

nomoreransom.org geprüft – gibt es ein kostenloses Entschlüsselungstool? (Sie / IT)
Nicht gezahlt ohne vorherigen rechtlichen Rat. (Sie)
Kommunikation mit Erpressern dokumentiert (falls sie eine Nachricht hinterlassen haben). (Sie)
Bei Double-Extortion-Drohung: Anwalt und ZAC kontaktiert. (Sie)

Wiederherstellung:

Einfallstor identifiziert und geschlossen, bevor das System wieder online geht. (IT)
System/PVS vollständig neu aufgesetzt – kein Bereinigen ohne Neuinstallation. (IT)
PVS vom Hersteller bestätigt „sauber" und aktuell. (IT)
Backup aus dem Zeitraum vor der Infektion verwendet (mindestens 2-4 Wochen zurück). (IT)
Backup vor dem Zurückspielen auf Schadsoftware geprüft. (IT)
TI-Authentifizierung (eHBA/Konnektor) neu überprüft und ggf. neu konfiguriert. (IT)
Alle Passwörter geändert, bevor das System produktiv genutzt wird. (Sie)
Kassenpatienten und KV über Wiederaufnahme des Betriebs informiert. (Sie)
Verspätete Abrechnungsdaten mit KV klären. (Sie)

20. Digitaler Nachlass & Notfallvollmacht¶

Es gibt eine Vertrauensperson, die im Notfall handeln kann und weiß, dass sie diese Rolle hat. (Sie)
Diese Person weiß, wo das Notfalldokument liegt – und wie sie darauf zugreifen kann. (Sie)
Das Notfalldokument enthält klare Anweisungen für den Ausfall- oder Todesfall. (Sie)
Sie haben eine schriftliche Vollmacht vorbereitet oder zumindest geprüft, ob Sie eine brauchen. (Sie)
Das Thema ist in Ihrem Testament oder Ihrer Nachlassplanung berücksichtigt. (Sie)
Praxisfortführung ist im Notfall geklärt: Wer übernimmt die Praxis? Wer hat Zugriff auf Patientendaten? (Sie)
Patientendaten-Verwaltung nach Praxisschließung ist rechtlich geklärt (üblicherweise: an Nachfolger oder Archiv). (Sie)

21. Regelmäßige Sicherheitsroutine¶

Monatlicher Kalendertermin „IT-Kurzcheck" (15 Min.) ist eingerichtet. (Sie)
E-Mail-Log auf verdächtige Zugriffe prüfen
Backup-Status überprüfen (Erfolg/Fehler)
Neue Sicherheitswarnungen vom BSI checken
Quartalsweiser Kalendertermin „IT-Wartung" (60 Min.) ist eingerichtet. (Sie / IT)
Router-Firmware überprüfen
Alle Passwörter auf Stärke überprüfen (ggf. erneuern)
Alle 2FA-Codes überprüfen
Backup-Test durchführen (Restore-Test)
Jährlicher Kalendertermin „IT-Jahrescheck" (halber Tag) ist eingerichtet. (Sie / IT)
Gesamte Checkliste durchgehen
VVT aktualisieren (neue Dienste?)
AVVs überprüfen und aktualisieren
Mitarbeiter-Schulung durchführen
Notfalldokument aktualisieren
Sie sind beim BSI-Newsletter angemeldet oder nutzen Have I Been Pwned für monatliche Leck-Prüfung. (Sie)
Sie führen eine Liste der Zugänge für Dritte, die Sie monatlich überprüfen – wer hat noch Zugang? (Sie)
Ihr Notfalldokument hat ein Datum der letzten Aktualisierung (sollte jährlich erneuert werden). (Sie)
Passwörter für kritische Konten werden mindestens jährlich geändert. (Sie)
Backup-Test wird mindestens halbjährlich durchgeführt. (IT)
IT-Sicherheits-Schulung für Mitarbeiter wird mindestens jährlich durchgeführt. (Sie)

Zusammenfassung: Prioritäten für den Anfang¶

Falls Sie mit dieser Checkliste überfordert sind – machen Sie zuerst diese essentiellen Punkte:

Backups: Tägliche Backups mit 30-Tage-Versionierung, mindestens eine Kopie offline.
Verschlüsselung: Alle Festplatten verschlüsselt, PVS-Backups verschlüsselt.
Passwörter: Passwort-Manager, starke Passwörter, 2FA für E-Mail und Cloud.
PVS-Sicherheit: Auf europäischem Server, AVV vorhanden, regelmäßig aktualisiert.
Datenschutz: VVT vorhanden, Datenschutzerklärung, AVVs mit allen Partnern.
Notfallplan: Notfalldokument mit Kontakten, Offline-Patienten-/Partnerliste.

Diese sechs Punkte schützen Sie vor den meisten häufigen Angriffsszenarien. Alles andere ist Optimierung.

IT-Sicherheits-Prüfliste