Patientendaten sind besonders sensible Daten. Das weiß jede Praxis. Was viele Praxisinhaber unterschätzen: Die IT-Sicherheit in der Arztpraxis ist heute gesetzlich verbindlich geregelt. Wer die Vorgaben nicht umsetzt, riskiert Disziplinarmaßnahmen, Bußgelder und im schlimmsten Fall strafrechtliche Konsequenzen. Dieser Artikel zeigt, was die KBV-IT-Sicherheitsrichtlinie konkret verlangt, welche Praxisgrößen welche Anforderungen erfüllen müssen und wie sich das praktisch umsetzen lässt.
Warum IT-Sicherheit in der Arztpraxis gesetzlich vorgeschrieben ist
Die Grundlage ist § 390 SGB V – der Auftrag an die Kassenärztliche Bundesvereinigung, eine verbindliche IT-Sicherheitsrichtlinie für alle Vertragsarztpraxen zu erstellen. Die aktuelle Fassung ist am 1. April 2025 in Kraft getreten, die erweiterten Anforderungen daraus sind seit dem 1. Oktober 2025 verbindlich umzusetzen. Die Richtlinie gilt für alle vertragsärztlichen und vertragspsychotherapeutischen Praxen in Deutschland – unabhängig von Fachrichtung oder Größe.
Wer trägt die Verantwortung?
Die Verantwortung liegt beim Praxisinhaber. Auch dann, wenn die IT komplett von einem externen Dienstleister betreut wird. Die operative Umsetzung darf delegiert werden – die Verantwortung nicht. Deshalb ist es wichtig, mit einem IT-Partner zu arbeiten, der die KBV-Vorgaben kennt und deren Umsetzung dokumentieren kann.
Welche Anforderungen gelten für welche Praxisgröße?
Die KBV-Richtlinie ist in fünf Anlagen gegliedert und staffelt sich nach Praxisgröße. Wichtig zu verstehen: Als „Nutzer“ zählen alle Personen, die ständig mit der Datenverarbeitung betraut sind – nicht nur Ärzte, sondern auch MFAs, Laborkräfte, Helferinnen und externe Kräfte, die regelmäßig auf das System zugreifen.
Kleine Praxis (bis 5 Nutzer)
Kleine Praxen müssen die Vorgaben aus Anlage 1 umsetzen – das sind rund 22 Basismaßnahmen zu Passwörtern, Zugriffskontrollen, Datensicherung, Virenschutz und Mitarbeiterschulung. Zusätzlich gilt Anlage 5 für die Telematikinfrastruktur – also den TI-Konnektor und die Verbindung zur zentralen Gesundheitsinfrastruktur.
Mittlere Praxis (6 bis 20 Nutzer)
Mittlere Praxen erfüllen zusätzlich Anlage 2 – mit erweiterten Anforderungen an Netzwerksicherheit, Firewall-Schutz, Server-Absicherung und Notfallmanagement. Das sind rund 30 Maßnahmen zusätzlich zur Basis.
Große Praxis (über 20 Nutzer)
Große Praxen und MVZ ab 20 Nutzern erfüllen zusätzlich Anlage 3. Hier kommen Vorgaben zu strukturierter Rechteverwaltung, formellem Informationssicherheits-Management und regelmäßigen Sicherheitsaudits hinzu – über 40 Maßnahmen insgesamt.
Praxen mit medizinischen Großgeräten
Wer CT, MRT oder ähnliche Großgeräte betreibt, erfüllt zusätzlich Anlage 4. Sie regelt hauptsächlich die sichere Wartung dieser Geräte durch externe Techniker.
Die wichtigsten technischen Bausteine für die IT-Sicherheit in der Arztpraxis
Aus der KBV-Richtlinie und den DSGVO-Anforderungen ergeben sich sechs technische Bausteine, die praktisch jede Praxis umsetzen muss.
Firewall in der Arztpraxis
Eine Firewall ist die erste Verteidigungslinie zwischen Praxis-Netzwerk und Internet. Sie schützt vor externen Angriffen, filtert unerwünschten Datenverkehr und ermöglicht sichere Fernzugriffe – etwa für den IT-Dienstleister oder für Mitarbeiter im Homeoffice. Die Securepoint-UTM-Firewalls im fomedia-B2B-Shop sind „Made in Germany“, DSGVO-konform und bringen einen speziellen TI-Proxy für die Anbindung an die Telematikinfrastruktur mit.
Endpoint-Schutz für alle Praxis-PCs
Jeder PC, jeder Server und jedes mobile Gerät in der Praxis benötigt einen aktuellen, professionellen Virenschutz. Die kostenlose Windows-Sicherheit reicht dafür nicht aus – gefordert ist Business-Antivirus mit zentraler Verwaltung. ESET Business-Lösungen erfüllen diese Anforderung und sind als europäischer Hersteller DSGVO-konform.
Datensicherung mit getesteter Wiederherstellung
Ohne Backup keine Praxis. Wer nach einem Ransomware-Angriff nicht innerhalb kurzer Zeit wieder arbeitsfähig ist, gefährdet die Patientenversorgung. Die KBV verlangt regelmäßige Sicherungen und deren dokumentierte Wiederherstellungstests.
Patch-Management und Updates
Betriebssysteme, PVS, Konnektor-Software – alles muss aktuell gehalten werden. Die KBV fordert seit Oktober 2025 explizit ein dokumentiertes Patch-Management. Automatische Update-Prozesse mit Kontrolle sind hier der praktikable Weg.
Zugriffskontrolle und Passwortsicherheit
Jeder Mitarbeiter benötigt ein eigenes Konto mit individuellem Passwort. Gemeinsame Anmeldungen am PVS oder am Praxis-Server sind nicht mehr zulässig. Bei Personalwechseln müssen Zugänge sofort deaktiviert werden. Ein Passwort-Manager erleichtert die Umsetzung – mehr dazu im Artikel „Passwort-Manager für Unternehmen“.
Mitarbeiterschulung und Dokumentation
Neue Mitarbeiter müssen in die Praxis-IT eingewiesen werden. Alle Mitarbeiter benötigen regelmäßige Schulungen zu IT-Sicherheitsthemen. Und: Alles muss dokumentiert werden. Wer alle Maßnahmen umsetzt, aber nichts dokumentiert, gilt im Audit als nicht compliant.
Telematikinfrastruktur – die besondere Rolle des TI-Konnektors
Die Anbindung an die Telematikinfrastruktur ist für Praxen Pflicht und läuft über den TI-Konnektor. Anlage 5 der KBV-Richtlinie regelt, wie dieser sicher betrieben wird: Zertifikate müssen überwacht werden, Zugänge geschützt, die Verbindung zum Praxisnetz sauber abgetrennt. Ein häufiges Problem in Praxis-Audits: abgelaufene Konnektor-Zertifikate, die niemand bemerkt hat – Folge sind Ausfälle bei eRezept, KIM und ePA. Eine professionell konfigurierte Firewall mit TI-Anbindung reduziert dieses Risiko deutlich.
Was passiert bei Nichteinhaltung?
Die Folgen reichen von Disziplinarmaßnahmen durch die Kassenärztliche Vereinigung über Bußgelder nach DSGVO bis zu Schadensersatzforderungen betroffener Patienten. Kommt es zu einem Datenschutzvorfall und kann nachgewiesen werden, dass die KBV-Richtlinie nicht umgesetzt wurde, sind die Konsequenzen deutlich schwerwiegender. Bei grober Fahrlässigkeit sind auch strafrechtliche Folgen möglich.
Wie fomedia Arztpraxen unterstützt
fomedia begleitet Arztpraxen, MVZ und medizinische Einrichtungen in der Region Forchheim, Erlangen, Bamberg und Nürnberg bei der Umsetzung der KBV-IT-Sicherheitsrichtlinie. Tobias Schlund, Geschäftsführer der fomedia GmbH, ist IHK- und ISO-27001-zertifizierter Informationssicherheitsbeauftragter – die fachliche Basis für die kompetente Beratung im Gesundheitswesen. Als zertifizierte Partner von Securepoint und ESET liefern wir alle technischen Bausteine aus einer Hand: UTM-Firewall mit TI-Anbindung, Endpoint-Schutz für alle Praxis-PCs, Beratung zu Backup-Konzept und Zugriffskontrollen. Persönlich, regional erreichbar und mit Praxis-Know-how. Der Installations-Service ist buchbar – vor Ort oder per Remote-Zugriff. Auf Anfrage übernehmen wir auch die Rolle als externer IT-Ansprechpartner für die laufende Betreuung.
Fazit – IT-Sicherheit in der Arztpraxis ist Pflicht, kein Optional
Die KBV-Richtlinie nach § 390 SGB V verlangt von jeder Vertragsarztpraxis ein grundlegendes Sicherheitsniveau – gestaffelt nach Praxisgröße, aber ohne Ausnahmen für kleine Praxen. Wer die Umsetzung noch vor sich hat, sollte jetzt handeln. Die erweiterten Anforderungen sind seit Oktober 2025 verbindlich. Im fomedia-B2B-Shop finden Sie die technischen Bausteine – von der Securepoint-UTM-Firewall mit TI-Anbindung bis zur ESET-Endpoint-Security-Lösung. Für die individuelle Beratung zur Umsetzung der KBV-Richtlinie in Ihrer Praxis sprechen Sie uns direkt an: fomedia.com.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechts- oder Datenschutzberatung im Einzelfall. Maßgeblich ist stets die jeweils aktuelle Fassung der KBV-IT-Sicherheitsrichtlinie sowie die geltende Rechtslage. Für die verbindliche Prüfung Ihrer Compliance-Situation empfehlen wir die Rücksprache mit einem spezialisierten Rechts- oder Fachberater.