In Arztpraxen spielt Cybersicherheit im Umfeld von ePA und Praxisverwaltungssystemen (PVS) eine immer größere Rolle. Viele Praxen unterschätzen aber dieses Thema, steht doch der medizinische Aspekt im Vordergrund. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein neues Unterstützungsangebot vorgestellt, um auch kleineren Versorgungszentren und Gemeinschaftspraxen den Einstieg in ein besseres betriebliches Cybersicherheitsmanagement zu ermöglichen.
Die betreffende Information wurde bereits zum 14. Juli 2026 vom Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgestellt. Ich bin über nachfolgenden Tweet auf die Thematik aufmerksam geworden und trage es heute mal nach.
Laut BSI unterschätzen viele Praxen das Risiko von Cyberangriffen. Der Satz "Unsere Praxis ist zu klein, um Ziel von Hackern zu werden" sei leider ein gefährlicher Irrtum., meint das BSI.
Dabei stehen sensible, digital erfasste Patientendaten bei Cyberkriminellen hoch im Kurs – die Daten eignen sich für Erpressungen. Das BSI weist darauf hin, dass nicht nur große Kliniken und /oder Medizinische Versorgungszentren (MVZ) ins Visier der Cyberkriminellen geraten. Auch in kleineren und mittelgroßen Praxen, wo Patientendaten elektronisch verarbeitet und ausgetauscht werden, können unbefugte Zugriffe, Datenverluste oder Ransomware-Attacken den Betrieb erheblich stören oder zum Stillstand bringen.
"Gerade haus- und allgemeinärztliche Praxen arbeiten mit hochsensiblen Gesundheitsdaten und sind deshalb attraktive Ziele. Umso wichtiger ist es, Mitarbeitende für typische Angriffsmuster zu sensibilisieren und IT-Sicherheit fest im Praxisalltag zu verankern", erklärt Pascal Jeschke aus dem Referat für Gesundheits- und Finanzwesen des BSI.
IT-Sicherheitsrichtlinie nach § 75b SGB V
Die IT-Sicherheitsrichtlinie nach § 75b SGB V ist seit Oktober 2025 im Bereich der Kassenärztlichen Bundesvereinigung (KBV) [PDF-Fassung] und seit Januar 2026 im Bereich der Kassenzahnärztlichen Bundesvereinigung (KZBV) verbindlich.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt Arzt-, Zahnarzt- und Psychotherapiepraxen mit konkreten Handlungsempfehlungen und Checklisten dabei, die durch die neue IT-Sicherheitsrichtlinie entstehenden Anforderungen an die Cybersicherheit umzusetzen und dauerhaft zu verankern. Hier die abrufbaren Dokumente:
- Hinweise zur IT-Sicherheitsrichtlinie nach § 75b SGB V
- QuickCheck IT-Sicherheit in Arzt-, Zahnarzt- und Psychotherapiepraxen
- IT-Sicherheitsrichtlinie nach § 390 Sozialgesetzbuch V (SGB V)
MVP: 2013 – 2016
Ja es wäre schön wenn man die Angestellten in Arztpraxen darauf sensibilisieren würde. Aber wenn man den Alltag in den Praxen mitbekommt stellt man sich die Frage wann bitte sollen die Leute das machen. Die stehen doch so schon unter Stress weil es meist zu wenige sind für das Arbeitsaufkommen. Man hat ja schon Glück wenn man eine Praxis telefonisch erreicht.
Warum gibt es keine speziellen Praxissysteme die auf genau diese Anforderungen hin optimiert sind? Es muss kein Windows sein denn den Angestellten der Praxen ist es egal was im Hintergrund als Betriebssystem läuft. Wichtig ist dass die Anforderungen des Praxisalltags erfüllt werden.
@Günther: Die aktuelle ärztliche Richtlinie läuft inzwischen unter § 390 SGB V und ersetzt die frühere Richtlinie nach § 75b. Die neuen Anforderungen gelten für Arzt- und Psychotherapiepraxen seit dem 1. Oktober 2025. Bei Zahnarztpraxen sind die geänderten Anforderungen seit dem 2. Januar 2026 umzusetzen.
Siehe auch: https://www.kbv.de/documents/infothek/rechtsquellen/bekanntmachungen/richtlinien/IT-Sicherheitsrichtlinie_390_KBV.pdf
Ich möchte keine Kollegenschelte betreiben, aber wenn ich mir Praxen als ITler anschaue, die angeblich "professionelle Systemhäuser" o.ä. als Partner haben, rollen sich mir regelmäßig die Fußnägel hoch.
Variante A: einfache FritzBox als Router & Firewall, Windows10/11 als "Server" für Praxis-Software, Schlangenöl-Securitiy-Software aka Avira/McAfee, lokale Admin-Rechte auf den PCs, etc. Backups maximal auf einer schäbbigen Verbatim USB-HDD, die seit Jahren dann zwar stumpf wöchentlich getauscht wird, aber Konsistenzen oder rudimentäre Grundfunktionen gar nicht geprüft werden.
Variante B: Statt der FritzBox teure Systeme wie Sophos, Fortinet & Co., meist dann allerdings mit Allow-All-Setups. VLAN-Segmentierungen meist kaum oder gar nicht vorhanden, dementsprechend auch keine Rulesets. Ranzige Server, die trotz ihres jungen Alters noch mit unterster Hardware ausgestattet sind (Consumerkram & Co). Und wenn kein bare-metal, wird auf HyperV oder immer noch ESXi virtualisiert. Selten bis gar keine 3-2-1-Backupstrategie, Stichproben auf Backup-Konsistenz meist Fehlanzeige.
Auch schon oft erlebt (nicht nur bei Praxen):
– keine Doku (ja liebe Kollegen, immer noch Standard im Jahr 2026) oder nur ein Zettelchen mit Admin- und sonstigen kritischen Passwörtern (deren Komplexität spreche ich mal nicht an), welches in einer Schublade greifbar für alle liegt oder am besten noch an einer Pinnwand hängt
– alles arbeitet auf einem Terminalserver und den Usern werden fette Clients mit i7/i9 für ein Schweinegeld an die Arbeitsplätze gesetzt, der Server jedoch ächzt weil schon damals unterdimensioniert ("Wieso? Die PCs sind doch alle neu!")
– Softwarebuden, die für "das einfache Arbeiten" noch immer lokale Admin-Rechte empfehlen
Das Thema Dokumentation bringt mich jedes Mal auf die Palme. 95% müssen ihren Dienstleistern alles aus der Nase ziehen. Wenn Neuerungen kommen, wird das (außer auf dem Rechnungstext) meist nicht dokumentiert. Schon etliche Gruselprojekte gehabt, auch in Praxen mit mehr als 20 Mitarbeitern, wo absolut NULL an Doku vorhanden war. Einzig das Abkassieren fetter Gebühren/Stundensätze klappt durch die Bank gut, weil "ist ja was mit Medizin".
Ich wage zu bezweifeln, dass in solchen Läden auch nur ansatzweise so etwas wie der BSI-Grundschutz durchgesetzt wird oder werden kann. Denn meistens sieht es so aus:
– kein aktueller Netzplan
– keine Geräteliste
– kein dokumentierter Patchprozess
– keine dokumentierten Restoretests
– keine Benutzer- und Berechtigungsmatrix
– keine unterschriebenen Ein- und Austrittsprozesse
– keine Schulungsnachweise
– kein Notfall- und Wiederanlaufplan
– keine dokumentierte Risikobehandlung für medizinische Altgeräte
ja. das ist die eine Seite.
die andere ist: IT macht der Arzt selbst. clients 13 Jahre alt. Betriebssystem ohne Support.
Auf der anderen Seite hast du jetzt gegen alles gewettert.
Fritzbox doof. Sophos aber auch. Clients zu Leistungsstark. Server aber zu langsam.
Bare Metal doof, esxi und hyper v aber auch.
Was passt dir denn so? Genau wie du es machst. Alles andere ist blöd?
Der RosaElefant im Raum:
Wer vorbildlich dokumentiert, verliert.
Dafür gibt dir nämlich keiner die Zeit und du bist ganz schnell der ewige Underperformer.
Schnell lernst du wie der Hase läuft, und die Ex-Kollegen merken dann vielleicht in 5 Jahren das der Mitarbeiter des Monats in Wirklichkeit Mr.QuickDirty war…
Das kann ich zu 90 % so unterschreiben. Oft liegt es aber auch an den Praxen, dass einfach nicht genug Budget für IT vorhanden ist.
Wer fett abkassiert und gleichzeitig schlechte Arbeit abliefert, ist dann wirklich dreist. Da regelt dann hoffentlich der Markt.
Ironie on.:
Statt diesen bürokratischen Firlefanz (zu einem gewissen Grad, ist diese Bürokratie unvermeidlich… ohne Frage), aber wie währe es, wenn das BSI etwas zertifizieren würde, meinetwegen eine fuer den medizinischen Bereich "zertifizierte Firewall, vom Kombinat Robotron, oder den drei oder vier Konnektor-Herstellern…" und die Kosten für den laufenden und zukünftigen Betrieb übernehmen würden/ bitte kostendeckend!!! und nicht nach Erstausstattungsgesichtspunkten.. und die "aerztliche Zunft" wäre vom von dem Digitalisierungswahn erlöst,(Warken/Kassen müssen die ePA auswerten und auf die Patienten einwirken…) effektiv entlastet ohne diesen unausgereiften nicht honarierte "Zeitvertreib oder Lebenszeitverschwendung für sich persönlich oder am Patienten verbunden" zusammen mit potentionellen Haftungs-Risiken , gegenüber dem Patient und dem Behandler (abfällig als "Leistungserbringer" titulierter).
Die (potentionell) verschwendeten Gelder für im Bereich der ärztlichen "Digitalisierung" ohne Nutzen, fehlen am Ende für die ärztliche Therapie…
Wo gehobelt wird, fallen Spähne, oder der Spaehnle mit der Maskenaffairle…
Ironie off.