Montagmorgen, das Wartezimmer füllt sich, doch die Computer fahren nicht mehr hoch. Statt der Patientenliste erscheint nur ein Erpresserschreiben auf dem Bildschirm. Die Drohung: Du sollst einen bestimmten Betrag in einer Kryptowährung überweisen, sonst bleiben die Rechner aus! Keine Akten, keine Termine, kein Zugriff auf die Medikationspläne. Die Situation kann schnell stressig werden – aber mit den richtigen IT-Sicherheitsmaßnahmen lässt sich genau das vermeiden. So bleibt der Praxisalltag reibungslos.
Was wie ein Szenario aus einem schlechten Fernsehkrimi klingt, ist für viele Arztpraxen längst Alltag geworden. Wie unsere Erfahrung zeigt, trifft es die kleine Hausarztpraxis in Wiesbaden genauso wie das große Versorgungszentrum in Frankfurt oder Mainz.
Dieser Beitrag gibt dir einen praktischen Überblick und am Ende eine Checkliste zum Herunterladen. So weißt du genau, wo deine Praxis in Bezug auf die IT-Sicherheit steht und wo noch etwas fehlt.
Warum es Cyberkriminelle gerade auf Arztpraxen abgesehen haben
Gesundheitsdaten sind auf dem Schwarzmarkt bares Geld wert. Eine gestohlene Kreditkarte ist schnell gesperrt, eine Patientenakte mit Diagnosen, Medikation und Versicherungsdaten bleibt dagegen dauerhaft brisant. Dazu kommt, dass Angreifer genau wissen, wie sehr eine Praxis auf ihre Technik angewiesen ist. Wer nicht an seine Daten kommt, kann kaum behandeln, nicht abrechnen und verliert mit jeder Stunde Geld. Dieser Druck macht deine Praxis zu einem lohnenden Ziel für digitale Erpressungsversuche durch Cyberkriminelle.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentiert in seiner Broschüre „Cybersicherheit im Gesundheitswesen 2025″ eine steigende Zahl von Sicherheitsvorfällen. Besonders die Angriffe rund um die Telematikinfrastruktur (TI), an die auch deine Praxis angeschlossen ist, haben im Vergleich zum Vorjahr deutlich zugenommen.¹ Das ist nur die Spitze des Eisbergs, denn ambulante Einrichtungen sind bislang noch gar nicht meldepflichtig. Die tatsächliche Zahl der Cybervorfälle im Gesundheitsbereich liegt also noch höher. Die Frage ist nicht mehr, ob Arztpraxen grundsätzlich ins Visier geraten, sondern wie gut sie darauf vorbereitet sind.
Die häufigsten Einfallstore im Praxisalltag
Der häufigste Angriff auf die IT-Sicherheit einer Praxis führt übrigens nicht über hochkomplexe Hackertechnik, sondern über den ganz normalen Praxisalltag. Dazu zählen unter anderem eine unbedacht geöffnete E-Mail, ein schwaches Passwort oder ein Rechner, dessen Updates seit Monaten niemand installiert hat.
Die gute Nachricht daran ist, dass sich die meisten dieser Einfallstore mit überschaubarem Aufwand schließen lassen. Du musst nur wissen, wo du ansetzen kannst. Gerade in einer wirtschaftsstarken Region wie dem Rhein-Main-Gebiet, in der viele Praxen auf engem Raum arbeiten, lohnt sich dieser Blick auf die eigene IT-Sicherheit besonders.
Du willst wissen, wie leicht deine Praxis gerade angreifbar ist? Lass riomar einen kostenlosen Sicherheits-Check machen, bevor es jemand anderes tut.
Das wird rechtlich von deiner Praxis verlangt
Bevor wir in die Details gehen, lohnt sich ein genauer Blick auf deine Pflichten rund um die Cybersicherheit, denn freiwillig ist das in der Praxis schon lange nicht mehr. Zwei große Regelwerke greifen hier ineinander:
Die IT-Sicherheitsrichtlinie nach § 390 SGB V
Da ist zunächst die IT-Sicherheitsrichtlinie nach § 390 SGB V, die die Kassenärztliche Bundesvereinigung in Zusammenarbeit mit dem BSI festlegt. Sie hieß früher § 75b und wurde durch das Digitalgesetz neu nummeriert.² Diese Richtlinie staffelt die Anforderungen nach Praxisgröße:
| Für welche Praxis | Anlage | Was konkret gefordert ist |
|---|---|---|
| Alle Praxen, vor allem kleine mit bis zu fünf ständig an der Datenverarbeitung beteiligten Personen | Basisanforderungen für kleinere Praxen | Grundschutz für jede Praxis, zum Beispiel geregelte Einarbeitung neuer Mitarbeitender, aktueller Virenschutz und regelmäßige Datensicherung mit Funktionsprüfung. |
| Praxen mit 6 bis 20 solchen Personen | Mittlere Praxen | Zusätzlich strengere Vorgaben, etwa zentrale Protokollierung wichtiger Ereignisse, restriktive Rechtevergabe nach dem Need-to-know-Prinzip und eine verbindliche Richtlinie für mobile Geräte. |
| Praxen mit mehr als 20 solchen Personen oder erheblicher Datenverarbeitung | Großpraxen | Nochmals erweiterte Anforderungen, etwa die Messung des Lernerfolgs von Schulungen, Netzwerksegmentierung zwischen Gesundheitsdaten und weniger kritischen Daten sowie zentrale App-Verwaltung per MDM. |
| Praxen mit Großgeräten wie CT, MRT oder Linearbeschleuniger, unabhängig von der Größe | Medizinische Großgeräte | Besondere Absicherung dieser Geräte durch Zugriffsbeschränkungen, sichere Protokolle, Protokollierung und Netzwerksegmentierung. |
| Alle Praxen mit Anschluss an die Telematikinfrastruktur, unabhängig von der Größe | Dezentrale TI-Komponenten | Sichere Installation, sicherer Betrieb und sichere Aufbewahrung der TI-Komponenten wie Konnektor, Kartenlesegerät und Praxisausweis. |
Die Anforderungen bauen aufeinander auf. Eine mittlere Praxis erfüllt also auch die Basisanforderungen, eine Großpraxis zusätzlich die der mittleren. Quelle: KBV, IT-Sicherheitsrichtlinie nach § 390 SGB V, Anlagen 1 bis 5. www.kbv.de
Seit Oktober 2025 gilt außerdem, dass dein Praxispersonal nachweislich im sicheren Umgang mit der Praxis-IT geschult sein muss.³ Wer diese Vorgaben ignoriert, riskiert empfindliche Honorarkürzungen.
Was die DSGVO für Gesundheitsdaten bedeutet
Gesundheitsdaten fallen unter Artikel 9 DSGVO und damit in die besonders schützenswerte Kategorie. Artikel 32 verlangt technische und organisatorische Maßnahmen für eine angemessene Sicherheit. In der Praxis überschneidet sich das stark mit den Vorgaben der KBV. Kommt es zu einem Datenschutzvorfall, drohen Bußgelder, die bei Praxen realistisch im fünfstelligen Bereich liegen können.
Die wichtigsten Bausteine für die IT-Sicherheit deiner Praxis
Damit du ein Gefühl dafür bekommst, worauf es ankommt, gehen wir die wichtigsten Bereiche der Reihe nach durch. Die vollständige Liste zum Abhaken bekommst du am Ende als PDF zum kostenlosen Download, aber schon dieser Überblick zeigt dir, wo die typischen Lücken sitzen.
Das technische Fundament
Alles beginnt beim Netzwerk. Zwischen deiner Praxis und dem Internet gehört eine echte Firewall, nicht nur der einfache Router vom Internetanbieter. Genauso wichtig ist, dass das WLAN im Wartezimmer strikt vom Praxisnetz getrennt läuft, damit niemand über den Gästezugang plötzlich bei deinen Akten landet. Jeder im Team arbeitet außerdem mit eigenen Zugangsdaten statt mit einem gemeinsamen Login, der auf einem Zettel am Monitor klebt. Denn nur so lässt sich im Zweifel nachvollziehen, wer wann worauf zugegriffen hat.
Der zweite Baustein sind deine Backups. Sie sollten täglich laufen, verschlüsselt sein und mindestens einmal getrennt vom Netzwerk der Praxis lagern, am besten offline, etwa als Sicherung auf einer externen Festplatte im Tresor. Moderne Schadsoftware verschlüsselt nämlich gezielt auch die Sicherungen, die sie im Netzwerk erreichen kann. Ein Backup ist immer nur so gut wie seine Wiederherstellung. Teste deshalb regelmäßig, ob sich die Daten wirklich zurückspielen lassen. Ein Backup, das im Ernstfall streikt, ist keine Sicherung, sondern eine teure Illusion.
Beim dritten Baustein geht es um deine Geräte. Rechner, Server und Tablets brauchen zeitnah ihre Sicherheitsupdates, denn aufgeschobene Updates sind eines der häufigsten Einfallstore für Cyberangriffe überhaupt. Dazu gehört ein aktueller Virenschutz auf jedem Gerät und die Verschlüsselung der Festplatten, damit ein verlorener Laptop nicht gleich zum Datenschutzvorfall wird.
Der Faktor Mensch
Der wichtigste Baustein einer professionellen Sicherheitsstrategie ist das Praxisteam selbst. Die meisten Angriffe beginnen nämlich mit einer E-Mail, die jemand unbedacht im Alltagsstress anklickt. Deshalb verlangt die Richtlinie nach § 390 SGB V seit Oktober 2025 auch, dass das Personal regelmäßig geschult wird.
riomar aus Wiesbaden bietet genau solche Schulungen für Cybersicherheit am Arbeitsplatz an. Unsere IT-Sicherheitsexperten schulen dein Team in praxisnahen Sessions, in denen es lernt, gefährliche E-Mails zu erkennen und im Ernstfall ruhig und richtig zu reagieren. Weil diese Schulungen regelmäßig aufgefrischt werden, bleibt das Wissen im Alltag stets präsent, und du erfüllst ganz nebenbei die Vorgabe der Richtlinie zur regelmäßigen Sensibilisierung deines Teams.
Dokumentation – Das sind deine Pflichten
Die Dokumentation ist der Teil des Alltags, den in der Praxis niemand wirklich mag. Sie klingt nach Formularen, nach Bürokratie und nach verlorener Zeit. Trotzdem führt kein Weg an ihr vorbei.
Deine Praxis braucht, wenn die Voraussetzungen es verlangen, einen Datenschutzbeauftragten und ein Verzeichnis, das festhält, welche Daten ihr wofür verarbeitet. Mit jedem Dienstleister, der auch nur in die Nähe deiner Patientendaten kommt, gehört ein Auftragsverarbeitungsvertrag geschlossen, vom Praxisverwaltungssystem bis zum IT-Partner. Vielleicht klingt das zunächst nach Formalität, aber an dem Tag, an dem wirklich etwas schiefgeht, ist genau diese Dokumentation besonders wichtig. Denn dann zählt nicht, was du getan hast, sondern was du beweisen kannst.
Jetzt downloaden! Die komplette Checkliste zum Abhaken bekommst du hier als kostenloses PDF zum Ausdrucken.
Was kostet ein Sicherheitsvorfall in deiner Arztpraxis wirklich?
Fehlende IT-Sicherheit rächt sich selten sofort, aber wenn, dann meist heftig. Viele denken beim Cyberangriff zuerst an das Lösegeld. Das ist aber oft der kleinste Posten. Der eigentliche Schaden steckt nämlich ganz woanders:
Betriebsausfall
Steht dein Verwaltungssystem still, kannst du kaum Patienten behandeln und auch nicht abrechnen. Jeder Tag ohne funktionierende IT kostet dann direkt Umsatz, und die Wiederherstellung kann sich oft über Tage statt Stunden ziehen.
Meldepflichten
Diese werden den Praxismitarbeitern oft erst im Ernstfall wirklich bewusst. Bei einer Verletzung des Datenschutzes hast du nach Artikel 33 DSGVO nur 72 Stunden Zeit, den Vorfall der Aufsichtsbehörde zu melden. Sind Patientendaten mit hohem Risiko betroffen, musst du nach Artikel 34 DSGVO zusätzlich die Betroffenen selbst informieren.⁴ Datenschutz ist Vertrauenssache. Mit wirksamen Sicherheitsvorkehrungen schützt du die sensiblen Daten deiner Patienten und sparst dir unnötigen Ärger und Zusatzaufwand. Der zusätzliche Stress steht in keinem Verhältnis zur Etablierung einer professionellen IT-Sicherheitsstrategie!
Der Schaden am Vertrauen
Menschen erzählen ihrer Ärztin Dinge, die sonst niemand weiß. Wird bekannt, dass diese Daten in falsche Hände geraten sind, wiegt das schwerer als jede Rechnung. Vertrauen ist schnell verspielt und nur langsam wieder aufgebaut. Berichten die betroffenen Patienten im Bekanntenkreis über einen IT-Sicherheitsvorfall in deiner Praxis, kann auch dein Ruf empfindlich in Mitleidenschaft gezogen werden.
Bevor der Ernstfall dich kalt erwischt, sichere dir bei riomar ein Backup- und Notfallkonzept, das im Ernstfall wirklich funktioniert.
In fünf Schritten zu mehr IT-Sicherheit in deiner Praxis
- Bestandsaufnahme: Am Anfang steht eine detaillierte Bestandsaufnahme. Du schaust gemeinsam mit den IT-Experten von riomar, welche Geräte, Programme und Zugänge in deiner Praxis überhaupt im Einsatz sind und wo die größten Sicherheitslücken klaffen.
- Fundamente absichern: Bei Bedarf sichern wir die Grundlagen ab, also Firewall, getrennte Netze und ein verlässliches Backup, das wirklich getestet wird.
- Das Team schulen: Dieser Schritt kümmert sich um die Menschen, denn dein Team lernt, verdächtige E-Mails zu erkennen und sicher mit Passwörtern umzugehen.
- Dokumentation in Ordnung bringen: Du hältst alles so fest, dass du gegenüber der KBV und der Datenschutzbehörde jederzeit nachweisen kannst, dass deine IT-Sicherheit ordnungsgemäß umgesetzt ist.
- Laufender Betrieb: Jemand überwacht deine Systeme dauerhaft, hält sie aktuell und reagiert auf neue Bedrohungen. So wächst die IT-Sicherheit deiner Praxis mit, statt einmal eingerichtet und dann vergessen zu werden.
Warum sich der erste Schritt sofort lohnt
Das Schöne an diesem Vorgehen ist, dass du schon nach den ersten beiden Schritten spürbar sicherer aufgestellt bist. Du musst also nicht warten, bis alles perfekt ist, sondern senkst dein Risiko von Tag eins an. Da jeder Schritt sauber auf dem vorherigen aufbaut, bleibt der Aufwand für dich überschaubar und dein Budget planbar.
IT-Sicherheit als Managed Service von riomar, damit du dich in Ruhe um deine Patienten kümmern kannst
Der wichtigste Gedanke ist, dass IT-Sicherheit nichts ist, was man einmal einrichtet und dann abhakt. Bedrohungen ändern sich, Software altert, Mitarbeiter kommen und gehen, Vorgaben werden verschärft. Was heute sicher ist, kann in einem Jahr eine Lücke sein. Zu einer professionellen IT-Sicherheit gehört deshalb nicht nur die einmalige Einrichtung, sondern die laufende Wartung, Überwachung und Aktualisierung, am besten durch jemanden, der hinschaut, bevor etwas passiert.
So unterstützt dich riomar
Viele Arztpraxen haben im eigenen Team einfach keine Kapazitäten frei, um sich neben dem vollen Wartezimmer auch noch um die IT-Sicherheit mit Firewalls, Backups und Updates zu kümmern. An dieser Stelle kommen unsere IT-Experten von riomar ins Spiel. Als professionelles IT-Systemhaus aus Wiesbaden betreuen wir Arztpraxen und Versorgungszentren in der Rhein-Main-Region, von Wiesbaden über Mainz bis Frankfurt und Rüsselsheim.
Unser Team ist nach ISO/IEC 27001 zertifiziert, wir betreiben eine eigene Cloud-Infrastruktur mit Rechenzentrum in Wiesbaden, und mit proaktiver Wartung sorgen wir dafür, dass aus einem kleinen Problem gar nicht erst ein Notfall wird. So bleibt die IT-Sicherheit deiner Praxis dauerhaft auf dem aktuellen Stand.
In einem Managed-Service-Modell übernehmen wir den laufenden Betrieb deiner Systeme, halten sie aktuell und behalten die Bedrohungslage und deine IT-Sicherheit fest im Blick. Du zahlst dafür eine planbare monatliche Pauschale und hast im Gegenzug einen festen Ansprechpartner, der deine Praxis kennt und schnell erreichbar ist. So wird aus dem komplexen Thema „IT-Sicherheit in der Arztpraxis” eine verlässliche, professionelle Dienstleistung, die dich und dein Team im Praxisalltag spürbar entlastet.
Dein nächster Schritt mit riomar
Eine professionelle IT-Sicherheit in deiner Praxis entscheidet am Ende darüber, ob du dich voll auf deine eigentlichen Aufgaben konzentrieren kannst, oder ob du mehr mit der Instandhaltung deiner IT beschäftigt bist. Eine gut umgesetzte IT-Sicherheit mit riomar bedeutet weniger Sorgen, weniger Ausfallrisiko und die Gewissheit, dass sensible Daten dort bleiben, wo sie hingehören. Für Praxen in Wiesbaden, Frankfurt, Mainz und Rüsselsheim lassen sich guter Datenschutz, erfüllte Vorgaben und moderne Technik in einer einzigen Lösung zusammenbringen. Gute IT-Sicherheit arbeitet dabei im Hintergrund und fällt dir im Alltag gar nicht mehr auf.
Ein persönliches Gespräch mit den Experten von riomar ist daher der beste erste Schritt, um zu sehen, wie deine Praxis im Bereich IT-Sicherheit wirklich aufgestellt ist. Wir beraten dich ganz ohne Druck und ohne Fachchinesisch. Lass uns gemeinsam deine Praxis-IT noch sicherer und leistungsstärker machen!
Du möchtest deine Praxis-IT sicherheitstechnisch neu ausrichten? Dann lass uns gemeinsam mit unseren Experten bei einem kostenlosen Erstgespräch eine Situationsanalyse durchführen und erste Schritte zur Umsetzung besprechen.
Häufige Fragen zur IT-Sicherheit in der Arztpraxis
Was bedeutet IT-Sicherheit in einer Arztpraxis überhaupt konkret?
Damit ist gemeint, dass deine Praxis mit technischen und organisatorischen Maßnahmen dafür sorgt, dass Patientendaten nicht in falsche Hände geraten und die Systeme jederzeit einsatzbereit bleiben. Dazu gehören eine Firewall, getrennte Netze, verschlüsselte Backups, saubere Zugänge und ein geschultes Team. IT-Sicherheit ist also kein einzelnes Produkt, sondern das Zusammenspiel mehrerer Bausteine.
Wir sind nur eine kleine Praxis. Müssen wir das wirklich alles umsetzen?
Ja, wenn auch nicht in vollem Umfang. Die IT-Sicherheitsrichtlinie staffelt die Pflichten nach Größe, sodass eine kleine Praxis weniger erfüllen muss als ein großes Versorgungszentrum. Die Grundlagen wie Firewall, getrenntes WLAN und getestete Backups gelten aber für alle. Klein zu sein ist übrigens kein Schutz, denn Angreifer suchen automatisiert nach offenen Türen und finden gerade kleine Praxen mit veralteter Technik besonders leicht.
Reicht ein gutes Virenschutzprogramm nicht aus?
Nein. Ein Virenscanner erkennt bekannte Schädlinge, ersetzt aber weder eine Firewall noch Backups noch ein geschultes Team. IT-Sicherheit funktioniert in Schichten. Fällt eine Schicht aus, fangen die anderen den Schaden ab. Ein einzelnes Schutzprogramm ist genau eine dieser Schichten und deckt längst nicht alle Wege ab, über die ein Angreifer hereinkommt.
Was kostet uns ein Cyberangriff im schlimmsten Fall?
Das Lösegeld ist dabei oft der kleinste Posten. Viel schwerer wiegen der Betriebsausfall, weil du tagelang nicht behandeln und abrechnen kannst, mögliche Bußgelder der Datenschutzbehörde und der Vertrauensverlust bei deinen Patienten. Dazu kommt der Aufwand für die Meldepflicht, denn einen Datenschutzvorfall musst du innerhalb von 72 Stunden der Aufsichtsbehörde melden. Gute Vorsorge kostet nur einen Bruchteil davon.
Was verlangt die IT-Sicherheitsrichtlinie nach Paragraf 390 SGB V von uns?
Die Richtlinie der Kassenärztlichen Bundesvereinigung schreibt je nach Praxisgröße konkrete Maßnahmen vor, etwa aktuelle Virenschutzprogramme, verschlüsselte Geräte, dokumentierte Backups und Netzwerkpläne. Seit Oktober 2025 muss außerdem dein Praxispersonal nachweislich im sicheren Umgang mit der Praxis-IT geschult sein. Wer die Vorgaben ignoriert, riskiert Honorarkürzungen. Die Richtlinie hieß früher Paragraf 75b und wurde durch das Digitalgesetz neu nummeriert.
Wie oft sollten wir unsere Backups testen?
Regelmäßig, idealerweise mindestens vierteljährlich. Ein Backup, das sich im Ernstfall nicht zurückspielen lässt, hilft dir nämlich gar nichts. Deshalb reicht es nicht, dass die Sicherung einfach läuft. Du solltest immer wieder ausprobieren, ob sich die Daten auch wirklich wiederherstellen lassen. riomar übernimmt diese Tests auf Wunsch als festen Teil des laufenden Betriebs.
Wir haben noch alte Rechner im Einsatz. Ist das ein Problem?
Es kann eines werden, sobald diese Geräte keine Sicherheitsupdates mehr bekommen. Windows 10 beispielsweise wird seit Oktober 2025 nicht mehr mit Patches versorgt. Ein Rechner ohne Updates ist ein offenes Tor für Angreifer. Am besten prüfst du, welche Geräte betroffen sind, und planst den Austausch in Ruhe, bevor daraus eine ungeplante Notfallausgabe wird.
Was hat der Datenschutz mit unserer Praxis-IT zu tun?
Sehr viel. Gesundheitsdaten gehören nach der DSGVO zur besonders schützenswerten Kategorie, und die Verordnung verlangt angemessene technische Maßnahmen zu ihrem Schutz. In der Praxis überschneidet sich das stark mit der IT-Sicherheitsrichtlinie. Wer seine IT sauber absichert und dokumentiert, erfüllt damit gleichzeitig einen großen Teil seiner Datenschutzpflichten.
Können wir uns nicht selbst darum kümmern, statt einen Dienstleister zu beauftragen?
Versuchen kann man das, es geht aber selten gut. IT-Sicherheit ist heute eine Aufgabe mit rechtlichen Fallstricken, und die Dokumentationspflichten lassen sich mit gelegentlicher Unterstützung kaum erfüllen. Im Schadensfall haftest du am Ende als Praxisinhaber. Ein IT-Systemhaus wie riomar betreibt deine Praxis-IT als Managed Service, hält sie aktuell und überwacht sie im Hintergrund, damit du dich um deine Patienten kümmern kannst.
Wie schnell kann riomar unsere Praxis absichern?
Nach einer ersten Bestandsaufnahme, die meist innerhalb weniger Tage erfolgt, liegt ein klares Bild deiner IT und der größten Lücken vor. Die wichtigsten Fundamente wie Firewall, getrennte Netze und ein getestetes Backup lassen sich zügig einrichten, sodass dein Risiko schon nach kurzer Zeit deutlich sinkt. Danach wächst der Schutz Schritt für Schritt mit deiner Praxis.
Quellen
2 BSI, Hinweise zur IT-Sicherheitsrichtlinie nach dem SGB V (E-Health). bsi.bund.de