IT-Infrastruktur Arztpraxis: Aufbau, Kosten & Pflichten

Was gehört zur IT-Infrastruktur einer modernen Arztpraxis?

Die IT-Infrastruktur einer Arztpraxis umfasst vier funktionale Ebenen: die physische Hardware-Grundausstattung, das Praxisverwaltungssystem, die lokale Netzwerkarchitektur und die Anbindung an die Telematikinfrastruktur. Diese Ebenen greifen ineinander. Ein Ausfall der TI-Anbindung blockiert die Abrechnung ebenso wie einen fehlerhaften eAU-Versand.

Hardware-Grundausstattung: Arbeitsplätze, Kartenlesegeräte, Telefonanlage

Jeder Arbeitsplatz benötigt einen Rechner mit Anbindung an das PVS, dazu Drucker für Rezepte, Überweisungen und Arztbriefe sowie Scanner für die digitale Aktenführung. Die Anzahl der Arbeitsplätze richtet sich nach der Zahl der Behandlungszimmer und des Personals, das gleichzeitig auf Patientendaten zugreift. Kartenlesegeräte für die elektronische Gesundheitskarte (eGK) sind von der TI-Konnektor-Hardware zu unterscheiden — sie lesen die Karte physisch aus, der Konnektor übernimmt die Verbindung zur TI. Eine moderne Telefonanlage bindet sich idealerweise an das PVS oder einen Telefonassistenten an, um Terminvereinbarungen ohne Medienbruch zu dokumentieren. Ergänzend sichert eine unterbrechungsfreie Stromversorgung (USV) den Server bei kurzen Stromausfällen gegen Datenverlust ab.

Praxisverwaltungssystem im Vergleich: Auswahlkriterien

Laut Zi-PVS-Monitoring 2025 denkt jede dritte Praxis über einen Wechsel ihres PVS nach — häufigste Gründe sind mangelnde Nutzerfreundlichkeit, hohe Lizenzgebühren und unzureichender Support. Ein aktueller Praxissoftware Vergleich liefert dafür die notwendige Datenbasis, bevor Sie sich für ein neues System entscheiden. Prüfen Sie bei der Auswahl zunächst harte Ausschlusskriterien: TI-Pflichtfunktionen, Kompatibilität mit Ihrem Betriebssystem und Schnittstellen zu Laborsystemen (LDT) oder Diagnostikgeräten (GDT). Cloud-basierte PVS-Lösungen sparen Hardware-Kosten und bieten standortunabhängigen Zugriff. Lokal installierte Systeme punkten bei Datenhoheit und Unabhängigkeit von Internetausfällen. Ab dem 1. Januar 2026 muss jedes PVS die Konformitätsbewertung der gematik (KOB-Zertifizierung) bestanden haben. Klären Sie vor einem Wechsel außerdem die Datenübernahme der Altdaten mit dem bisherigen Anbieter — lizenzrechtlich und technisch.

Kernkomponenten: Praxisverwaltungssystem (PVS), Server/Client-Architektur, Netzwerk

Das Praxisverwaltungssystem (PVS) verwaltet Patientendaten, Terminplanung, Dokumentation und Abrechnung nach EBM und GOÄ. Laut Zi-PVS-Monitoring 2025 sind in Deutschland 32 zugelassene PVS-Anbieter aktiv. Sie decken zusammen rund 77 Prozent des Marktes ab. Die Server/Client-Architektur bestimmt, wo Daten liegen: klassisch On-Premise auf einem Praxisserver oder cloudbasiert über einen externen Rechenzentrumsbetrieb. Das Netzwerk verbindet Arbeitsplätze, Server und TI-Komponenten. Die KBV-Richtlinie verlangt hierfür Segmentierung und Firewall-Schutz.

Telematikinfrastruktur (TI): Konnektor, eHBA, SMC-B, KIM, ePA

Der TI-Konnektor stellt die VPN-Verbindung zur gematik-Telematikinfrastruktur her und funktioniert technisch wie ein abgesicherter Router. Er kommuniziert mit dem elektronischen Heilberufsausweis (eHBA) und der SMC-B (Security Module Card Betriebsstätte). Beide authentifizieren die Praxis als Institution gegenüber der TI. KIM (Kommunikation im Medizinwesen) ermöglicht den verschlüsselten Versand von eArztbriefen und eAU. Die elektronische Patientenakte (ePA) greift auf freigegebene Befunde zu, sofern der Patient eingewilligt hat. Seit März 2024 zählen Konnektor, eRezept, eAU, ePA und KIM zu den TI-Pflichtbausteinen für vertragsärztliche Praxen.

Haftungsrisiko: Ein Konnektor ohne eigenes VLAN und Firewall-Segmentierung erlaubt bei einem Ransomware-Befall im Praxisnetz die Ausbreitung auf die TI-Anbindung.

On-Premise vs. Cloud-Lösung: Vor- und Nachteile für Praxen

On-Premise-Systeme belassen Patientendaten auf einem praxiseigenen Server und erfordern eigene Backup- und Wartungsprozesse. Cloud-Praxissoftware-Lösungen verlagern Datenhaltung und Wartung zum Anbieter. Das reduziert den lokalen Administrationsaufwand, setzt jedoch eine stabile Internetanbindung voraus. Die gematik hat den langfristigen Umstieg von physischer Konnektor-Hardware auf ein cloudbasiertes TI-Gateway („TI 2.0“) beschlossen. Erste Pilotbetriebe laufen seit Ende 2025/Anfang 2026, der flächendeckende Umstieg wird ab 2027 erwartet.

Welche gesetzlichen Pflichten gelten für die Praxis-IT?

Die KBV-IT-Sicherheitsrichtlinie regelt verbindlich, welche technisch-organisatorischen Maßnahmen jede vertragsärztliche Praxis nachweisen muss. Sie ergänzt die datenschutzrechtlichen Pflichten aus der DSGVO um praxisspezifische Konkretisierungen.

KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V: Anlage 1–5 je Praxisgröße und Ausstattung

§ 390 SGB V trat am 26. März 2024 durch das Digital-Gesetz in Kraft und verpflichtet die KBV, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) verbindliche IT-Sicherheitsanforderungen für Praxen festzulegen. Die aktuelle Fassung der KBV-IT-Sicherheitsrichtlinie wurde am 31. März 2025 veröffentlicht und trat am 1. April 2025 in Kraft. Sie staffelt die Anforderungen in fünf Anlagen. Anlage 1 gilt für Praxen mit bis zu fünf Nutzern und verlangt Basisschutz. Anlage 2 betrifft Praxen mit sechs bis zwanzig Nutzern mit erhöhten Anforderungen. Anlage 3 erfasst Praxen mit mehr als zwanzig Nutzern oder Datenverarbeitung als Hauptzweck, etwa MVZ, mit den höchsten Anforderungen. Anlage 4 gilt zusätzlich für Praxen mit medizinischen Großgeräten wie CT, MRT, PET oder Linearbeschleuniger — unabhängig von der Nutzerzahl. Anlage 5 regelt zusätzliche Anforderungen für dezentrale TI-Komponenten wie Konnektor und Kartenlesegerät. Jeder Mitarbeiter zählt dabei unabhängig von Voll- oder Teilzeitstatus als eine Person. Erweiterte Anforderungen zur Mitarbeiterschulung waren spätestens ab 1. Oktober 2025 umzusetzen.

DSGVO-Anforderungen: Technisch-organisatorische Maßnahmen (TOMs)

Die DSGVO verpflichtet Praxen unabhängig von der KBV-Richtlinie zur Dokumentation technisch-organisatorischer Maßnahmen (TOMs). Diese TOMs umfassen Zugriffskontrollen, Verschlüsselung, Protokollierung und ein Löschkonzept für Patientendaten. Die KBV-Richtlinie konkretisiert diese DSGVO-Pflicht praxisspezifisch. Sie ersetzt sie jedoch nicht — beide Regelwerke gelten parallel. Weiterführende Informationen zum Datenschutz in der Arztpraxis helfen bei der praktischen Umsetzung.

Sanktionsrisiko: Honorarkürzung durch KV, Bußgeld nach Art. 83 DSGVO

Bei Nichteinhaltung der IT-Sicherheitsrichtlinie kann die zuständige KV Honorarkürzungen vornehmen. Einzelne KVen praktizieren dies bereits. Zusätzlich drohen datenschutzrechtliche Konsequenzen: Der DSGVO-Bußgeldrahmen nach Art. 83 reicht formal bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Bei tatsächlichen Vorfällen in Praxen werden in der Regel niedrigere, meist fünfstellige Summen verhängt. Stichprobenartige KV-Prüfungen der Dokumentation sind üblich. Praxen ab einer bestimmten Größe oder Umsatzstärke unterliegen seit Dezember 2025 zusätzlich verschärften Cybersicherheitsvorgaben auf Basis der EU-NIS2-Richtlinie.

Checkliste: Pflichtdokumentation nach IT-Sicherheitsrichtlinie

• [ ] Geräte- und Softwareverzeichnis
• [ ] Netzwerkplan mit Segmentierung
• [ ] Backup-Konzept mit Wiederherstellungstest
• [ ] Notfallplan für IT-Ausfall und Datenschutzvorfall
• [ ] Schulungsnachweise für alle Mitarbeiter zur Informationssicherheit
• [ ] Regelungen zur Telematikinfrastruktur-Anbindung
• [ ] TOM-Dokumentation nach DSGVO

Tipp: Dokumentieren Sie jede Maßnahme mit Umsetzungsdatum. Bei einer KV-Stichprobenprüfung zählt der Nachweis, nicht die faktische Umsetzung allein.

Wie plant man den Aufbau der IT-Infrastruktur Schritt für Schritt?

Der Aufbau der IT-Infrastruktur folgt einer festen Reihenfolge: Bedarf ermitteln, PVS und TI-Anbindung wählen, Netzwerk absichern.

Bedarfsanalyse: Praxisgröße, Fachrichtung, Anzahl Arbeitsplätze

Die Anzahl der ständig mit Datenverarbeitung betrauten Personen bestimmt die anwendbare Anlage der IT-Sicherheitsrichtlinie und damit den Umsetzungsaufwand — inklusive des Umfangs der benötigten Praxis-Hardware. Fachrichtungen mit medizinischen Großgeräten unterliegen zusätzlichen, höheren Anforderungsstufen — unabhängig von der Mitarbeiterzahl. 

Eine Hausarztpraxis mit drei Mitarbeitern fällt in der Regel unter Anlage 1 mit reduziertem Basisschutz-Umfang und benötigt entsprechend weniger Arbeitsplätze und eine kompaktere Netzwerkarchitektur als eine Praxis mit zehn oder mehr Beschäftigten.

Auswahl PVS und Anbindung an TI-Dienste

Die PVS-Auswahl bestimmt über zehn Jahre oder länger, wie effizient Dokumentation, Abrechnung und TI-Anbindung im Alltag funktionieren. Konnektor, eRezept, eAU, ePA und KIM zählen seit März 2024 zu den Pflichtbausteinen jedes Systems. Zwischen Anbietern zeigen sich dabei erhebliche Reifegradunterschiede. PVS-Anbieter pflegen typischerweise nur die Software. Für Infrastruktur, Cybersecurity und Backup benötigen Sie einen separaten IT-Dienstleister mit TI-Erfahrung.

Netzwerksicherheit: Firewall, VPN, Segmentierung, Backup-Konzept

Der TI-Konnektor gehört in ein eigenes VLAN mit dedizierten Firewall-Regeln. Das verhindert eine Ausbreitung von Schadsoftware aus dem Praxisnetz auf die TI. Ein Backup-Konzept muss laut Basis-Infrastrukturvorgabe der KBV-Richtlinie regelhafte, getestete Datensicherungen vorsehen — ergänzt durch aktuellen Virenschutz und konsequentes Patch-Management. Grundlagen einer sicheren Praxis-IT unterstützen Sie bei der praktischen Umsetzung.

Wartung und Support: SLA, Reaktionszeiten, Ansprechpartner

Ein IT-Dienstleistungsvertrag sollte feste Reaktionszeiten (Service Level Agreement, SLA) für Störungen an TI-Konnektor, Server und Arbeitsplätzen definieren — insbesondere für Ausfälle, die den Praxisbetrieb blockieren. Premium-Service-Verträge mit 24/7-Notfall-Hotline reduzieren die Ausfallzeit deutlich gegenüber Standard-Support ohne garantierte Reaktionszeit. Klären Sie vertraglich, ob der Dienstleister auch die PVS-Anbindung, das Netzwerk und die TI-Komponenten gemeinsam betreut oder ob Sie mehrere Ansprechpartner koordinieren müssen — Schnittstellenprobleme zwischen getrennt beauftragten Dienstleistern verzögern die Fehlerbehebung häufig zusätzlich.

Checkliste: IT-Ausstattung für die Praxisneugründung

Im Rahmen einer Arztpraxis-Gründung benötigt man vor dem ersten Patiententermin eine vollständige IT-Grundausstattung. Diese Checkliste ergänzt die reine Dokumentationspflicht um die tatsächliche Beschaffung:

• Arbeitsplatzrechner für jedes Behandlungs- und Anmeldezimmer
• Drucker und Scanner für Rezepte, Überweisungen und Aktendigitalisierung
• Telefonanlage mit Anbindung an Terminmanagement
• eGK-Kartenlesegeräte je Arbeitsplatz mit Patientenkontakt
• TI-Konnektor inklusive SMC-B und eHBA je Behandler
• Praxisverwaltungssystem mit gematik-Konformitätsbewertung (KOB-Zertifizierung, seit 1.1.2026 Pflicht)
• Netzwerkinfrastruktur: Router, Switches, WLAN-Access-Points, strukturierte Verkabelung
• Firewall mit Segmentierung für den TI-Konnektor
• Backup-Lösung mit externem oder Cloud-Speicher
• Unterbrechungsfreie Stromversorgung (USV) für Server

Tipp: Planen Sie die TI-Konnektor-Beschaffung mit vier bis acht Wochen Vorlauf vor der geplanten Praxisöffnung — Lieferzeiten und Zertifizierungsprozesse verzögern sich häufig.

Tabelle: Umsetzungsschritte → Verantwortlichkeit → Zeitrahmen

Umsetzungsschritt	Verantwortlichkeit	Zeitrahmen
Bedarfsanalyse (Nutzerzahl, Fachrichtung)	Praxisinhaber	1–2 Wochen
PVS-Auswahl und Vertragsabschluss	Praxisinhaber, IT-Dienstleister	4–8 Wochen
TI-Konnektor-Installation/-Wechsel	IT-Dienstleister	4–8 Wochen Vorlauf
Netzwerksegmentierung, Firewall-Konfiguration	IT-Dienstleister	1–3 Wochen
Dokumentation nach IT-Sicherheitsrichtlinie	Praxisinhaber, IT-Dienstleister	laufend
Mitarbeiterschulung Informationssicherheit	Praxisinhaber	jährlich wiederkehrend

Was kostet eine IT-Infrastruktur für die Arztpraxis?

Die Gesamtkosten der Praxis-IT setzen sich aus einmaliger Investition und laufenden Betriebskosten zusammen. Die TI-Pauschale der KV deckt dabei einen Teil der laufenden TI-Kosten ab. Fördermöglichkeiten für die Digitalisierung der Arztpraxis können einen Teil der Investition abfedern.

Investitionskosten: Hardware, Konnektor, Lizenzen

Ein Praxisserver für ein klassisches On-Premise-PVS kostet je nach Ausstattung zwischen 1.500 und 4.000 Euro in der Anschaffung. Bei einem PVS-Wechsel kommt die Datenübernahme als separater Kostenpunkt hinzu. Sie beginnt laut Marktbeobachtung bei rund 1.900 Euro und ist vom laufenden Softwarepreis getrennt zu betrachten. Konnektoren der TI-Generation 2.0 mit Laufzeitende müssen 2026 ersetzt werden — planen Sie den Wechsel mit vier bis acht Wochen Vorlauf.

Laufende Kosten: Wartung, Updates, IT-Dienstleister, Cyberversicherung

Zu den laufenden Kosten zählen Backup-, Wartungs-, Lizenz- und Datenschutzleistungen in Höhe von rund 40 bis 120 Euro monatlich — zusätzlich zur eigentlichen PVS-Lizenz. Ein marktüblicher TI-Service-Vertrag mit laufendem Betrieb, Sicherheitsaudit und Notfallhilfe liegt bei etwa 149 Euro monatlich. Eine Cyberversicherung deckt zusätzlich finanzielle Folgeschäden aus IT-Sicherheitsvorfällen ab. Die Kosten der TI-Anbindung selbst werden anteilig über eine quartalsweise ausgezahlte TI-Pauschale der KV erstattet. Die genauen Beträge werden regelmäßig angepasst.

Tabelle: Kostenbereiche nach Praxisgröße

Kostenposition	Kleine Praxis (bis 5 Nutzer)	Größere Praxis (6–20 Nutzer)
Praxisserver (Anschaffung)	1.500–2.500 €	2.500–4.000 €
PVS-Lizenz (monatlich)	ab ca. 59 €	ab ca. 109 €
TI-Service-Vertrag (monatlich)	ca. 149 €	höher, je nach Standortzahl
Backup/Wartung/Datenschutz (monatlich)	ca. 40–70 €	ca. 70–120 €
Umsatzausfall pro Ausfalltag TI	gering	2.000–5.000 €

Welche Fallstricke sollten Ärzte vermeiden?

Die häufigsten Umsetzungsfehler betreffen nicht die Technik selbst, sondern Dokumentation, Personal und veraltete Komponenten.

Unterschätzte Schulungspflicht für Praxispersonal

Die überarbeitete IT-Sicherheitsrichtlinie verlangt erstmals verbindliche Sensibilisierungsmaßnahmen für Praxispersonal zur Informationssicherheit. Praxen müssen betriebliche Regelungen einführen, die regelmäßige Schulungen gewährleisten. Kostenlose Angebote bieten KVen und das Institut für Hausärztliche Fortbildung (IHF) an.

Fehlende Dokumentation bei KV-Stichprobenprüfungen

Eine faktisch umgesetzte Maßnahme genügt bei einer KV-Prüfung ohne begleitende Dokumentation nicht. Halten Sie Geräteverzeichnis, Netzwerkplan, Backup-Nachweise und Schulungsprotokolle durchgehend aktuell — stichprobenartige Prüfungen sind laut KBV üblich.

Veralteter TI-Konnektor und Umstieg auf TI 2.0/Cloud-Konnektor

Eine veraltete Konnektor-Firmware lässt Sicherheitslücken offen und gefährdet die gematik-Konformität der Praxis. Manche Praxen verwalten zusätzlich eHBA-PIN-Daten unsicher auf Papier oder im PVS — bei Verlust ein eigenständiges Risiko. Praxen mit auslaufender Hersteller-Service-Garantie sollten das Ablaufdatum aktiv prüfen und den TI-2.0-Umstieg frühzeitig einplanen.

Haftungsrisiko: Ein PVS-Anbieter deckt in der Regel keine Cybersecurity- oder Backup-Leistungen ab. Ohne separaten IT-Dienstleister bleibt diese Lücke ungeschlossen.

FAQ: Häufige Fragen zur IT-Infrastruktur in der Arztpraxis