Zusammenfassung zeigen Zusammenfassung verbergen
Cyberattacken auf medizinische Einrichtungen nehmen zu — und mit ihnen der Druck auf Praxisleitungen, Patientendaten verlässlich zu schützen. Die Kassenzahnärztliche Bundesvereinigung (KZBV) hat die IT‑Sicherheitsrichtlinie neu gefasst; die Fassung trat am 2. Juli 2025 in Kraft, die meisten Vorgaben sind ab dem 2. Januar 2026 umzusetzen. Für Praxen bedeutet das: kurzfristig priorisieren und technische wie organisatorische Lücken schließen.
Die Überarbeitung reagiert auf zunehmende Angriffsvektoren und auf moderne Arbeitsweisen wie Cloud‑Dienste und mobile Endgeräte. Ziel ist, Datenschutz und Praxisbetrieb resilienter zu machen, ohne den Praxisalltag unverhältnismäßig zu belasten.
Was die Neufassung praktisch verlangt
Die neuen Vorgaben unterscheiden strikt nach Praxisgröße und Ausstattung. Kleine Einzelpraxen treffen weniger Pflichtpunkte als Mehrstandort‑MVZ, während die Nutzung bestimmter Technologien zusätzliche Anforderungen auslöst. Entscheidend ist: die Umsetzung ist verpflichtend und dokumentationspflichtig.
Quereinsteiger gesucht: Zahnarztpraxen setzen auf schnelle Hilfe gegen Fachkräftemangel
Kanzleramt neu besetzt: Warken an der Spitze, Linnemann leitet Gesundheitsressort
| Praxisgröße / Typ | Zu erfüllende Anlagen / Kernpflichten | Worauf besonders achten? |
|---|---|---|
| Bis 5 Mitarbeitende | Anlagen 1 und 5 | Basis‑Schutz: Virenschutz, Updates, Nutzerkonten |
| 6–20 Mitarbeitende | Anlagen 1, 5 und zusätzlich 2 | Erweiterte organisatorische Maßnahmen, Dokumentationspflichten |
| Ab 21 Mitarbeitende / Großpraxis | Anlagen 1–3 (inkl. zusätzlicher technischer Vorgaben) | Skalierbare IT‑Organisation, erweiterte Prüfpflichten |
| Praxen mit Großgeräten (z. B. DVT) | Zusätzlich Anlage 4 | Gerätespezifische Sicherheitsanforderungen, Schnittstellen prüfen |
Kernerfordernisse im Überblick
- Aktiver Schutz: aktueller Anti‑Malware‑Schutz mit automatischen Signatur‑ und Software‑Updates.
- Software‑Hygiene: Betriebssysteme und Programme müssen zeitnah gepatcht werden; veraltete Produkte sind untersagt.
- Zugangskonzepte: individuelle Nutzerkonten und starke Passwortrichtlinien statt gemeinsamer Accounts.
- Backups: geplante, dokumentierte Sicherungen auf externen Medien oder Systemen.
- Sichere Kommunikation: E‑Mail mittels moderner Protokolle (z. B. TLS) oder über KIM‑dienste.
- Netzwerk‑ und physische Trennung: Segmentierung von Patienten‑ und Verwaltungsnetz, abschließbare Serverräume.
- Cloud‑Nutzung: nur mit nachgewiesenem Sicherheitsniveau — etwa einem BSI C5‑Testat oder gleichwertigem Nachweis.
- Dokumentation und Nachweis: Netzinventar, Maßnahmen und Schulungen schriftlich vorhalten.
Neu gegenüber der alten Regelung
Wesentlich ist die Einführung eines verbindlichen Mindestniveaus für Cloud‑Anbieter: Wer Praxisdaten in der Cloud verarbeitet, muss auf einen anerkannten Sicherheitsnachweis achten. Ebenfalls strengere Vorgaben betreffen die physische Absicherung von Servern, die klare Trennung von Netzbereichen und die Pflicht zu regelmäßigen Mitarbeiterschulungen — inklusive Dokumentation von Teilnahme und Inhalten.
Kurz: Die Richtlinie rückt die Praxisorganisation stärker in den Fokus und verlangt nicht nur Technik, sondern auch nachweisbare Prozesse.
Risiken bei Nicht‑Umsetzung
Die KZBV‑Richtlinie selbst sieht keine direkten Bußgelder vor, doch ein mangelhafter Schutz kann Folgen nach sich ziehen, weil bereits bestehende Gesetze (z. B. Datenschutz‑ und Berufsrecht) verletzt werden können.
- Bußgelder durch Datenschutzbehörden bei Verstößen gegen Datenschutzpflichten.
- Berufsrechtliche Sanktionen bei nachgewiesener grober Fahrlässigkeit.
- Haftungsansprüche gegenüber der Praxisinhaberin oder dem Praxisinhaber.
- Versicherungsprobleme: Schadenregulierung kann versagt werden, wenn Sicherheitsvorgaben missachtet wurden.
Praktische Schritte für Praxisleitungen
Die Umsetzung lässt sich schrittweise angehen. Empfehlenswert ist ein pragmatisches Vorgehen, das Risiko, Aufwand und Kosten abwägt.
- Bestandsaufnahme: Alle IT‑Komponenten, Software und angeschlossene Geräte erfassen.
- Zuständigkeiten regeln: Interne Verantwortliche benennen oder externen IT‑Partner vertraglich binden.
- Rechtliche Lage prüfen: Welche Regeln gelten konkret für Ihre Praxisgröße und eingesetzte Technik?
- Technische Maßnahmen implementieren: Updates, Anti‑Malware, Zugangskonzepte, Netzsegmentierung.
- Dokumentation aufbauen: Nachweise über Maßnahmen, Prüfungen und Schulungen führen.
- Schulungen planen: Mitarbeitende mindestens jährlich für Phishing, Datenträger‑Handling und BYOD sensibilisieren.
- Regelmäßige Überprüfung: Mindestens jährliche Risiko‑ und Systemchecks durchführen.
Wo Praxen Unterstützung finden
Viele Maßnahmen erfordern keine übermäßigen Investitionen; in zahlreichen Regionen gibt es Förderprogramme für Digitalisierung und IT‑Sicherheit. Auch Zahnärztekammern, KZVen und spezialisierte IT‑Dienstleister bieten Leitfäden, Workshops und Beratungen an. Expertinnen und Experten raten, frühzeitig Gespräch mit dem Versicherer und dem IT‑Partner zu suchen, um Abdeckung und technische Umsetzbarkeit abzustimmen.
Dr. Markus Heckner, Medizininformatiker und Zahnarzt, weist darauf hin, dass technische Systeme nur so gut sind wie ihre Bedienung: „Nachhaltiger Schutz entsteht durch Technik, Prozesse und geschulte Mitarbeitende.“
Für Praxen gilt: Prävention kostet Zeit und Geld — aber ist die sinnvollere Alternative zum Reagieren auf einen Daten‑ oder Betriebszwischenfall.
