IT-Sicherheitsrichtlinie der KBV: Was Arztpraxen wissen sollten

Jede Arztpraxis verarbeitet hochsensible Daten. Wie sie diese schützen muss, legt die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung (KBV) fest. Sie beruht auf § 390 SGB V, wurde im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt und beschreibt ein Mindestmaß an Maßnahmen. Dieser Beitrag erklärt, was für Ihre Praxis gilt und was Sie als Nächstes prüfen können.

Was die Richtlinie verlangt

Die Richtlinie beschreibt eine Basis-Infrastruktur für den Schutz der Praxis-IT. Dazu gehören zum Beispiel eine Firewall, ein aktueller Virenschutz, regelmäßige Updates, Datensicherungen und eine geeignete Netzwerksicherheit. Bestimmte Produkte nennt die Richtlinie nicht. Sie legt fest, was erreicht werden muss, nicht womit.

Welche Anforderungen gelten für welche Praxis?

Die Anforderungen stehen in fünf Anlagen. Welche für Sie gelten, hängt von der Zahl der Personen ab, die ständig mit der Datenverarbeitung betraut sind, und von Ihrer Ausstattung:

• Bis 5 Personen: Anlage 1 (Anforderungen für alle Praxen an Hardware, Software und Praxispersonal) und Anlage 5 (Komponenten der Telematikinfrastruktur wie Konnektor und Kartenterminal).
• 6 bis 20 Personen: zusätzlich Anlage 2.
• Mehr als 20 Personen oder sehr umfangreiche Datenverarbeitung: zusätzlich Anlage 3.
• Medizinische Großgeräte wie CT oder MRT: zusätzlich Anlage 4, unabhängig von der Praxisgröße.

Was seit 2025 zusätzlich gilt

Die aktualisierte Fassung ist am 1. April 2025 in Kraft getreten. Praxen mussten die Neuerungen bis zum 1. Oktober 2025 umsetzen. Sie betreffen vor allem das Praxispersonal, in der Fachsprache Security Awareness:

• Das Personal wird in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert, soweit das für seine Arbeit relevant ist.
• Es gibt betriebliche Regelungen, die das Personal auf einem aktuellen Kenntnisstand halten.
• Neue Mitarbeitende werden in die Praxis-IT eingearbeitet und über bestehende Regelungen informiert.
• Bei unerwünschten E-Mails gilt: nicht antworten und Links nicht folgen.
• Beim Austritt von Mitarbeitenden werden Zugangsdaten und Passwörter geändert.

In welcher Form das Personal sensibilisiert werden muss, schreibt die Richtlinie nicht vor. Eine kurze Einweisung mit Dokumentation, regelmäßige Auffrischung und feste Regeln für den Umgang mit E-Mails sind ein sinnvoller Anfang.

Was Ihre IT technisch leisten muss

Vier Beispiele, die in fast jeder Praxis eine Rolle spielen:

• Firewall: Der Übergang zum Internet ist durch eine Firewall geschützt, die unerlaubte Verbindungen von außen abwehrt.
• Virenschutz: Praxisrechner und Server haben einen aktuellen Virenschutz, der sich selbst aktualisiert.
• Updates: Betriebssysteme und Programme werden regelmäßig aktualisiert.
• Datensicherung: Die Daten werden regelmäßig gesichert, und in einem Plan ist festgelegt, welche Daten wie oft gesichert werden.

Wer ist verantwortlich?

Verantwortlich ist der Praxisinhaber. Er darf die Umsetzung einzelner Maßnahmen an einen IT-Dienstleister übergeben, die Verantwortung bleibt aber bei ihm. Einen zertifizierten Dienstleister muss er dafür nicht beauftragen: Die Zertifizierung ist ein freiwilliges Angebot der KBV. Ein externer Dienstleister, der Einblick in Patientendaten bekommen kann, sollte zur Verschwiegenheit verpflichtet werden. Die KBV stellt dafür eine Muster-Verschwiegenheitserklärung für Externe bereit.

Häufige Missverständnisse

• „Die Richtlinie betrifft nur große Praxen.“ Nein. Anlage 1 gilt für alle Praxen, auch für Einzelpraxen.
• „Mein PVS-Anbieter kümmert sich um die IT-Sicherheit.“ Der Anbieter ist für seine Software zuständig. Netzwerk, Firewall, Virenschutz, Updates und Datensicherung der Praxis-IT darunter sind eine eigene Aufgabe.
• „Mein IT-Dienstleister ist verantwortlich.“ Er kann Maßnahmen umsetzen, die Verantwortung bleibt beim Praxisinhaber.
• „Ich brauche einen zertifizierten Dienstleister.“ Nein, die Zertifizierung ist ein freiwilliges Angebot der KBV.

Sieben Fragen für einen kurzen Selbstcheck

• Wissen Sie, welche Anlagen der Richtlinie für Ihre Praxis gelten?
• Gibt es einen aktuellen Netzplan, der zeigt, welche Geräte wie verbunden sind?
• Ist Ihre Firewall aktuell, und wer pflegt sie?
• Haben alle Rechner und Server einen aktuellen Virenschutz, und werden Updates eingespielt?
• Gibt es einen Plan für die Datensicherung, und wurde die Wiederherstellung schon einmal ausprobiert?
• Sind neue Mitarbeitende eingewiesen, und gibt es Regeln für E-Mails und für den Austritt?
• Haben externe Dienstleister eine Verschwiegenheitserklärung unterschrieben?

Wer drei oder mehr Fragen nicht sicher mit Ja beantworten kann, sollte sich seine IT genauer ansehen. Das Ergebnis lässt sich festhalten: Notieren Sie, was Sie geprüft und umgesetzt haben. So können Sie es später belegen.

In drei Schritten starten

• Bestandsaufnahme: Welche Geräte, Programme und Zugänge gibt es? Ein aktueller Netzplan und eine Geräteliste sind die Grundlage für alles Weitere.
• Lücken festhalten: Gehen Sie die Anforderungen Ihrer Anlagen durch und notieren Sie, was fehlt. Beginnen Sie mit dem, was bei einem Ausfall oder Angriff am meisten schadet, meist Datensicherung und Zugriffsschutz.
• Zuständigkeiten klären: Wer in der Praxis ist Ansprechpartner, wer beim Dienstleister? Halten Sie fest, wer was umsetzt und wann es zuletzt geprüft wurde.

Wo gibt es Hilfe?

Die KBV bietet auf ihrer Internetseite die Richtlinie samt aller Anlagen, eine Checkliste („So können Sie vorgehen“), ein Serviceheft sowie Musterdokumente, zum Beispiel einen Netzplan und Verschwiegenheitserklärungen. Außerdem gibt es Schulungen für Praxispersonal im Fortbildungsportal der KBV. Große Praxen und MVZ sollten zudem prüfen, ob für sie seit Dezember 2025 strengere Vorgaben zur Cybersicherheit gelten. Auch dazu hat die KBV eine PraxisInfo veröffentlicht.

Wobei wir unterstützen

Wir helfen bei den technischen Maßnahmen der Richtlinie, zum Beispiel bei Firewall, Virenschutz, Updates und Datensicherung, und zeigen Ihnen in der Bestandsaufnahme, wo Ihre IT steht. Eine Verschwiegenheitserklärung unterschreiben wir selbstverständlich. Den Anschluss der Telematikinfrastruktur richten wir nicht ein. Umsetzung und Verantwortung bleiben beim Praxisinhaber. Eine erste Einschätzung bekommen Sie mit dem Security-Check in zwei Minuten. Mehr zu unserer Arbeit für Praxen finden Sie unter IT-Betreuung für Arztpraxen.

Stand: November 2026. Maßgeblich ist die Richtlinie der KBV, alle Angaben ohne Gewähr.