KBV-IT-Sicherheits­richtlinie: was Ihre Praxis umsetzen muss.

Die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung ist kein Papiertiger. Sie beschreibt sehr konkret, wie Endgeräte, Netzwerk, Software und Organisation in einer Praxis abgesichert sein müssen. Das Gute daran: Die meisten Anforderungen sind mit überschaubarem Aufwand zu erfüllen, wenn man weiß, welche für die eigene Praxisgröße gelten.

Warum es die Richtlinie gibt und für wen sie gilt

Arztpraxen verarbeiten Gesundheitsdaten, die nach DSGVO zu den besonders schützenswerten Kategorien gehören. Gleichzeitig sind Praxen mit der Telematikinfrastruktur, mit Laboren, Kliniken und Abrechnungsstellen vernetzt. Ein kompromittierter Praxisrechner ist damit nicht nur ein lokales Problem. Der Gesetzgeber hat die KBV deshalb beauftragt, verbindliche Anforderungen an die IT-Sicherheit festzulegen, heute in § 390 SGB V geregelt (bis 2024 § 75b SGB V). Die Richtlinie gilt seit April 2021. Die überarbeitete Fassung ist am 1. April 2025 in Kraft getreten, ihre Neuerungen mussten Praxen bis zum 1. Oktober 2025 umsetzen. Neu sind vor allem Vorgaben zur Sensibilisierung und Schulung des Praxisteams.

Sie gilt für alle vertragsärztlichen und psychotherapeutischen Praxen, unabhängig von Fachrichtung und Größe. Die Größe entscheidet allerdings darüber, welche Anforderungen greifen:

Wichtig: Gezählt werden nicht nur Ärztinnen und Ärzte, sondern alle, die regelmäßig mit Patientendaten arbeiten, also auch MFA, Abrechnung und Verwaltung. Eine Praxis mit zwei Ärzten und fünf MFA ist bereits eine mittlere Praxis.

Die Basismaßnahmen: Was jede Praxis umsetzen muss

Anlage 1 enthält die Anforderungen, die für jede Praxis gelten. Es sind keine exotischen Maßnahmen, sondern Grundlagen, die in gut betreuten Praxen längst Standard sind. In der Praxis sehen wir trotzdem regelmäßig Lücken.

Endgeräte und Software

• Betriebssysteme und Anwendungen werden zeitnah aktualisiert. Geräte, für die es keine Sicherheitsupdates mehr gibt, dürfen nicht mehr für Patientendaten genutzt werden.
• Auf jedem Arbeitsplatz läuft ein aktueller Virenschutz. Bildschirme werden bei Verlassen gesperrt, automatisch nach kurzer Zeit.
• Nur freigegebene Software wird installiert. Apps auf Praxis-Smartphones und Tablets unterliegen denselben Regeln.
• Es gibt keine gemeinsam genutzten Benutzerkonten. Jede Person meldet sich mit eigenem Zugang an, damit Zugriffe nachvollziehbar bleiben.

Netzwerk und Internet

• Der Internetzugang ist durch eine Firewall geschützt, Standardpasswörter von Routern und Geräten sind geändert.
• Das Praxisnetz ist von Gäste-WLAN und privaten Geräten getrennt. Patienten-WLAN gehört in ein eigenes Segment.
• Fernzugriffe, etwa durch Dienstleister, laufen über gesicherte Verbindungen und werden protokolliert.

Organisation

• Es gibt eine Passwortregel und ein Verfahren für das Ausscheiden von Mitarbeitenden, damit Zugänge zuverlässig gesperrt werden.
• Das Team wird regelmäßig sensibilisiert, vor allem für Phishing und Social Engineering. Die meisten erfolgreichen Angriffe auf Praxen beginnen mit einer E-Mail.
• Datensicherungen werden regelmäßig erstellt, getrennt vom Praxisnetz aufbewahrt und, das wird fast immer vergessen, regelmäßig auf Wiederherstellbarkeit geprüft.

Zusätzliche Anforderungen für mittlere und große Praxen

Ab sechs Personen kommen Anforderungen hinzu, die mehr Struktur verlangen. Das betrifft vor allem die Verwaltung von Geräten und die Netzwerktrennung.

Mittlere Praxen müssen unter anderem mobile Geräte zentral verwalten können, wenn diese auf Patientendaten zugreifen, und eine geregelte Netzwerkstruktur mit klar getrennten Bereichen nachweisen. Auch die Sperrung verlorener Geräte aus der Ferne wird gefordert.

Große Praxen und Praxen mit Datenverarbeitung im großen Umfang haben Anforderungen an Netzwerkzonen, an die Absicherung von Servern und an die Protokollierung sicherheitsrelevanter Ereignisse. Hier ist ein professionell betriebenes Netzwerk mit Segmentierung und zentraler Überwachung praktisch Pflicht.

Praxen mit medizinischen Großgeräten müssen diese Geräte netzwerktechnisch isolieren. Viele Großgeräte laufen auf Betriebssystemen, die keine Updates mehr bekommen. Sie dürfen deshalb nicht ungeschützt im Praxisnetz hängen.

Für alle Praxisgrößen gilt Anlage 5, die den sicheren Betrieb der TI-Komponenten beschreibt: Konnektor in geschützter Umgebung, Kartenterminals außerhalb des Zugriffs Unbefugter, Zertifikatspflege. Wer bei der TI-Anbindung sauber gearbeitet hat, hat hier wenig nachzuholen.

Richtlinie und DSGVO: Zwei Regelwerke, ein Ziel

Viele Praxisinhaber fragen, ob sie mit der KBV-Richtlinie die Datenschutz-Grundverordnung erfüllen. Die Antwort: zu einem großen Teil, aber nicht vollständig. Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Die Richtlinie konkretisiert genau diese Maßnahmen für Arztpraxen. Wer sie umsetzt, hat den technischen Teil weitgehend abgedeckt.

Die DSGVO verlangt darüber hinaus Dinge, die die Richtlinie nicht regelt: ein Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge mit Dienstleistern, Informationspflichten gegenüber Patienten, Löschkonzepte und ab einer bestimmten Praxisgröße eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten. Diese Themen gehören in die Verantwortung der Praxisleitung und lassen sich nicht an die IT delegieren.

Umgekehrt bringt die Richtlinie etwas, was die DSGVO offen lässt: eine konkrete Checkliste. Praxen, die mit dem Datenschutz beginnen wollen, tun gut daran, mit der Richtlinie anzufangen. Sie liefert messbare Punkte, die sich Stück für Stück abarbeiten lassen.

So gehen Sie die Umsetzung an

Die Richtlinie sieht ausdrücklich vor, dass Praxen zertifizierte IT-Sicherheitsdienstleister beauftragen dürfen. Die Zertifizierung vergibt die KBV nach einem festen Verfahren. Sie ist keine Pflicht, aber ein sinnvolles Kriterium bei der Auswahl. Unabhängig davon empfehlen wir dieses Vorgehen: Bei einer Praxisgründung oder Praxisübernahme lohnt es sich, die Anforderungen von Anfang an mitzuplanen.

1. Praxisgröße bestimmen. Zählen Sie alle Personen, die mit Patientendaten arbeiten. Das legt fest, welche Anlagen gelten.
2. Ist-Aufnahme. Geräte, Software, Netzwerk, Zugänge und Verträge erfassen. Das dauert bei einer mittleren Praxis einen halben Tag und ist die Grundlage für alles Weitere. Bei einer Praxisübernahme ist diese Aufnahme ohnehin Pflicht.
3. Abgleich mit der Richtlinie. Jede Anforderung bekommt eine Ampel: erfüllt, teilweise, offen. Daraus entsteht die Maßnahmenliste.
4. Priorisieren nach Risiko. Fehlende Backups und offene Fernzugänge kommen vor der Passwortrichtlinie. Nicht alles muss sofort, aber alles muss geplant sein.
5. Dokumentieren. Die Richtlinie verlangt keine aufwendigen Handbücher, aber Sie müssen belegen können, was umgesetzt ist. Eine gepflegte Liste mit Datum genügt in der Regel.
6. Jährlich wiederholen. Neue Geräte, neue Mitarbeitende, neue Anforderungen. Die Richtlinie wird angepasst, Ihre Praxis auch.

Ein Punkt aus der Praxis: Viele Anforderungen lassen sich mit Bordmitteln erfüllen, etwa Bildschirmsperren, Updates oder getrennte Benutzerkonten. Andere brauchen Investitionen, vor allem Firewall, Netzwerksegmentierung und ein belastbares Backup-Konzept. Wer beides kombiniert, ist mit überschaubarem Budget in wenigen Wochen auf einem sauberen Stand. Der laufende Aufwand danach ist gering, wenn jemand das Thema dauerhaft im Blick hat.

die netzwerft

Medizin-IT aus einer Hand für Arztpraxen im Raum Karlsruhe, Ettlingen und Speyer. Praxis-IT, Telefonie, T2med, TI und Betreuung mit einem festen Ansprechpartner. Mehr über uns