Einleitung¶

IT-Sicherheit ist kein Thema, das Ärztinnen und Ärzte gerne angehen. Es kostet Zeit, es fühlt sich technisch an, und es scheint immer wichtigere Dinge zu geben. Patienten warten, Abrechnungen laufen, das Praxisteam braucht Anleitung. Wann soll man sich da noch mit Backups, Passwörtern und Datenschutzrichtlinien beschäftigen?

Diese Haltung ist verständlich. Aber sie ist falsch – und dieser Ratgeber erklärt, warum.

IT-Sicherheit in einer Arztpraxis ist kein IT-Problem. Es ist ein ärztliches Problem. Es geht um den Schutz Ihrer Patienten, um Ihre eigene rechtliche Sicherheit und um die Funktionsfähigkeit Ihrer Praxis. Wer das einmal verstanden hat, sieht das Thema anders.

Dieser Ratgeber ist entstanden, weil es zwar viel Material zu IT-Sicherheit gibt – aber kaum etwas, das wirklich auf die besondere Situation einer Arztpraxis eingeht. Die Anforderungen an niedergelassene Ärztinnen und Ärzte sind spezifisch: die Telematikinfrastruktur mit ihren Konnektoren und Karten, das Praxisverwaltungssystem als zentrales Nervensystem, die ärztliche Schweigepflicht als strafrechtliche Kategorie, die KBV-IT-Sicherheitsrichtlinie als geltendes Berufsrecht. Das alles existiert in dieser Form nur in Arztpraxen.

Für wen ist dieser Ratgeber?¶

Dieser Ratgeber ist für alle, die eine Praxis betreiben oder leiten – Hausärzte, Fachärzte, Zahnärzte, Psychotherapeuten, MVZ-Betreiber. Sie müssen keine IT-Kenntnisse haben. Sie müssen aber bereit sein, sich mit Dingen zu beschäftigen, die Sie vielleicht lieber ignorieren würden.

Vielleicht erkennen Sie sich hier wieder:

Sie haben eine Praxissoftware, wissen aber nicht genau, wo Ihre Patientendaten liegen – ob auf dem lokalen Server oder in der Cloud.
Ihr IT-Dienstleister kümmert sich um die technische Seite. Sie vertrauen darauf, dass er alles richtig macht – aber Sie hatten nie ein echtes Gespräch darüber, wie er geschützte Daten behandelt.
Sie sichern Ihre Daten irgendwie – aber Sie haben nie überprüft, ob die Sicherung funktioniert.
Sie haben schon von der KBV-Richtlinie gehört und sind unsicher, ob Ihre Praxis diese erfüllt.
Sie nutzen die ePA und den TI-Konnektor – und fragen sich, welche Sicherheitsanforderungen das mit sich bringt.

Wenn Sie sich in einem dieser Punkte wiedererkennen: Dieser Ratgeber ist für Sie.

Was dieser Ratgeber ist – und was nicht¶

Dieser Ratgeber ist ein Orientierungsrahmen für Praxisverantwortliche ohne vertiefte IT-Kenntnisse. Er zeigt Ihnen, wo die kritischen Punkte liegen, welche Maßnahmen sinnvoll sind und warum sie wichtig sind. Er ersetzt aber weder eine individuelle IT-Beratung noch eine Rechtsberatung noch eine ärztliche Organisationsberatung.

Wo Fragen des Strafrechts, der DSGVO oder der Berufsordnung berührt werden, gibt dieser Ratgeber Orientierung. Eine individuelle Rechtsberatung ist das nicht. Wenn Sie konkrete rechtliche Fragen haben – etwa zur Auslegung eines Vertrags mit Ihrem IT-Dienstleister, zur Einhaltung der KBV-Richtlinie in Ihrer speziellen Situation, oder zur Frage, ob eine bestimmte Maßnahme ausreichend ist – wenden Sie sich an einen auf Medizinrecht oder Datenschutz spezialisierten Anwalt.

Auch ist dieser Ratgeber kein Hochsicherheitstrakt-Handbuch. Es geht nicht darum, das theoretisch Optimale zu erreichen – sondern das praktisch Erreichbare. Ein Schutz, den Sie umsetzen, hilft mehr als ein perfektes Konzept, das nur auf dem Papier steht. Deshalb lautet das Grundprinzip: Lieber 80 Prozent ehrlich und konsequent umgesetzt als 100 Prozent als guter Vorsatz.

Rechtlicher Hinweis: Alle Ausführungen zu Strafrecht (§ 203 StGB), DSGVO, KBV-Richtlinie und anderen rechtlichen Fragen dienen der allgemeinen Orientierung. Sie ersetzen keine individuelle Rechtsberatung. Für Ihre konkrete Situation wenden Sie sich bitte an einen Anwalt, der auf Medizinrecht oder Datenschutz spezialisiert ist.

Wie Sie mit diesem Ratgeber arbeiten¶

Sie müssen diesen Ratgeber nicht von vorne bis hinten lesen. Wenn Sie ein akutes Problem haben – etwa weil Sie nicht wissen, ob Ihre Praxis die KBV-Anforderungen erfüllt – springen Sie direkt in das entsprechende Kapitel.

Wenn Sie von Grund auf anfangen und Ihre Praxis sicherer machen möchten, empfehle ich die Reihenfolge. Der Aufbau ist so gestaltet, dass jedes Kapitel auf dem vorherigen aufbaut.

Am Ende jedes Teils finden Sie eine Checkliste. Nutzen Sie diese. Drucken Sie sie aus, wenn das hilft. Haken Sie ab, was erledigt ist. Notieren Sie, was noch offen ist. Eine Checkliste, die Sie zur Hälfte abgehakt haben, ist unendlich besser als ein Ratgeber, den Sie gelesen, aber nicht umgesetzt haben.

Technische Begriffe werden beim ersten Auftreten erklärt. Wer tiefer einsteigen möchte, findet am Ende optional Deep-Dive-Abschnitte – freiwillig und nicht notwendig für das Grundverständnis.

Tipp: Lesen Sie diesen Ratgeber mit einem Stift in der Hand oder einem offenen Notizdokument. Schreiben Sie auf, was Sie aufhorchen lässt. Das wird Ihre persönliche Aufgabenliste für die nächsten Wochen.

Was Sie erwartet¶

Dieser Ratgeber ist in zehn Teile gegliedert.

Teil 1: Grundlagen & Mindset legt die Basis. Warum ist IT-Sicherheit für Arztpraxen keine technische Nebensache, sondern eine ärztliche Pflicht? Welche Irrtümer halten viele Praxen zurück? Und wie stellen Sie fest, was Sie überhaupt an digitaler Infrastruktur in Ihrer Praxis haben?

Teil 2: Rechtlicher Rahmen erklärt die drei Ebenen von Pflichten: das Strafrecht (§ 203 StGB), die DSGVO und das Berufsrecht (KBV-IT-Sicherheitsrichtlinie). Keine Juristerei – sondern die konkrete Frage: Was bedeuten diese Regeln für meine tägliche Praxis?

Teil 3: Digitale Infrastruktur beschreibt die Grundmaßnahmen: sichere Passwörter, Zwei-Faktor-Authentifizierung, Backups, Verschlüsselung, sicherer Internetzugang, Cloud-Dienste und der Umgang mit Zugängen für externe Dienstleister.

Teil 4: Telematikinfrastruktur widmet sich den Besonderheiten der TI: Konnektor, elektronischer Heilberufsausweis, KIM, ePA, eRezept und elektronische Arbeitsunfähigkeitsbescheinigung – und was zu tun ist, wenn die TI ausfällt.

Teil 5: Praxisverwaltungssystem beleuchtet das Herzstück der Praxis-IT. Welche Sicherheitsanforderungen stellt das PVS? Was ist bei der Auswahl, dem Betrieb und dem Backup von Patientendaten zu beachten?

Teil 6: Medizinische Geräte am Netz behandelt ein oft übersehenes Risiko: vernetzte Medizintechnik, die mit dem Praxisnetzwerk verbunden ist. Wie segmentiert man das Netz, damit ein kompromittiertes Gerät nicht zur Gefahr für alle anderen wird?

Teil 7: KBV IT-Sicherheitsrichtlinie zeigt, welche Anforderungen die Richtlinie konkret stellt – gestaffelt nach Praxisgröße von der kleinen Einzelpraxis bis zur Gemeinschaftspraxis mit Großgeräten.

Teil 8: KI in der Arztpraxis gibt einen Überblick darüber, wie KI-Werkzeuge in der Praxis sinnvoll eingesetzt werden können – und welche Risiken bei Datenschutz und Schweigepflicht zu beachten sind.

Teil 9: Personal & Zugänge erklärt, wie Berechtigungen in einer Praxis sinnvoll vergeben werden, wie Onboarding und Offboarding von Mitarbeitenden geregelt sein sollten und was bei Praxisübergaben zu beachten ist.

Teil 10: Notfall & Resilienz schließt den Kreis: Was tun, wenn etwas wirklich schiefgeht? Wie erkennt man Social Engineering und Phishing? Wie sieht ein handhabbarer Notfallplan aus?

Am Ende finden Sie ein Glossar sowie ein Quellenverzeichnis mit weiterführenden Materialien.

Eine persönliche Anmerkung: IT-Sicherheit für Arztpraxen ist kein attraktives Thema. Es ist unbequem, zeitaufwendig und fühlt sich oft wie eine Last an. Aber wenn Sie verstanden haben, dass IT-Sicherheit in einer Arztpraxis nicht ein IT-Problem ist, sondern ein ärztliches Problem – dass es um den Schutz Ihrer Patienten und um Ihre eigene rechtliche Sicherheit geht – dann wird es plötzlich sinnvoll. Und plötzlich lohnt sich die Anstrengung.