IT-Sicherheit in der Arztpraxis: DSGVO, NIS2 und KBV
Eine Arztpraxis verarbeitet die sensibelsten Daten überhaupt: Gesundheitsdaten ihrer Patienten. Gleichzeitig sind Praxen ein bevorzugtes Ziel von Ransomware-Angriffen – nicht weil sie reich wären, sondern weil sie verlässlich zahlen, um den Praxisbetrieb wiederherzustellen. Dazu kommen DSGVO, NIS2, die KBV-IT-Sicherheitsrichtlinie und die Telematikinfrastruktur. Dieser Leitfaden erklärt, worauf es bei der IT-Sicherheit in der Arztpraxis wirklich ankommt – ohne Fachjargon.
Warum Arztpraxen besonders gefährdet sind
- Hochsensible Daten: Gesundheitsdaten gelten als „besondere Kategorie" nach Art. 9 DSGVO und genießen den höchsten Schutzstatus.
- Hoher Druck im Ernstfall: Wenn die Praxis steht, können Patienten nicht behandelt werden – Lösegeldforderungen werden eher gezahlt.
- Heterogene IT-Landschaft: Praxissoftware (PVS), Telematikinfrastruktur (TI), Geräte mehrerer Hersteller, oft gewachsen über Jahre.
- Wenig Zeit für IT: Der Praxisalltag lässt kaum Raum für Security-Themen – die Verantwortung bleibt aber bei der Praxisleitung.
Welche Vorschriften gelten?
1. DSGVO und § 22 BDSG
Gesundheitsdaten dürfen nur mit ausdrücklicher Einwilligung oder gesetzlicher Grundlage verarbeitet werden. Die Praxis muss technische und organisatorische Maßnahmen („TOMs") umsetzen, ein Verzeichnis von Verarbeitungstätigkeiten führen und einen Datenschutzbeauftragten benennen (ab 20 Personen, die personenbezogene Daten regelmäßig verarbeiten).
2. KBV-IT-Sicherheitsrichtlinie
Die Kassenärztliche Bundesvereinigung schreibt seit 2021 verbindliche IT-Sicherheitsmaßnahmen für jede an der vertragsärztlichen Versorgung teilnehmende Praxis vor. Anforderungen variieren je nach Praxisgröße und betreffen unter anderem: aktuelle Virenschutzsoftware, sichere Passwörter, regelmäßige Updates, Backups, Schulungen der Mitarbeiter, Netzsegmentierung und Verschlüsselung von Endgeräten.
3. Telematikinfrastruktur (TI)
Der TI-Konnektor verbindet die Praxis mit der zentralen Gesundheits-Telematik (eRezept, ePA, KIM). Sicherheitsanforderungen sind durch die gematik vorgegeben. Wichtig: Der Konnektor ersetzt keine Praxis-Firewall – er sichert nur die TI-Anbindung.
4. NIS2 – auch für größere Praxen relevant
Das NIS2-Umsetzungsgesetz erfasst den Gesundheitssektor explizit. Größere Praxen, MVZ (Medizinische Versorgungszentren) und Praxisverbünde fallen ab 50 Mitarbeitern oder 10 Mio. € Umsatz unter NIS2 – mit deutlich strengeren Pflichten als KBV-IT-Sicherheitsrichtlinie und DSGVO. Eine vollständige Übersicht finden Sie in unserer NIS2-Checkliste.
Die wichtigsten Maßnahmen für die Arztpraxis
- Endpoint-Schutz mit EDR/MDR statt klassischem Virenschutz – moderne Ransomware umgeht Signaturen problemlos.
- Tägliche, geprüfte Backups – mindestens eines davon offline oder in einem von der Praxis getrennten Cloud-Speicher.
- Multi-Faktor-Authentifizierung für Praxisverwaltungssystem (PVS), Cloud-Dienste und Fernzugriffe.
- Netzwerksegmentierung: Medizingeräte, PVS und Bürorechner getrennt vom Gäste-WLAN.
- Verschlüsselte Festplatten auf allen mobilen Geräten (Laptops, USB-Sticks, externen Festplatten).
- Phishing-Schulungen für das gesamte Praxisteam – mindestens einmal jährlich.
- Klare Regeln für USB-Sticks, private Geräte und Cloud-Speicher (Dropbox, WhatsApp etc.).
- Notfallplan im Schrank – wer wird bei einem Ransomware-Angriff angerufen? Welche Schritte folgen?
Was ist im Ernstfall zu tun?
Bei einem Ransomware- oder Datenleck-Vorfall gelten knappe Fristen:
- 72 Stunden Meldepflicht an die Datenschutzaufsichtsbehörde nach Art. 33 DSGVO
- 24 Stunden Erstmeldung an das BSI, wenn die Praxis NIS2-pflichtig ist
- Sofort Information betroffener Patienten, wenn ein hohes Risiko besteht (Art. 34 DSGVO)
- Beweissicherung – betroffene Systeme nicht einfach neu aufsetzen, sondern für forensische Untersuchungen erhalten
Ohne vorbereiteten Plan ist diese Reaktion unter Zeitdruck kaum zu leisten – ein externer ISB oder ein MDR-Service mit Notfall-Hotline ist hier Gold wert.
Was kostet professionelle IT-Sicherheit für eine Arztpraxis?
Realistische Größenordnungen für eine durchschnittliche Praxis (5–15 Mitarbeiter):
| Leistung | Monatliche Kosten |
|---|---|
| Managed EDR / Basis-Schutz | ab ca. 350 € |
| Erweiterter Schutz inkl. E-Mail-Security & Backup | ab ca. 560 € |
| Vollservice mit 24/7-SOC und externem ISB | ab ca. 1.290 € |
| Phishing-Schulungen je Mitarbeiter | ca. 5 € / User |
Verglichen mit den Kosten eines einzigen Ausfalltages (Ausfall des Praxisbetriebs, Datenverluste, Meldepflichten, Bußgelder) ist das eine sehr planbare Investition.
Fazit: IT-Sicherheit ist Teil der ärztlichen Sorgfaltspflicht
IT-Sicherheit in der Arztpraxis ist heute keine reine IT-Frage mehr – sie ist Teil der Sorgfaltspflicht gegenüber Patienten und gesetzlich vorgeschrieben. Wer DSGVO, KBV-IT-Sicherheitsrichtlinie und NIS2 strukturiert umsetzt, schützt nicht nur Daten, sondern den Fortbestand der Praxis. Mit einem professionellen Managed-Service-Partner ist das Thema in wenigen Wochen sauber aufgestellt und bleibt dauerhaft konform.
Weiterlesen: Ransomware-Schutz für den Mittelstand · NIS2 Checkliste 2026 · MDR-Leistungsseite
Nächste Schritte: persönliches Erstgespräch über /kontakt.
Häufige Fragen
Welche IT-Sicherheitsvorschriften gelten für Arztpraxen?
DSGVO und § 22 BDSG (Verarbeitung besonderer personenbezogener Daten), die KBV-IT-Sicherheitsrichtlinie (verbindlich seit 2021), die Vorgaben der gematik für die Telematikinfrastruktur und – bei größeren Praxen, MVZ oder Verbünden ab 50 Mitarbeitern – das NIS2-Umsetzungsgesetz.
Reicht der Virenschutz auf den Praxis-PCs aus?
Nein. Klassische signaturbasierte Virenscanner erkennen moderne Ransomware nicht zuverlässig. Erforderlich ist mindestens ein modernes EDR-System – besser ein Managed-Detection-Service mit 24/7-Reaktion durch ein Security-Team.
Was kostet IT-Sicherheit für eine Arztpraxis?
Für eine Praxis mit 5–15 Mitarbeitern liegen die monatlichen Kosten je nach Schutzniveau zwischen ca. 350 € (Basis) und 1.290 € (Vollservice mit 24/7-SOC und externem ISB). Pro Mitarbeiter sind das wenige Euro pro Tag.
Schützt die Telematikinfrastruktur (TI) die Praxis vor Hackerangriffen?
Nein. Der TI-Konnektor sichert nur die Verbindung zur Gesundheits-Telematik (eRezept, ePA, KIM). Die Praxis-IT selbst – PVS, Bürorechner, Medizingeräte, E-Mails – ist davon nicht geschützt und braucht zusätzliche Maßnahmen.
Wer haftet bei einem Datenleck in der Arztpraxis?
Die Praxisinhaber bzw. die Geschäftsführung des MVZ. Strafen reichen von Bußgeldern (DSGVO: bis 20 Mio. € oder 4 % Jahresumsatz) über Schadensersatzforderungen bis zu berufsrechtlichen Konsequenzen. Eine dokumentierte Sicherheitsstrategie reduziert dieses Risiko erheblich.
MDR mit 24/7-SOC aus Deutschland
Valyros betreibt ein 24/7-SOC und schützt KMU, Arztpraxen, Kanzleien und den Mittelstand – DSGVO-konform mit Datenhaltung in Deutschland.
Weitere Artikel
IT-Sicherheit für Kanzleien: DSGVO, Berufsrecht & NIS2 in der Praxis
Anwalts- und Steuerkanzleien verwalten hochsensible Mandantendaten – und sind deshalb ein bevorzugtes Angriffsziel. Welche Pflichten aus DSGVO, Berufsrecht und NIS2 gelten und was konkret umgesetzt werden muss.
NIS2 Checkliste für KMU 2026: Die 12 Schritte zur Konformität
Welche NIS2-Pflichten Sie 2026 erfüllen müssen – konkret, prüfbar und in 12 Schritten. Die Checkliste für Geschäftsführer und IT-Verantwortliche im Mittelstand.
Charité-Hack: Was Praxen über Website-Sicherheit lernen
Ende Oktober 2026 traf es eine der bekanntesten medizinischen Einrichtungen Europas: Bei einem Cyberangriff auf die Berliner Charité flossen die Kontaktdaten von knapp 140.000 Personen ab – darunter rund 90.000 Menschen, die über das Kontaktformular der …
Cyberangriffe im Gesundheitswesen: Lehren für Praxen
Das Gesundheitswesen bleibt eines der bevorzugten Ziele von Cyberkriminellen – und die vergangenen Tage und Wochen haben erneut gezeigt, wie breit die Angriffsfläche ist: vom Dialysekonzern über Klinik-Dienstleister bis zur Phishing-Masche, die sich als …
Externer ISB: Kosten, Aufgaben und wann er Pflicht ist
Was kostet ein externer Informationssicherheitsbeauftragter (ISB), welche Aufgaben übernimmt er und wann ist er Pflicht? Der praxisnahe Leitfaden für KMU und Mittelstand.
Ransomware-Schutz für den Mittelstand: Der vollständige Leitfaden 2026
9 von 10 Ransomware-Angriffe lassen sich verhindern – wenn die richtigen Maßnahmen greifen. Der vollständige Leitfaden für den Mittelstand mit konkreter Schritt-für-Schritt-Anleitung.