IT-Sicherheit in der Arztpraxis: BSI warnt — und diese Pflichten gelten jetzt

„Unsere Praxis ist zu klein, um Ziel von Hackern zu werden“ — diesen Satz bezeichnet das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seiner aktuellen Pressemitteilung vom 14. Juli 2026 als „gefährlichen Irrtum". Die Behörde warnt ausdrücklich davor, dass auch kleine und mittlere Arzt-, Zahnarzt- und Psychotherapiepraxen ins Visier von Hackern und Ransomware-Angriffen geraten — denn sensible Patientendaten sind bei Kriminellen begehrt (BSI-Pressemitteilung, 14.07.2026).

Gleichzeitig erinnert das BSI an eine Entwicklung, die viele Praxen noch nicht vollständig umgesetzt haben: Die überarbeitete IT-Sicherheitsrichtlinie nach § 390 SGB V ist für Vertragsärzte seit Oktober 2025 und für Vertragszahnärzte seit Januar 2026 verbindlich. Dieser Beitrag zeigt, was das konkret für Ihre Praxis bedeutet — und wie Sie die Anforderungen mit vertretbarem Aufwand erfüllen.

Warum Arztpraxen ein attraktives Ziel sind

Aus Sicht eines Angreifers ist eine Praxis ein lohnendes Ziel mit vergleichsweise schwacher Verteidigung. Gesundheitsdaten gehören zu den wertvollsten Datenkategorien überhaupt: Sie lassen sich für Erpressung, Identitätsdiebstahl und Betrug missbrauchen und sind — anders als eine Kreditkartennummer — nicht austauschbar. Zugleich hängt der Praxisbetrieb heute fast vollständig an der IT: Praxisverwaltungssystem, Terminplanung, Telematikinfrastruktur, digitale Bildgebung, Laboranbindung. Fällt die IT durch einen Ransomware-Angriff aus, steht die Praxis still — und genau auf diesen Druck setzen Erpresser.

Hinzu kommt: Die wenigsten Praxen haben eigenes IT-Personal. Administration, Updates und Sicherheit liegen oft bei einem externen Dienstleister, der primär für den laufenden Betrieb zuständig ist — nicht für die aktive Erkennung von Angriffen. Der Trend-Micro-Bericht vom Juli 2026 bestätigt das Gesamtbild: Das Gesundheitswesen zählt zu den Branchen mit dem höchsten Cyber-Risiko-Index, und gerade kleine Organisationen verzeichneten als einzige Größenklasse ein gestiegenes Risiko (Trend Micro, 14.07.2026).

Die IT-Sicherheitsrichtlinie nach § 390 SGB V: Das ist jetzt Pflicht

Die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung (KBV) und der Kassenzahnärztlichen Bundesvereinigung (KZBV) konkretisiert, welche technischen und organisatorischen Maßnahmen Praxen umsetzen müssen. Die aktuelle Fassung ist laut BSI für den KBV-Bereich seit Oktober 2025 und für den KZBV-Bereich seit Januar 2026 bindend. Das BSI hat die Richtlinie fachlich begleitet und hebt vier Schwerpunkte hervor:

1. Strukturierte Einarbeitung neuer Mitarbeitender

Sicherheit beginnt beim Personal. Neue Mitarbeitende müssen systematisch in die IT-Nutzung und die Sicherheitsregeln der Praxis eingewiesen werden — von der Passwort-Hygiene über den Umgang mit E-Mail-Anhängen bis zu klaren Zuständigkeiten. Phishing bleibt der häufigste Einstiegspunkt für Angriffe; geschultes Personal ist die erste Verteidigungslinie. Mit unserer Security-Awareness-Schulung lassen sich Mitarbeitende gezielt auf diese Risiken vorbereiten.

2. Technische Basissicherheit: Updates und Datensicherung

Regelmäßige und zeitnahe Updates für Betriebssysteme, Praxissoftware und Geräte schließen bekannte Schwachstellen, bevor Angreifer sie ausnutzen. Ebenso zentral: eine funktionierende Datensicherung, die regelmäßig erfolgt, getrennt vom Praxisnetz aufbewahrt und — das wird häufig vergessen — regelmäßig auf Wiederherstellbarkeit getestet wird. Im Ransomware-Fall entscheidet das Backup darüber, ob die Praxis nach Tagen wieder arbeitsfähig ist oder vor einem Totalverlust steht.

3. Zugriffsschutz und E-Mail-Sicherheit

Jeder Mitarbeitende sollte nur auf die Daten zugreifen können, die er für seine Aufgaben benötigt. Individuelle Benutzerkonten statt Sammel-Logins, starke Passwörter, wo möglich Multi-Faktor-Authentifizierung — und besondere Vorsicht beim zentralen Einfallstor E-Mail: Spamfilter, Prüfung von Absendern und ein klar definierter Umgang mit verdächtigen Nachrichten. Unsere E-Mail-Security-Lösung schließt gezielt diesen Angriffsvektor.

4. Überprüfung von Cloud-Diensten

Viele Praxen nutzen Cloud-Dienste für Terminbuchung, Kommunikation oder Datenaustausch, ohne deren Sicherheit und Datenschutzkonformität systematisch geprüft zu haben. Die Richtlinie verlangt hier eine bewusste Auswahl und Kontrolle — welche Dienste werden genutzt, wo liegen die Daten, wer hat Zugriff?

Unterstützung vom BSI: Diese Hilfsmittel gibt es

Das BSI stellt Praxen kostenfreie Werkzeuge zur Verfügung, um die Umsetzung zu erleichtern: praxisnahe Handlungsempfehlungen und Checklisten, einen Quick-Check zur Selbsteinschätzung des eigenen Sicherheitsniveaus, eine IT-Notfallkarte für den Krisenfall sowie einen Umsetzungsfahrplan mit konkreten Schritten (BSI; Linux-Magazin, Juli 2026).

Besonders die IT-Notfallkarte verdient Beachtung: Sie beantwortet die Frage, die sich im Ernstfall als Erstes stellt — wen rufe ich an, was tue ich sofort, was auf keinen Fall? Eine Praxis, die erst während eines laufenden Angriffs zu improvisieren beginnt, verliert wertvolle Stunden. Professionelle Incident Response setzt genau hier an: mit vorbereiteten Abläufen, klaren Ansprechpartnern und schneller Eindämmung im Ernstfall.

Was kleine Praxen realistisch leisten können — und was nicht

Die ehrliche Einordnung: Die Basismaßnahmen der Richtlinie — Updates, Backups, Zugriffsschutz, Schulung — kann und muss jede Praxis umsetzen, gegebenenfalls mit ihrem IT-Dienstleister. Was eine Praxis dagegen nicht selbst leisten kann, ist die kontinuierliche Überwachung ihrer Systeme auf Angriffe. Moderne Attacken laufen oft nachts oder am Wochenende und bleiben ohne aktives Monitoring tage- oder wochenlang unentdeckt.

Für diese Lücke gibt es ausgelagerte Lösungen: Ein 24/7-Security-Monitoring (Managed Detection & Response) überwacht Praxissysteme rund um die Uhr, erkennt verdächtige Aktivitäten frühzeitig und reagiert, bevor aus einem Vorfall ein Datenabfluss oder ein Verschlüsselungsschaden wird. Wer zusätzlich wissen möchte, wie widerstandsfähig die eigene Praxis-IT tatsächlich ist, kann sie mit einem Penetrationstest gezielt überprüfen lassen. Und für die organisatorische Seite — Richtlinien-Umsetzung, Dokumentation, Datenschutz-Schnittstellen — bietet sich ein externer Informationssicherheitsbeauftragter an, der die Verantwortlichkeiten professionell strukturiert, ohne dass die Praxis eigenes Personal aufbauen muss.

Erste Schritte: So priorisieren Sie richtig

Wenn Sie heute anfangen, empfiehlt sich diese Reihenfolge:

• Bestandsaufnahme: BSI-Quick-Check durchführen — wo steht die Praxis, wo sind die größten Lücken?
• Backup prüfen: Existiert eine getrennte Datensicherung? Wurde die Wiederherstellung je getestet?
• Updates organisieren: Mit dem IT-Dienstleister einen verbindlichen Update-Prozess für alle Systeme vereinbaren.
• Team schulen: Kurze, regelmäßige Sensibilisierung zu Phishing und Passwörtern — 30 Minuten pro Quartal bewirken viel.
• Notfall vorbereiten: IT-Notfallkarte ausfüllen, Ansprechpartner festlegen, Meldewege klären.
• Monitoring klären: Entscheiden, wer Angriffe auf Ihre Systeme erkennt — Ihr Dienstleister, ein MDR-Service oder bislang niemand?

Fazit

Die BSI-Warnung vom 14. Juli 2026 ist kein Alarmismus, sondern eine nüchterne Bestandsaufnahme: Praxen verwalten hochsensible Daten, sind stark IT-abhängig und werden von Angreifern gezielt als leichte Beute einkalkuliert. Mit der IT-Sicherheitsrichtlinie nach § 390 SGB V ist der Mindeststandard inzwischen verbindlich — die gute Nachricht ist, dass die wichtigsten Maßnahmen überschaubar sind und sich mit externer Unterstützung effizient umsetzen lassen.

Wenn Sie wissen möchten, wo Ihre Praxis heute steht und welche Maßnahmen den größten Effekt hätten, vereinbaren Sie eine unverbindliche Ersteinschätzung.

Quellen: BSI-Pressemitteilung: Cyberangriffe auf Praxen — BSI unterstützt bei der Umsetzung neuer IT-Sicherheitsvorgaben (14.07.2026); Linux-Magazin: BSI unterstützt Arztpraxen bei Cybersicherheit; Trend Micro: Ransomware-Angriffe auf Rekordniveau — Deutschland unter den Top drei weltweit (14.07.2026).