Sichere Praxis-IT: Ausstattung & IT-Sicherheit

Was gehört zur Praxis-IT — und warum ist Sicherheit keine Kür?

Die Praxis-IT umfasst sämtliche informationstechnischen Komponenten einer Arztpraxis: Arbeitsplatzrechner, das Praxisverwaltungssystem (PVS), die Netzwerkinfrastruktur sowie die dezentralen Komponenten der Telematikinfrastruktur (TI) — Konnektor, Kartenlesegeräte und TI-Gateway. Das PVS bildet die technische Zentrale der Praxis. Es organisiert Terminplanung, Patientenakte, E-Rezept, Abrechnung und die Kommunikation über die TI.

Die Kassenärztliche Bundesvereinigung (KBV) definiert das PVS als informationstechnisches System, das die Praxis bei der Erfüllung gesetzlicher und untergesetzlicher Pflichten unterstützt. Über 120 zertifizierte Systeme sind aktuell auf dem deutschen Markt verfügbar. Drei Anbieter — CGM MEDISTAR, TURBOMED und x.isynet — teilen sich seit 2014 (noch) durchgängig die höchsten Marktanteile.

Diese zentrale Rolle macht die Praxis-IT zu einem attraktiven Angriffsziel. Cyberrisiken sind dabei kein isoliertes IT-Thema, sondern Teil der umfassenden Gefährdungsbeurteilung in der Arztpraxis, die auch Datenschutz- und Datensicherheitsrisiken systematisch erfassen muss. Der BSI-Abschlussbericht zum Projekt „Sicherheit von Praxisverwaltungssystemen“ (SiPra), veröffentlicht am 12. Februar 2026, dokumentiert: Cyberkriminelle greifen zunehmend gezielt kleinere Arztpraxen an — nicht nur Krankenhäuser. Ransomware-Angriffe auf die PVS-Hersteller medatixx und CompuGroup Medical im Jahr 2021 belegen, dass auch die Software-Lieferkette selbst gefährdet ist.

Haftungsrisiko: Ärztliche Aufzeichnungen unterliegen einer Aufbewahrungspflicht von zehn Jahren (§ 10 Abs. 3 MBO-Ä, § 630f Abs. 3 BGB). Ein IT-Sicherheitsvorfall mit Datenverlust kann in einem späteren Arzthaftungsprozess zur Beweislast zulasten der Praxis führen.

Welche IT-Ausstattung braucht eine Arztpraxis konkret?

Die Richtlinie nach § 390 SGB V unterscheidet drei Praxisgrößen mit gestaffelten Anforderungen: Praxis (bis 5 Personen mit Datenverarbeitung), mittlere Praxis (6 bis 20 Personen) und Großpraxis (über 20 Personen oder Datenverarbeitung im erheblichen Umfang, etwa Groß-MVZ oder Großlabore). Die erforderliche Ausstattung wächst mit der Praxisgröße.

Praxisgröße	Anzuwendende Anlagen	Kernanforderungen
Praxis (bis 5 Pers.)	Anlage 1 + 5	Firewall, Virenschutz, Datensicherung, TI-Komponenten
Mittlere Praxis (6–20 Pers.)	Anlage 1, 2 + 5	zusätzlich: Alarmierung/Logging, restriktive Rechtevergabe
Großpraxis (über 20 Pers.)	Anlage 1, 2, 3 + 5	zusätzlich: Netzwerksegmentierung, Mobile Device Management

Zur Grundausstattung jeder Praxis zählt eine korrekt konfigurierte Hardwarefirewall, die den Übergang zum Internet auf Netzebene absichert — alternativ der Konnektor im Reihenbetrieb. Arbeitsplatzrechner benötigen aktuelle Virenschutzprogramme, eine geregelte Datensicherung sowie eine Zugriffssteuerung über Benutzer und Rollen im PVS. Für den TI-Zugang gilt: Bei einem gehosteten Konnektor muss die Verbindung zwischen Praxis und Konnektor per VPN-Tunnel abgesichert sein.

Praxisgemeinschaften mit mehreren wirtschaftlich unabhängigen Ärzten benötigen grundsätzlich je eine SMC-B-Karte und ein Lesegerät pro Betriebsstätte. Ein gemeinsamer Konnektor ist möglich — die meisten Geräte sind mandantenfähig.

Setzen Praxen medizinische Großgeräte ein — Computertomograph, Magnetresonanztomograph, Positronenemissionstomograph, Linearbeschleuniger oder IVD-Geräte im Labor —, greifen ergänzend die Anforderungen aus Anlage 4: eingeschränkter Zugriff auf Konfigurationsschnittstellen, sichere Protokolle für Wartungszugänge und eine Netzsegmentierung, die diese Geräte von der übrigen IT trennt.

Welche IT-Sicherheitsrichtlinie gilt für Arztpraxen nach § 390 SGB V?

Die Kassenärztliche Bundesvereinigung regelt mit der Richtlinie nach § 390 SGB V die Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen Versorgung. Die aktuelle Fassung wurde zum 1. April 2025 aktualisiert; neu hinzugekommene Anforderungen mussten spätestens ab dem 1. Oktober 2025 umgesetzt sein. Die Richtlinie konkretisiert damit den Stand der Technik im Sinne von Art. 32 DSGVO für die Praxis-IT. Verantwortlich für die Umsetzung ist der Praxisinhaber. Die Durchführung selbst kann er delegieren, etwa an einen IT-Support für die Arztpraxis. Eine eigenständige gesetzliche Sanktion sieht § 390 SGB V dabei nicht vor — Verstöße können jedoch über andere Rechtsgrundlagen wie die DSGVO sanktioniert werden.

Zu den zentralen Pflichten der Anlage 1 zählen unter anderem:

• Absicherung der Netzübergangspunkte durch eine Firewall
• Dokumentation des internen Netzes inklusive Netzwerkplan
• zeitnahe Installation von Updates mit festgelegter Zuständigkeit
• Einsatz aktueller Virenschutzprogramme und regelmäßige Datensicherung
• Deaktivierung der Synchronisierung von Nutzerdaten mit Microsoft-Cloud-Diensten
• sichere Grundkonfiguration und Zugriffsschutz für Smartphones und Tablets
• Verschlüsselung der Kommunikation bei Webanwendungen (HTTPS statt HTTP)

Eine gesetzliche Nachweispflicht für die Umsetzung besteht laut KBV-FAQ zur IT-Sicherheitsrichtlinie nicht. Empfohlen wird dennoch eine interne Dokumentation der Maßnahmenumsetzung, etwa in Form angepasster technisch-organisatorischer Maßnahmen (TOMs). Den in der Richtlinie geforderten Netzwerkplan erstellt grundsätzlich der Praxisinhaber. Ein Musterdokument stellt die KBV auf ihrer Website bereit.

Tipp: Prüfen Sie jährlich im Rahmen der vorgeschriebenen Evaluationspflicht, ob Ihre TOMs noch dem aktuellen Stand der Richtlinie entsprechen — insbesondere bei neu hinzugekommenen Anforderungen wie Patch-Management oder Cloud-Anwendungen, die teils erst ab dem 01.10.2025 verpflichtend gelten.

Praxen sind nicht verpflichtet, ausschließlich zertifizierte IT-Dienstleister zu beauftragen. Umgekehrt sind Dienstleister nicht zur KBV-Zertifizierung nach § 390 SGB V verpflichtet. Die freiwillige Personenzertifizierung setzt entweder ein Informatikstudium oder mindestens sechs Jahre einschlägige Berufserfahrung voraus. Die genaue Gebührenhöhe sollten Sie vor einer Beauftragung direkt bei der KBV-Prüfungsordnung erfragen, da sich die Gebührenordnung mit der Überführung von § 75b SGB V zu § 390 SGB V geändert haben könnte.

Was ändert NIS-2 für größere Praxen und MVZ?

Die NIS-2-Richtlinie verpflichtet Deutschland zur Verschärfung der Cybersicherheitsanforderungen für bestimmte Unternehmen und Einrichtungen. Das nationale Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und änderte das BSI-Gesetz grundlegend. Betroffen sind laut KBV-PraxisInfo schätzungsweise 1.000 Praxen und Medizinische Versorgungszentren (MVZ) in Deutschland.

Als „wichtiges Unternehmen“ gilt eine Praxis oder ein MVZ, wenn sie mindestens 50 Personen beschäftigt oder mindestens 10 Millionen Euro Jahresumsatz und Jahresbilanz aufweist. Strengere Vorgaben als „besonders wichtiges Unternehmen“ greifen ab 250 Beschäftigten oder 50 Millionen Euro Jahresumsatz bei mindestens 43 Millionen Euro Jahresbilanzsumme.

Kriterium	Wichtiges Unternehmen	Besonders wichtiges Unternehmen
Beschäftigte	ab 50 Personen	ab 250 Personen
Jahresumsatz	ab 10 Mio. €	ab 50 Mio. €
Jahresbilanz	ab 10 Mio. €	ab 43 Mio. €
Maximales Bußgeld	bis 7 Mio. € oder 1,4 % Jahresumsatz	bis 10 Mio. € oder 2 % Jahresumsatz

Betroffene Praxen und MVZ registrieren sich verpflichtend beim Bundesamt für Sicherheit in der Informationstechnik (§ 33 BSI-Gesetz n. F.). Sie melden erhebliche Sicherheitsvorfälle in drei Stufen: eine Erstmeldung binnen 24 Stunden nach Kenntnisnahme, eine Bewertung von Schwere und Auswirkungen binnen 72 Stunden sowie eine Abschlussmeldung binnen eines Monats (§ 32 BSI-Gesetz n. F.). Als erheblich gilt ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht — etwa ein Cyberangriff, der die Praxis zur Schließung zwingt, oder die Manipulation eines vernetzten Großgeräts wie eines MRT.

Zu den Mindestanforderungen nach § 30 BSI-Gesetz n. F. zählen der Einsatz moderner Verschlüsselungstechnik, Multi-Faktor-Authentifizierung und regelmäßige Mitarbeiterschulungen zur Cybersicherheit. Die Geschäftsleitung selbst unterliegt einer Umsetzungs-, Überwachungs- und Schulungspflicht (§ 38 BSI-Gesetz n. F.). Bei Pflichtverletzung haftet sie nach überwiegender Rechtsauffassung persönlich und mit ihrem Privatvermögen — ein Haftungsausschluss ist gesetzlich ausgeschlossen. Für „wichtige Unternehmen“ drohen bei Verstößen Bußgelder bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, für „besonders wichtige Unternehmen“ bis zu 10 Millionen Euro oder 2 Prozent (§ 65 BSI-Gesetz n. F.) — es gilt jeweils der höhere Betrag.

Ob Ihre Praxis betroffen ist, lässt sich über die NIS-2-Betroffenheitsprüfung des BSI online klären.

Was tun bei einer Datenpanne — auch außerhalb der NIS-2-Schwelle?

Die NIS-2-Meldepflichten betreffen nur die geschätzten 1.000 Praxen und MVZ oberhalb der Schwellenwerte. Für alle anderen Praxen gilt bei einem Sicherheitsvorfall mit Patientendaten die reguläre Meldepflicht nach der Datenschutz-Grundverordnung — unabhängig von Praxisgröße oder Umsatz. Die rechtlichen Grundlagen zum Datenschutz in der Arztpraxis regeln dabei auch, welche weiteren Pflichten und Patientenrechte über die reine Meldefrist hinaus zu beachten sind. 

Eine „Verletzung des Schutzes personenbezogener Daten“ nach Art. 4 Nr. 12 DSGVO liegt vor, sobald Patientendaten unbefugt eingesehen, verändert, gelöscht oder offengelegt werden — etwa durch einen Ransomware-Angriff, einen gestohlenen Praxis-Laptop oder eine fehlgeleitete E-Mail mit Befunden.

Schritt	Frist	Rechtsgrundlage
Meldung an die zuständige Datenschutzaufsichtsbehörde	binnen 72 Stunden nach Bekanntwerden	Art. 33 DSGVO
Benachrichtigung betroffener Patienten	unverzüglich, wenn hohes Risiko für deren Rechte besteht	Art. 34 DSGVO
Interne Dokumentation des Vorfalls	fortlaufend, unabhängig von Meldepflicht	Art. 33 Abs. 5 DSGVO

Die Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO gilt auch dann, wenn Sie den Vorfall nicht der Aufsichtsbehörde melden — etwa weil kein Risiko für die Betroffenen bestand. Die zuständige Aufsichtsbehörde kann diese Dokumentation im Rahmen einer Prüfung anfordern.

Tipp: Praxen, die zusätzlich unter NIS-2 fallen, laufen beide Meldewege parallel: die 24-/72-Stunden-Fristen ans BSI nach BSI-Gesetz und die 72-Stunden-Frist an die Datenschutzaufsicht nach Art. 33 DSGVO. Beide Meldungen sind eigenständig zu erfüllen — die eine ersetzt die andere nicht.

Wo liegen die größten Schwachstellen in der Praxis-IT?

Der BSI-Abschlussbericht SiPra untersuchte vier marktrelevante Praxisverwaltungssysteme im Penetrationstest. Die Ergebnisse deuten auf branchenweiten Handlungsbedarf hin: Bei drei der vier getesteten Produkte gelang es den Prüfern, durch die Verkettung einzelner Schwachstellen einen Angriff aus dem Internet zu konstruieren — trotz unterschiedlicher zugrundeliegender Technologien.

Zwei der vier PVS setzen eine 2-Schicht-Architektur ein. Dabei kommunizieren die Clients direkt mit der Datenbank, ohne trennende Applikationsschicht. Diese Architektur erschwert differenzierte Zugriffskontrollen erheblich: Alle Clients nutzen dieselben Datenbank-Zugangsdaten. Dadurch kann potenziell jeder Nutzer auf sämtliche Patientendaten zugreifen und sich selbst Administratorrechte zuweisen.

Die Untersuchung identifizierte neun wiederkehrende Schwachstellenklassen:

Schwachstelle	Betroffenes Angreifermodell
Unsichere Dateianhänge	Internet, lokales Netzwerk
Fehlende Zugriffskontrollen	Internet, lokales Netzwerk, vor Ort
Fehlende Encryption at Rest	lokales Netzwerk, vor Ort
Fehlende Transportverschlüsselung	lokales Netzwerk, vor Ort
Unsichere Datenbankkonfiguration	lokales Netzwerk, vor Ort
Unsichere E-Mail-Implementierung	Internet
Veraltete Kryptografie	Internet, lokales Netzwerk, vor Ort
Fehlende Passwortrichtlinien	lokales Netzwerk, vor Ort
Path Traversal	Internet, lokales Netzwerk

Bei zwei der untersuchten Systeme war es über die Datenbank möglich, per Remote Code Execution Zugriff auf das gesamte Betriebssystem zu erlangen — in einem Fall sogar ohne jegliche Authentifizierung, im Kontext des Windows-SYSTEM-Nutzers. Eine Path-Traversal-Schwachstelle erlaubte in einem weiteren Fall den Zugriff auf Datenbankdateien. Kombiniert mit der fehlenden Verschlüsselung der gespeicherten Gesundheitsdaten wog dieser Fund besonders schwer.

Haftungsrisiko: Die BSI-Studie CyberPraxMed ergab: Zehn Prozent der rund 1.600 befragten Praxen waren bereits mindestens einmal von einem IT-Sicherheitsvorfall betroffen. Unzureichender Schutz vor Schadsoftware, mangelndes Patch-Management und fehlende Backups zählten zu den häufigsten Mängeln vor Ort.

Auch der menschliche Faktor bleibt ein Einfallstor: Ausführbare Dateianhänge lassen sich in mehreren PVS als harmlose Dokumente tarnen. Selbst technisch geschultes Personal kann so getäuscht werden. Kryptografisch fanden die Prüfer veraltete Hashfunktionen wie MD5 ohne Salt sowie selbstentwickelte, unsichere Verschlüsselungsverfahren vor — beides ermöglicht effiziente Brute-Force-Angriffe auf Passwörter und Zugangsdaten.

Bemerkenswert: Trotz der hohen Sensibilität der verarbeiteten Daten existieren laut Fachberichterstattung zum SiPra-Bericht bislang keine verbindlichen IT-Sicherheitsanforderungen speziell für Praxisverwaltungssysteme. Die KBV-Zertifizierung konzentriert sich auf funktionale Aspekte. Die freiwillige KBV-Rahmenvereinbarung nach § 332b SGB V reicht laut Einschätzung des BSI nicht aus, um ein angemessenes Sicherheitsniveau zu gewährleisten.

Wie schützen Sie Ihre Praxis konkret vor Ransomware?

Ransomware verschlüsselt Praxisdaten und fordert Lösegeld für deren Freigabe. Moderne Varianten nutzen zusätzlich die Double-Extortion-Methode: Angreifer kopieren Daten vor der Verschlüsselung und drohen mit Veröffentlichung im Darknet — selbst ein intaktes Backup verhindert dann nicht die Erpressung, sondern nur den Betriebsausfall.

Wirksamer Schutz basiert auf mehreren Ebenen:

• Netzwerksegmentierung trennt das PVS-Netz von Gäste-WLAN und IoT-Geräten und verhindert die seitliche Ausbreitung nach einer Erstinfektion
• Offline- oder unveränderliche Backups (Air-Gap-Prinzip) schützen Sicherungen davor, von der Ransomware mitverschlüsselt zu werden — ein rein netzwerkgebundenes NAS reicht dafür nicht aus
• Endpoint-Detection-Software erkennt verdächtige Verschlüsselungsprozesse in Echtzeit und isoliert den betroffenen Rechner automatisch vom Netzwerk
• E-Mail-Filterung blockiert die häufigste Eintrittspforte: präparierte Anhänge und Phishing-Links in gefälschten KV- oder Abrechnungs-E-Mails

Haftungsrisiko: Bei einem erfolgreichen Ransomware-Angriff mit Verschlüsselung von Patientendaten liegt in der Regel ein meldepflichtiger Vorfall nach Art. 33 DSGVO vor — unabhängig davon, ob die Praxis unter die NIS-2-Regelungen fällt.

Wie sichern Sie Ihre Praxis-IT in der Praxis ab?

Praxisinhaber tragen die Verantwortung für die IT-Sicherheit, können die Umsetzung jedoch an einen IT-Dienstleister delegieren. Eine Zertifizierung nach § 390 SGB V ist dabei kein Pflichtkriterium. Sie dient aber als Qualitätsindiz für Fachkompetenz in Netzwerksicherheit und TI-Anbindung.

Anlage 1 der Richtlinie nach § 390 SGB V verlangt eine regelmäßige, gegen unbefugten Zugriff geschützte Datensicherung mit festgelegter Zuständigkeit — ohne dabei ein konkretes technisches Verfahren vorzugeben. In der Praxis hat sich die 3-2-1-Regel als Mindeststandard etabliert:

• 3 Kopien der Daten: das Original auf dem Praxisserver plus zwei Sicherungskopien
• 2 unterschiedliche Speichermedien: etwa Praxisserver und ein separates NAS-System, um den gleichzeitigen Ausfall baugleicher Hardware zu vermeiden
• 1 Kopie außer Haus: eine externe oder Cloud-Sicherung, die auch bei Diebstahl, Brand oder Ransomware-Befall des Praxisnetzwerks erhalten bleibt

Eine Datensicherung, die nur auf dem Praxisserver selbst oder einem dauerhaft angeschlossenen NAS liegt, schützt nicht vor Ransomware — die Verschlüsselung erfasst in solchen Fällen auch das Backup. Mindestens eine Kopie sollte deshalb offline oder unveränderlich (Air-Gap- bzw. Immutable-Backup-Prinzip) vorgehalten werden.

Haftungsrisiko: Ein Backup ohne regelmäßigen Wiederherstellungstest ist im Ernstfall wertlos. Testen Sie die Rücksicherung mindestens einmal pro Quartal — ein defektes, unbemerktes Backup-System ist einer der häufigsten Gründe für endgültigen Datenverlust in Arztpraxen.

Folgende Sofortmaßnahmen adressieren die im SiPra-Bericht identifizierten Schwachstellenklassen direkt:

• Festplattenvollverschlüsselung aktivieren (BitLocker unter Windows, FileVault unter macOS)
• Hardwarefirewall korrekt konfigurieren und regelmäßig warten
• TLS-Verschlüsselung für sämtliche Client-Server- und Datenbankverbindungen erzwingen
• Passwortrichtlinie nach BSI-Empfehlung durchsetzen: mindestens 8 Zeichen mit vier Zeichenarten oder mindestens 20 Zeichen mit zwei Zeichenarten
• Dateianhänge per Whitelist auf zulässige Formate beschränken, ausführbare Dateitypen blockieren
• Rollen- und Rechtekonzept im PVS restriktiv nach dem Need-to-know-Prinzip konfigurieren
• Regelmäßige, getestete Datensicherung mit Zugriffsschutz einrichten
• Mitarbeitende in den sicheren Umgang mit IT-Komponenten einweisen und sensibilisieren

Tipp: Fragen Sie Ihren PVS-Hersteller gezielt nach der eingesetzten Architektur. Eine 3-Schicht-Architektur mit serverseitigen Zugriffskontrollen bietet einen strukturellen Sicherheitsvorteil gegenüber der im SiPra-Bericht kritisierten 2-Schicht-Architektur.

Regelmäßige, erzwungene Passwortwechsel gelten laut BSI mittlerweile als kontraproduktiv — sie verleiten Nutzer zu schwächeren Passwörtern. Ein Wechsel ist nur bei konkretem Verdacht auf Kompromittierung sinnvoll.

Webinar: Praxis-IT sicher aufstellen

In unserem kostenfreien Webinar zeigen wir Ihnen anhand konkreter Praxisbeispiele, wie Sie Firewall, Backup-Strategie und Zugriffskontrollen normgerecht umsetzen. Ideal zur Vertiefung der oben genannten Maßnahmen.

Was kosten IT-Sicherheitsmaßnahmen in der Arztpraxis?

Belastbare Zahlen zu tatsächlichen IT-Kosten in Arztpraxen liefert das Zi-Paper 26/2023 des Zentralinstituts für die kassenärztliche Versorgung. Die Erhebung unter 303 niedergelassenen Ärzten und Psychotherapeuten zeigt: Die Gesamtkosten für Beschaffung und Instandhaltung der IT-Infrastruktur variieren stark nach Praxisform.

Praxisform	Mittlere IT-Gesamtkosten 2021 (Median)	Stichprobengröße
Einzelpraxis	ca. 7.000 €	n = 156
Praxisgemeinschaft	ca. 8.100 €	n = 28
Berufsausübungsgemeinschaft	ca. 15.000 €	n = 60
Medizinisches Versorgungszentrum	ca. 47.000 € (unsichere Datenbasis, n = 8)	n = 8

Innerhalb dieser Gesamtkosten entfällt der größte Einzelposten in Einzelpraxen auf IT-Hardware (Median 1.525 €) und das Praxisverwaltungssystem (Median 1.600 €). Kosten für externe IT-Dienstleister und IT-Sicherheit liegen im Median bei 1.200 €. Cyberversicherungen gegen IT-Sicherheits- und Hardware-Risiken schlagen mit median 200 € zu Buche, Schulungen zur Digitalisierung dagegen meist mit 0 € — ein Hinweis darauf, dass Weiterbildung in der Praxis bislang kaum budgetiert wird, obwohl sie Anlage 1 der Richtlinie nach § 390 SGB V ausdrücklich vorschreibt.

Für einzelne Digitalisierungsmaßnahmen ergaben sich in der Erhebung deutlich niedrigere Einführungskosten:

Maßnahme	Mittlere Einführungskosten (Median)
Digitales Terminmanagement (Gesamtkosten)	ca. 1.000 €
Videosprechstunde (Gesamtkosten im Einführungsjahr)	ca. 320 €
Sichere Messengerdienste für Kollegenaustausch	ca. 5 €

Zusätzlich zu diesen Erhebungsdaten variieren die Kosten für konkrete Sicherheitskomponenten je nach Anbieter und Betriebsmodell:

Maßnahme	Kostenrahmen	Hinweis
Hardware-Firewall (Einzelanschaffung)	ca. 150–600 € einmalig	reine Gerätekosten, ohne Einrichtung
Firewall als Managed Service	ca. 40–70 € monatlich	inkl. Konfiguration, Wartung, Updates durch Dienstleister
Endpoint-Schutz / Virenschutz	ca. 40–80 € pro Arbeitsplatz und Jahr	z. B. Bitdefender GravityZone, Sophos Intercept X
TI-Betriebskostenpauschale	wird von der KV erstattet	deckt Konnektor, Kartenterminal, TI-Anbindung anteilig ab

Haftungsrisiko: Laut Zi-Paper 26/2023 waren für die Instandhaltung der digitalen Infrastruktur in 54,8 % der Fälle externe Dienstleister zuständig, in weiteren 32,7 % übernahmen dies Ärzte oder Psychotherapeuten selbst. Wer die IT-Sicherheit eigenständig verwaltet, ohne über entsprechende Fachkenntnis zu verfügen, trägt das volle Haftungsrisiko bei Versäumnissen — die Delegation an einen zertifizierten Dienstleister verlagert die technische Umsetzung, nicht aber die grundsätzliche Verantwortung des Praxisinhabers.

Ein im Zi-Praxis-Panel dokumentierter Trend bestätigt sich auch hier: Die IT-Kosten steigen kontinuierlich — von durchschnittlich 4.843 € im Jahr 2018 über 6.034 € im Jahr 2019 bis zu den aktuell erhobenen 7.000 € (Median, Einzelpraxis) für 2021. In Freitextantworten beschrieben die befragten Ärzte die Digitalisierung ihrer Praxis wiederholt als kosten- und zeitintensiv sowie fehlerbehaftet; mehrfach wurde zudem bemängelt, dass die Refinanzierung durch die Kassen die tatsächlichen Kosten nicht deckt.

Tipp: Holen Sie bei größeren Investitionen — etwa einer vollständigen Firewall- und Backup-Neuausstattung für eine Großpraxis — mindestens zwei unabhängige Angebote ein. Die Preisspannen für vergleichbare Leistungen schwanken in der Praxis erheblich, unter anderem abhängig davon, ob ein Anbieter pauschale Wartungsverträge oder Einzelleistungen kalkuliert.

Für Praxisgründer und Großpraxen mit medizinischen Großgeräten fallen zusätzliche Kosten durch die erweiterten Anforderungen aus Anlage 3 und Anlage 4 der Richtlinie an — etwa für Mobile Device Management oder die Netzsegmentierung ferngewarteter Großgeräte. Eine pauschale Kostenschätzung ist hier aufgrund der individuellen Geräteausstattung nicht seriös möglich; empfehlenswert ist eine Kostenkalkulation gemeinsam mit einem zertifizierten IT-Dienstleister vor der Anschaffung.

FAQ: Häufige Fragen zur sicheren Praxis-IT