Abstract – VPN in der Arztpraxis: Pflicht und Einsatz
- Ein VPN ist fester Bestandteil jeder Telematikinfrastruktur-Anbindung – über Konnektor oder TI-Gateway – und kein eigenständiger Ersatz für diese Komponenten, sondern deren technische Transportebene.
- Die Verschlüsselungspflicht ergibt sich parallel aus Art. 32 DSGVO (Stand der Technik) und aus der IT-Sicherheitsrichtlinie der KBV nach § 390 SGB V, deren Anforderungsniveau nach Praxisgröße gestaffelt ist (kleine, mittlere, große Praxis).
- Über die Pflichtanbindung hinaus benötigen viele Praxen ein zusätzliches, unabhängiges VPN für Standortvernetzung (Zweigpraxis, MVZ) oder für den Home-Office-Zugriff auf das Praxisverwaltungssystem.
- Bei der Anbieterwahl ist die gematik-Zulassung des VPN-Zugangsdienstes zwingend, während Kosten für ein zusätzliches Praxis-VPN separat von der TI-Pflichtkomponente kalkuliert werden müssen.
Inhaltsverzeichnis
Was ist ein VPN — und wofür braucht eine Arztpraxis es?
Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel zwischen zwei Netzwerkpunkten auf. Es schützt Datenverkehr, der sonst über offene Leitungen liefe. Für Arztpraxen betrifft das vor allem zwei Szenarien: die Anbindung an die Telematikinfrastruktur und den Zugriff auf das Praxisnetz von außen.
Abgrenzung: VPN vs. Telematikinfrastruktur (TI) vs. Konnektor
Ein häufiges Missverständnis vorab: Ein VPN ersetzt den TI-Zugang nicht. Es ist dessen technische Grundlage. Der Konnektor baut über das Transportnetz – in der Regel das Internet – eine VPN-Verbindung zur Telematikinfrastruktur auf. Als Teil der Praxis-Hardware ist er dabei eine von mehreren gesetzlich vorgeschriebenen Komponenten. Ein TI-Zugang ohne diese Verbindung ist laut gematik nicht möglich. Der VPN-Zugangsdienst muss dabei von der gematik zugelassen sein und stellt sicher, dass Konnektor und TI-Rechenzentrum über einen zertifikatsbasierten IPsec-Tunnel kommunizieren. Mit der Einführung von TI 2.0 übernimmt das sogenannte TI-Gateway diese Funktion zunehmend softwarebasiert und ersetzt schrittweise den Hardware-Konnektor – die Verbindung zwischen Praxis und Rechenzentrum läuft dabei weiterhin über ein VPN, nur ohne lokale Hardware.
Praxisrelevant: Neben diesem TI-VPN, das über den zugelassenen Zugangsdienst automatisch läuft, benötigen viele Praxen ein zweites, unabhängiges VPN. Ein Beispiel: der Zugriff auf das interne Praxisnetzwerk von zu Hause oder zwischen mehreren Standorten. Dieses klassische Praxis-VPN ist von der TI-Anbindung technisch und rechtlich zu unterscheiden.
Ist ein VPN in der Arztpraxis gesetzlich vorgeschrieben?
Die Pflicht zur Verschlüsselung ergibt sich aus zwei unterschiedlichen Rechtsgrundlagen. Diese greifen parallel.
Rechtsgrundlage 1: Art. 32 DSGVO (Stand der Technik)
Art. 32 DSGVO verpflichtet Praxen als datenverarbeitende Stellen, unter Berücksichtigung des Stands der Technik geeignete technische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Verschlüsselung nennt die Norm explizit als Beispiel. Ein konkretes VPN-Gebot enthält Art. 32 DSGVO nicht. Die Norm verlangt aber implizit eine dem Risiko angemessene Absicherung jeder Datenübertragung, die Patientendaten betrifft – ein zentraler Baustein für den Datenschutz in der Arztpraxis.
Rechtsgrundlage 2: IT-Sicherheitsrichtlinie der KBV nach § 390 SGB V
Für vertragsärztliche und vertragszahnärztliche Praxen konkretisiert die IT-Sicherheitsrichtlinie der KBV die technischen Mindestanforderungen, gestaffelt nach Praxisgröße:
| Praxiskategorie | Personenzahl mit Datenverarbeitung | Anforderungsniveau |
|---|---|---|
| Kleine Praxis | bis 5 Personen | Basisanforderungen |
| Mittlere Praxis | 6 bis 20 Personen | Erweiterte Anforderungen |
| Großpraxis | über 20 Personen oder Großgeräte (CT, MRT, PET) | Höchste Anforderungen |
Die zum 1. April 2025 aktualisierte Richtlinie ist seit 1. Oktober 2025 verbindlich umzusetzen. Sie macht unter anderem Schulungen des Praxispersonals zur Praxis IT Sicherheit zur Pflicht – unabhängig von Voll- oder Teilzeitanstellung.
Haftungsrisiko: Ein Verstoß gegen die KBV-Richtlinie kann disziplinarische Maßnahmen der KV, Bußgelder oder im Schadensfall Regressforderungen nach sich ziehen.
In welchen Praxisszenarien kommt VPN konkret zum Einsatz?
Standortvernetzung: Filialpraxis, MVZ, Zweigpraxis
Praxen mit mehreren Standorten benötigen einen sicheren Datenaustausch zwischen den Niederlassungen. Ein Beispiel: ein gemeinsames Praxisverwaltungssystem, das auf einen zentralen Server in der Arztpraxis oder zentrale Patientenakten zugreift. Ein Standort-VPN verbindet die Netzwerke, ohne dass Daten unverschlüsselt über das öffentliche Internet laufen. Gerade bei einer Zweigpraxis ist eine stabile und verschlüsselte Anbindung an das Hauptnetzwerk unverzichtbar.
Home-Office- und Remote-Zugriff auf das Praxisverwaltungssystem
Der Zugriff auf Patientendaten aus dem Home-Office fällt unter die Verschlüsselungspflicht nach Art. 32 DSGVO – etwa für Abrechnung oder Befundsichtung. Ohne VPN-Tunnel wäre ein solcher Zugriff über offene Verbindungen ein Sicherheitsrisiko. Im Schadensfall kann dies als unzureichende technische Maßnahme gewertet werden.
VPN als Bestandteil der TI-Anbindung (TI-Gateway, TI 2.0)
Der VPN-Zugangsdienst ist fester Bestandteil jeder TI-Anbindung – ob über den klassischen Konnektor oder das neue TI-Gateway. Diese Komponente wird gemäß den gematik-Vorgaben automatisch mit dem TI-Anschluss beantragt. Bei zugelassenen Produkten ist sie gesetzlich vorgeschrieben.
Was kostet ein VPN für die Arztpraxis?
Die Kosten unterscheiden sich deutlich je nach Einsatzzweck.
Einflussfaktoren: Anzahl Standorte, Nutzerzahl, Anbieter-Modell
Der TI-VPN-Zugangsdienst ist Teil des TI-Anschlusspakets. Er wird meist über eine einmalige Bereitstellungsgebühr sowie eine laufende Servicepauschale abgerechnet. Ein zusätzliches Praxis-VPN für Standortvernetzung oder Remote-Zugriff wird separat kalkuliert – abhängig von Nutzerzahl, Datenvolumen und Supportumfang.
| Lösungstyp | Kostenspanne | Geeignet für |
|---|---|---|
| TI-VPN-Zugangsdienst (Pflichtbestandteil) | Einmalige Bereitstellungsgebühr + monatliche Servicepauschale | Alle TI-angebundenen Praxen |
| Praxis-VPN (Fernzugriff, wenige Nutzer) | Geringer dreistelliger Bereich/Jahr | Einzelpraxis, Home-Office-Zugriff |
| Standort-VPN (Filialpraxis, MVZ) | Mittlerer bis oberer dreistelliger Bereich/Monat | Mehrere Standorte, viele Nutzer |
Hinweis zur Genauigkeit: Konkrete Preise variieren stark nach Anbieter und Vertragslaufzeit. Für eine belastbare Kalkulation empfiehlt sich ein Angebotsvergleich beim jeweiligen PVS-Hersteller oder TI-Gateway-Anbieter.
Welche Anbieter und Lösungen gibt es für Praxen?
PVS-Hersteller-Lösungen vs. herstellerunabhängige VPN-Dienste
Viele Praxisverwaltungssystem-Hersteller bieten VPN-Lösungen als integrierten Bestandteil ihres TI-Pakets an. Alternativ stehen von der gematik zugelassene VPN-Zugangsdienst-Anbieter zur Wahl. Die aktuelle Zulassungsliste ist im gematik-Fachportal einsehbar.
Kriterien der Anbieterauswahl
- gematik-Zulassung für den TI-VPN-Zugangsdienst (zwingend bei TI-Bezug)
- Kompatibilität mit dem bestehenden Praxisverwaltungssystem
- Reaktionszeiten im Support bei Verbindungsstörungen
- Skalierbarkeit bei wachsender Standort- oder Nutzerzahl
Ein zuverlässiger Praxis IT Support für die laufende Betreuung ist bei der Anbieterwahl mindestens so wichtig wie der Preis.
Worauf sollten Praxisinhaber bei der Einrichtung achten?
- [ ] Klären, ob TI-VPN und Praxis-VPN getrennt oder kombiniert benötigt werden
- [ ] gematik-Zulassung des VPN-Zugangsdienst-Anbieters prüfen
- [ ] Zugriffsrechte für Remote-Nutzer klar definieren (Rollenkonzept)
- [ ] Zwei-Faktor-Authentifizierung für Fernzugriffe aktivieren
- [ ] Regelmäßige Firmware- und Software-Updates einplanen
- [ ] Dokumentationspflichten nach Art. 32 DSGVO einhalten
Häufige Fehler
Verbreitete Schwachstellen sind fehlende Verschlüsselung bei improvisierten Fernzugriffslösungen und ungeschützte private Endgeräte im Home-Office. Hinzu kommt oft ausbleibendes Patchmanagement bei VPN-Clients. Eine unzureichend konfigurierte Firewall verschärft dieses Risiko zusätzlich. Alle Punkte fallen im Ernstfall auf die Praxis als Verantwortliche nach Art. 32 DSGVO zurück – und erhöhen das Risiko eines Cyberangriffs, gegen den sich Praxen zunehmend über eine Cyberversicherung absichern.
Tipp: Lassen Sie die VPN-Konfiguration von einem auf Praxis-IT spezialisierten Dienstleister dokumentieren. Das erleichtert den Nachweis angemessener Maßnahmen bei einer Datenschutzprüfung.
FAQ: Häufige Fragen zum VPN in der Arztpraxis
Ersetzt ein VPN den TI-Konnektor vollständig?
Nein. Ein VPN ist die Transportebene, über die der Konnektor oder das TI-Gateway die Verbindung zur Telematikinfrastruktur aufbaut – kein eigenständiger Ersatz. Mit TI 2.0 entfällt zunehmend die Hardware. Die VPN-Verschlüsselung selbst bleibt bestehen.
Wie sicher ist ein VPN-Zugriff auf Patientendaten aus dem Home-Office?
Ein korrekt konfiguriertes VPN mit aktueller Verschlüsselung erfüllt die Anforderungen des Art. 32 DSGVO grundsätzlich. Entscheidend sind zusätzlich Endgerätesicherheit, Zwei-Faktor-Authentifizierung und ein dokumentiertes Rechtekonzept. Ein VPN allein genügt nicht.
Welche Rolle spielt der Datenschutzbeauftragte bei der VPN-Einrichtung?
Der Datenschutzbeauftragte bewertet, ob die gewählte VPN-Lösung dem Schutzbedarf der verarbeiteten Patientendaten entspricht. Er dokumentiert diese Einschätzung als Nachweis für die Rechenschaftspflicht nach Art. 32 DSGVO.