Cyber-Sicherheit für Arztpraxen und MVZ: Technik, Abläufe und Versicherung
Fällt die Praxis-IT aus, fehlen möglicherweise der Zugriff auf Patientendaten, die Terminverwaltung oder wichtige Funktionen des Praxisverwaltungssystems. Werden Gesundheitsdaten offengelegt, können zusätzlich rechtliche und organisatorische Aufgaben entstehen.
Eine sinnvolle Vorbereitung verbindet deshalb technische Maßnahmen, klare Abläufe und eine passende Absicherung. Eine Cyberversicherung kann finanzielle Folgen bestimmter Vorfälle abfedern. Sie ersetzt weder sichere IT noch einen Notfallplan.
Patientendaten und Praxisbetrieb gemeinsam schützen
Gesundheitsdaten sind besonders sensibel. Neben ihrem Schutz muss auch die Versorgung im Blick bleiben: Welche Anwendungen sind für den Praxisbetrieb unverzichtbar? Wer entscheidet, wenn sie ausfallen? Welche Arbeitsschritte sind vorübergehend ohne IT möglich?
Welche Risiken mit gemeinsam genutzter Gesundheitsinfrastruktur zusammenhängen, beschreibe ich im Beitrag zur elektronischen Patientenakte. Die dort erläuterten Sicherheitslücken aus 2024 und 2025 sind historische Vorgänge und keine Aussage, dass diese Lücken heute noch offen sind.
Technische Maßnahmen mit Fachleuten abstimmen
Lass die eingesetzten Systeme, Schutzprogramme, Zugänge und Aktualisierungen mit deinem IT-Dienstleister prüfen. Dazu gehören auch Fernzugriffe und die in der Praxis betriebenen Komponenten der Telematikinfrastruktur.
Die KBV stellt für die vertragsärztliche und vertragspsychotherapeutische Versorgung eine verbindliche IT-Sicherheitsrichtlinie bereit. Die Anforderungen hängen unter anderem von Praxisgröße und eingesetzter Technik ab. Sie sind eine bessere Grundlage als eine pauschale Liste, die für jede Einrichtung gleich gelten soll.
Besonders wichtig ist ein brauchbarer Wiederanlauf: Welche Daten werden gesichert, wer kann die Sicherungen erreichen und lässt sich die Wiederherstellung tatsächlich durchführen? Auch der sichere Umgang mit mobilen Geräten und die Verschlüsselung sensibler Daten gehören in die Abstimmung.
Zuständigkeiten und Schulungen organisieren
Das Team muss wissen, wie es verdächtige Nachrichten und ungewöhnliches Systemverhalten meldet. Neue Mitarbeitende brauchen eine passende Einweisung. Zugänge ausgeschiedener Beschäftigter müssen überprüft und angepasst werden.
Halte die wichtigsten Notfallkontakte auch außerhalb des Praxisnetzes verfügbar. Übe mit den zuständigen Personen, wie ihr bei einem Ausfall entscheidet und kommuniziert. Gesetzliche Meldungen an die Datenschutzaufsicht und eine mögliche Benachrichtigung von Betroffenen sind dabei gesondert zu prüfen.
Wie Notfallplan und Versicherermeldung zusammenpassen, erläutert mein Beitrag „Cyberangriff im Unternehmen: Was tun und wann die Cyberversicherung einschalten?“.
Was eine Cyberversicherung ergänzen kann
Je nach Vertrag können beispielsweise IT-Forensik, die Wiederherstellung versicherter Daten und Systeme sowie bestimmte rechtliche Kosten übernommen werden. Eine Betriebsunterbrechung und Ansprüche Dritter müssen anhand der vereinbarten Bausteine geprüft werden.
Bei Cybererpressung ist zu klären, welche Krisenunterstützung vorgesehen ist. Eine Lösegeldzahlung ist nicht automatisch versichert. Auch ihre rechtliche Zulässigkeit muss im Einzelfall geprüft werden.
Welche Punkte für Praxen und MVZ besonders wichtig sind, zeige ich auf meiner Seite „Cyberversicherung für Arztpraxen und MVZ“. Die Berufshaftpflicht und eine mögliche persönliche Haftung der Leitung sind davon zu unterscheiden.
Vorbereitung und Vertrag zusammenbringen
Auch mit guten Maßnahmen lässt sich nicht jeder Vorfall ausschließen. Entscheidend ist, dass Technik, Verantwortlichkeiten und der Versicherungsvertrag zusammenpassen.
Im kostenlosen Erstgespräch besprechen wir deine vorhandene Absicherung und offene Vertragsfragen. Für technische Prüfungen sind die zuständigen IT-Fachleute einzubeziehen. Buch dir gerne einen Termin.
Allgemeine Information, keine technische Sicherheitsprüfung und keine individuelle Deckungszusage.
Quellen und weiterführende Informationen
Stand: 17.10.2026. Die Quellen belegen die allgemeinen Aussagen dieses Beitrags zur IT-Sicherheitsrichtlinie und zu den Meldepflichten. Über den Leistungsumfang eines konkreten Vertrags sagen sie nichts aus.
- KBV: IT-Sicherheit, Themenseite der Kassenärztlichen Bundesvereinigung zur IT-Sicherheitsrichtlinie mit den seit Oktober 2025 umzusetzenden Anforderungen
- Sozialgesetzbuch V: § 390, Rechtsgrundlage der IT-Sicherheitsrichtlinie, Abs. 6 zur Verbindlichkeit
- Datenschutz-Grundverordnung: Art. 33 und 34, Meldung an die Aufsichtsbehörde und Benachrichtigung betroffener Personen
Zuletzt aktualisiert am .