Abstract – Serverraum Arztpraxis: Anforderungen & Checkliste
- Seit dem 1. April 2025 verpflichtet die aktualisierte KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V Praxen dazu, Server in abschließbaren, nur autorisiertem Personal zugänglichen Räumen unterzubringen; die Umsetzungsfrist lief zum 1. Oktober 2025 ab.
- Bauliche Mindestanforderungen umfassen eine Raumtemperatur von 18–27 °C, eine relative Luftfeuchtigkeit von 40–60 %, elektrische Anlagen nach DIN-VDE-Normen sowie eine Zugangskontrolle; die konkrete Ausgestaltung richtet sich nach Praxisgröße (Praxis, mittlere Praxis, Großpraxis).
- Eine unterbrechungsfreie Stromversorgung (USV) mit 10 bis 15 Minuten Überbrückungszeit sowie ein Backup-Konzept nach der 3-2-1-Regel schützen ergänzend vor Datenverlust bei Stromausfall, parallel zur datenschutzrechtlichen Pflicht aus Art. 32 DSGVO.
- Praxisinhaber wählen zwischen eigenem Serverschrank, dediziertem Serverraum oder Auslagerung ins externe Rechenzentrum; die Entscheidung hängt von Praxisgröße, IT-Budget und vorhandenen Personalressourcen für den laufenden Betrieb ab.
Inhaltsverzeichnis
Warum braucht eine Arztpraxis einen eigenen Serverraum?
Die KBV-IT-Sicherheitsrichtlinie regelt die physische Absicherung von Praxis-Servern nach § 390 SGB V. Diese gesetzliche Vorgabe wurde im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) konkretisiert. Ein Serverraum unterscheidet sich vom bloßen Serverschrank durch räumliche Trennung, kontrollierten Zugang und eigenständige Klimatisierung. Ein Serverschrank reicht für kleine Praxisstrukturen häufig aus — vorausgesetzt, er ist abschließbar, steht in einem Raum ohne Publikumsverkehr und ist auf die eingesetzte Praxis-Hardware dimensioniert. Die Raumzuteilung dafür ist bereits Teil der frühen Planungsphase der gesamten Praxiseinrichtung.
Die Auslagerung in ein externes Rechenzentrum verlagert diese baulichen Pflichten auf den Dienstleister. Sie bindet die Praxis aber vertraglich an dessen Sicherheitsniveau. Die aktualisierte Richtlinie trat am 1. April 2025 in Kraft. Praxen mussten die neuen Anforderungen spätestens zum 1. Oktober 2025 umsetzen. Alle Anforderungen, die bereits seit der Erstfassung 2021 galten, bestehen unverändert fort.
Parallel dazu verpflichtet Art. 32 der Datenschutz-Grundverordnung (DSGVO) Praxen als datenverarbeitende Stellen zu angemessenen technischen und organisatorischen Maßnahmen zum Schutz von Patientendaten — das Thema Datenschutz in der Arztpraxis betrifft damit unmittelbar auch den physischen Serverstandort. Die Sicherung des Serverraums erfüllt gleichzeitig eine berufsrechtliche und eine datenschutzrechtliche Pflicht.
Haftungsrisiko: Ein ungesicherter Serverstandort kann sowohl ein Bußgeldverfahren nach Art. 83 DSGVO als auch eine Beanstandung im Rahmen der KBV-Prüfung auslösen.
Abgrenzung: Serverschrank vs. dedizierter Serverraum vs. Cloud/Rechenzentrum
| Lösung | Bauliche Pflicht | Geeignet für |
|---|---|---|
| Abschließbarer Serverschrank | Verschließbarkeit, kein Publikumsverkehr im Raum | Praxis (bis 5 Personen mit Datenzugriff) |
| Dedizierter Serverraum | Zugangskontrolle, Klimatisierung, Brandschutz | Mittlere Praxis (6–20 Personen), Großpraxis |
| Externes Rechenzentrum | Vertragliche Auftragsverarbeitung nach Art. 28 DSGVO | Praxen ohne eigene IT-Ressourcen |
Rechtlicher Bezug: IT-Sicherheitsrichtlinie der KBV, DSGVO Art. 32
Die KBV differenziert die Anforderungen nach Praxisgröße. Eine Praxis umfasst bis zu fünf ständig mit Datenverarbeitung betraute Personen, eine mittlere Praxis 6 bis 20 Personen, eine Großpraxis mehr als 20 Personen oder Praxen mit Datenverarbeitung in erheblichem Umfang — etwa Groß-MVZ oder Labore. Zusätzliche Anforderungen gelten unabhängig von der Praxisgröße für medizinische Großgeräte und dezentrale Komponenten der Telematikinfrastruktur.
Welche baulichen und klimatischen Anforderungen gelten?
Server erzeugen kontinuierlich Abwärme und reagieren empfindlich auf Temperaturschwankungen und Luftfeuchtigkeit. Ein Klimagerät reguliert die Raumtemperatur im Serverraum konstant zwischen 18 und 27 Grad Celsius — dieser Bereich entspricht üblichen Hersteller-Spezifikationen für Server-Hardware. Überschreitet die Temperatur diesen Bereich dauerhaft, verkürzt sich die Lebensdauer der Hardware messbar. Das Risiko eines Systemausfalls steigt entsprechend.
Die relative Luftfeuchtigkeit sollte zwischen 40 und 60 Prozent liegen. Dieser Bereich vermeidet Kondensation und elektrostatische Entladung gleichermaßen. Für Brandschutzmaßnahmen sind die einschlägigen DIN-VDE-Normen und die Vorgaben der Deutschen Gesetzlichen Unfallversicherung (DGUV) maßgeblich. Sie regeln Anforderungen an elektrische Anlagen und Betriebsmittel in besonders schutzbedürftigen Räumen.
Tipp: Ein separater Stromkreis für die Serverraum-Klimatisierung verhindert, dass ein Kurzschluss an anderer Stelle der Praxis den Kühlbetrieb unterbricht.
Temperatur- und Luftfeuchtigkeitsvorgaben (Zielwerte, Klimagerät)
Split-Klimageräte eignen sich für kleinere Serverräume in Praxen — sie führen die Wärmelast nach außen ab, ohne den restlichen Praxisbetrieb zu beeinträchtigen. Bei höherer Serverdichte, etwa in Großpraxen mit eigenem Rechenzentrumsbetrieb, kommen redundant ausgelegte Klimasysteme zum Einsatz. Diese Systeme kompensieren einen Geräteausfall automatisch.
Brandschutz und Löschanlagen (Quelle: DIN VDE, DGUV)
| Anforderung | Richtwert | Praxisrelevanz |
|---|---|---|
| Raumtemperatur | 18–27 °C | Herstellervorgabe Server-Hardware |
| Luftfeuchtigkeit | 40–60 % rel. | Vermeidung Kondensation/ESD |
| Elektrische Anlagen | Nach DIN VDE-Normenreihe | Pflichtprüfung, DGUV-konform |
| Zugangskontrolle | Abschließbarer Raum | KBV-IT-Sicherheitsrichtlinie |
Wie wird der Zugang zum Serverraum abgesichert?
Die KBV-Richtlinie verpflichtet Praxen, zentrale IT-Komponenten in Räumen unterzubringen, die ausschließlich autorisiertes Personal betreten kann. Ein einfaches Türschloss erfüllt diese Mindestanforderung. Größere Praxen setzen zunehmend elektronische Schließsysteme mit Protokollierung ein — diese Systeme dokumentieren jeden Zugang zeitlich nachvollziehbar.
Private Softwareinstallationen auf Praxisrechnern untersagt die Richtlinie ausdrücklich. Installiert werden dürfen ausschließlich geprüfte und freigegebene Programme. Zur Basis-Infrastruktur für sichere Praxis-IT gehören nach KBV-Vorgabe eine Firewall, aktueller Virenschutz, regelmäßige Updates und Backups sowie eine geeignete Netzwerksicherheit.
Physischer Zugangsschutz (Schließsystem, Protokollierung)
Für mittlere Praxen und Großpraxen verlangt die Richtlinie zusätzliche Dokumentationspflichten: Ein Netzplan sowie Ein- und Austrittsformulare für Mitarbeiter mit Systemzugriff gehören zu den von der KBV bereitgestellten Musterdokumenten.
Ein Schlüsselprotokoll hält fest, wer wann Zugang zum Serverraum hatte — bei mechanischen Schließsystemen genügt dafür ein handschriftliches Übergabebuch, bei elektronischen Systemen erfolgt die Protokollierung automatisch. Die KBV empfiehlt, den Personenkreis mit Zugangsberechtigung so klein wie möglich zu halten und Berechtigungen bei Personalwechsel unmittelbar zu entziehen, statt sie erst bei der nächsten turnusmäßigen Überprüfung anzupassen.
Abrechnung: Die Umsetzung der IT-Sicherheitsrichtlinie wird nicht separat vergütet. Sie ist Teil der Zulassungsvoraussetzung nach § 390 SGB V und keine optional abrechenbare Leistung.
Netzwerksicherheit und Virenschutz nach KBV-Richtlinie
Ein aktueller Virenschutz auf allen Praxisrechnern und Servern gehört laut KBV-Richtlinie zur verpflichtenden Basis-Infrastruktur. Die Software muss sich automatisch aktualisieren, damit neue Bedrohungssignaturen ohne Zeitverzug erkannt werden. Eine Firewall trennt das Praxisnetzwerk vom öffentlichen Internet und kontrolliert den Datenverkehr in beide Richtungen — sie ist damit die zweite tragende Säule neben dem Virenschutz.
Die Netzwerksegmentierung trennt sensible Bereiche wie den Serverraum-Zugang von weniger kritischen Netzwerkteilen, etwa dem WLAN für Patienten im Wartezimmer. Ein gemeinsames Netz für Praxisverwaltung und Patienten-WLAN vergrößert die Angriffsfläche erheblich, da ein kompromittiertes Gästegerät sonst direkten Zugriff auf die Praxis-IT ermöglichen könnte. Die KBV empfiehlt daher eine physische oder logische Trennung dieser Netzwerkbereiche.
Wie schützt eine USV vor Datenverlust bei Stromausfall?
Eine unterbrechungsfreie Stromversorgung (USV) überbrückt kurze Netzausfälle. Sie ermöglicht dem Server ein geordnetes Herunterfahren statt eines abrupten Absturzes. Ohne USV drohen bei einem Stromausfall Datenverlust und Festplattenschäden durch den plötzlichen Spannungsabfall.
Die Dimensionierung der USV richtet sich nach der Leistungsaufnahme der angeschlossenen Hardware und der gewünschten Überbrückungszeit. Für eine einzelne Praxis reicht in der Regel eine Überbrückung von 10 bis 15 Minuten aus, um die Systeme kontrolliert herunterzufahren. Großpraxen mit unterbrechungskritischen Anwendungen benötigen längere Laufzeiten oder ein zusätzliches Notstromaggregat.
Überbrückungszeit und Dimensionierung für Praxis-IT
Die benötigte USV-Kapazität berechnet sich aus der Summe der Leistungsaufnahme aller angeschlossenen Geräte in Watt, zuzüglich eines Sicherheitspuffers von etwa 20 Prozent für spätere Erweiterungen. Ein Praxisserver mit angeschlossenem Netzwerk-Switch benötigt üblicherweise eine USV im Bereich von 1.000 bis 1.500 VA, um die empfohlene Überbrückungszeit zuverlässig zu erreichen.
Die Batteriekapazität einer USV lässt mit der Zeit nach — ein jährlicher Funktionstest inklusive simulierter Lastabschaltung deckt eine nachlassende Pufferzeit auf, bevor sie im Ernstfall zum Problem wird.
Zusammenspiel mit Backup-Strategie (3-2-1-Regel)
Haftungsrisiko: Datenverlust durch fehlende USV-Absicherung kann als Verstoß gegen die Pflicht zu angemessenen technischen Maßnahmen nach Art. 32 DSGVO gewertet werden.
Was kostet die Einrichtung eines Serverraums für die Praxis?
Die Gesamtkosten setzen sich aus Hardware, Klimatisierung und baulichen Maßnahmen zusammen. Ein einfacher, abschließbarer Serverschrank mit Basis-Klimatisierung verursacht deutlich geringere Investitionen als ein dedizierter Serverraum mit redundanter Kühlung und Zugangskontrollsystem. Die tatsächliche Investitionshöhe hängt stark von Praxisgröße, vorhandener Bausubstanz und dem Umfang der bereits installierten IT-Infrastruktur ab. Pauschale Preisangaben ohne Praxisbegehung sind daher unzuverlässig.
Bauliche Maßnahmen senken das Risiko eines Vorfalls, schließen ihn aber nicht vollständig aus — eine Cyberversicherung deckt als ergänzender Baustein die finanziellen Folgen ab, die trotz Serverraum-Absicherung durch Datenverlust oder Cyberangriffe entstehen können.
Kostenfaktoren: Hardware, Klimatisierung, bauliche Maßnahmen
- [ ] Serverschrank oder Raumumbau (abschließbar, brandschutzkonform)
- [ ] Klimagerät inkl. Installation
- [ ] USV-Anlage passend zur Serverlast
- [ ] Elektroinstallation nach DIN-VDE-Vorgaben
- [ ] Zugangskontrollsystem (mechanisch oder elektronisch)
Tabelle: Praxisgröße → Investitionsrahmen
| Praxisgröße | Typische Lösung | Investitionstreiber |
|---|---|---|
| Praxis (bis 5 Personen) | Abschließbarer Serverschrank | Schrank, Basis-Klimagerät, USV |
| Mittlere Praxis (6–20 Personen) | Dedizierter Serverraum | Klimatisierung, Zugangskontrolle, Netzplan-Dokumentation |
| Großpraxis (> 20 Personen) | Serverraum mit Redundanz | Redundante Klimatisierung, Notstromkonzept, zertifizierter IT-Dienstleister |
Serverraum oder Auslagerung ins Rechenzentrum: Was passt zur Praxis?
Die Entscheidung zwischen eigenem Serverraum und externem Rechenzentrum hängt von drei Faktoren ab: Praxisgröße, verfügbares IT-Budget und personelle Ressourcen für den laufenden Betrieb. Ein externer Dienstleister übernimmt Klimatisierung, Zugangsschutz und Wartung vertraglich. Er verlangt dafür aber eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO und laufende Kosten statt einer Einmalinvestition.
Praxen ohne eigenes IT-Personal reduzieren mit dieser Auslagerung ihr Haftungsrisiko bei technischen Ausfällen. Sie verlieren dabei allerdings die direkte Kontrolle über den physischen Serverstandort. Für den laufenden IT-Support in der Arztpraxis bedeutet das: Externe Rechenzentren übernehmen Wartungsaufgaben, die bei einem eigenen Serverraum intern oder durch einen Dienstleister erfolgen müssen. Die KBV führt ein Verzeichnis zertifizierter IT-Dienstleister zur Umsetzung der IT-Sicherheitsrichtlinie. Die Beauftragung eines zertifizierten Anbieters bleibt optional — ein nicht zertifizierter Dienstleister ist ebenfalls zulässig.
Entscheidungskriterien: Praxisgröße, IT-Budget, Personalressourcen
Kleine Praxen ohne IT-Fachpersonal profitieren meist von der Auslagerung: Die laufenden Kosten eines Rechenzentrums lassen sich besser kalkulieren als eine große Einmalinvestition in Serverraum, Klimatisierung und Zugangskontrolle. Mittlere Praxen mit stabilem Patientenaufkommen und vorhandenem Budget für bauliche Maßnahmen amortisieren einen eigenen Serverraum dagegen häufig innerhalb einiger Jahre, da die laufenden Rechenzentrumskosten entfallen.
Entscheidend ist zudem, wer den Betrieb im Alltag verantwortet. Verfügt die Praxis über keinen festen IT-Ansprechpartner, erhöht ein eigener Serverraum den Wartungsaufwand messbar — Updates, Backup-Kontrolle und die Prüfung der Zugangsprotokolle müssen dann von einem externen Dienstleister oder von geschultem Praxispersonal übernommen werden. Großpraxen mit eigener IT-Abteilung oder einem festen Servicevertrag können diesen Aufwand intern abbilden und behalten dafür die volle Kontrolle über Hardware und Datenstandort.
FAQ: Häufige Fragen zum Serverraum in der Arztpraxis
Macht eine Cloud-Praxissoftware einen eigenen Serverraum überflüssig?
Ja. Bei einer Cloud-Praxissoftware hostet der Anbieter das Praxisverwaltungssystem in seinem eigenen Rechenzentrum — ein lokaler Server samt baulicher Absicherung entfällt vollständig. Die Praxis benötigt lediglich performante Arbeitsplatzrechner mit Internetzugang und Browser. Updates, Backups und die physische Serverraum-Sicherheit liegen dann vollständig in der Verantwortung des Cloud-Anbieters.
Ist ein separater Serverraum für Kassenärzte gesetzlich vorgeschrieben?
Ein separater Raum ist nicht in jedem Fall vorgeschrieben. Die KBV-IT-Sicherheitsrichtlinie verlangt aber, dass zentrale IT-Komponenten in einem abschließbaren, nur autorisiertem Personal zugänglichen Bereich stehen. Für kleine Praxen erfüllt ein abschließbarer Serverschrank in einem geeigneten Raum diese Vorgabe. Ab mittlerer Praxisgröße empfiehlt sich ein dedizierter Serverraum.
Wie oft muss die Sicherheitstechnik im Serverraum geprüft werden?
Die KBV-Richtlinie schreibt keine feste Prüffrequenz für die Serverraum-Technik selbst vor. Sie verlangt aber regelhafte Updates, Backups und eine dokumentierte Netzwerksicherheit als fortlaufende Pflicht. Elektrische Anlagen unterliegen zusätzlich den Prüfpflichten nach DGUV-Vorschrift — deren Intervalle richten sich nach Anlagentyp.
Reicht ein NAS-System statt eines vollwertigen Servers für kleine Praxen aus?
Ein NAS-System (Network Attached Storage) kann für kleine Praxisstrukturen mit geringem Datenvolumen ausreichen. Es bietet aber weniger Rechenleistung und Ausfallsicherheit als ein dedizierter Server. Die Entscheidung hängt von der eingesetzten Praxissoftware ab: Manche Systeme setzen einen echten Server mit Datenbankdienst voraus, für den ein NAS keinen vollständigen Ersatz darstellt.