Patientendaten verdienen besonderen Schutz
In einer Arztpraxis läuft heute fast alles digital: Terminvergabe, Praxisverwaltungssystem, Telematikinfrastruktur (TI), elektronische Patientenakte (ePA), E-Rezept und eAU. Gleichzeitig sind Gesundheitsdaten nach der DSGVO besonders geschützt. Ein Ausfall oder ein Datenleck trifft eine Praxis daher doppelt: im Betrieb und im Vertrauen der Patientinnen und Patienten.
Dieser Beitrag gibt einen praktischen Überblick. Er ersetzt weder die Beratung durch Ihren Praxissoftware-Anbieter noch eine Rechtsberatung.
Die Grundlage: IT-Sicherheitsrichtlinie der KBV
Für vertragsärztliche und vertragspsychotherapeutische Praxen gibt es eine verbindliche IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung (KBV). Sie legt je nach Praxisgröße Anforderungen fest und wird regelmäßig angepasst. Die KBV stellt dazu verständliche Hilfen bereit. Für Zahnarztpraxen gibt es entsprechende Vorgaben der KZBV.
Die Anforderungen ähneln sich und lassen sich gut in Bereiche gliedern.
1. Geräte und Updates
- Alle Rechner erhalten Sicherheitsupdates, keine Systeme ohne Herstellerunterstützung (Stichwort Windows 10)
- Aktueller Virenschutz
- Bildschirmsperre nach kurzer Zeit, besonders am Empfang
- Bildschirme am Empfang so ausrichten, dass Wartende nichts mitlesen können
2. Netzwerk
- Konnektor und TI-Zugang nach Vorgaben des Herstellers eingebunden
- Getrennte Netze für Praxis-IT, Gäste-WLAN und Medizingeräte, siehe auch unseren Beitrag zum WLAN im Büro
- Firewall am Internetzugang, Fernwartung nur über gesicherte, protokollierte Zugänge
3. Zugänge
- Persönliche Benutzerkonten statt eines gemeinsamen Praxis-Logins
- Starke Passwörter oder Passkeys, MFA für E-Mail und Fernzugriff (mehr im Beitrag zu Passwortmanagern)
- Rechte nach Aufgabe: Nicht jeder braucht Zugriff auf alles
- Zugänge ausgeschiedener Mitarbeitender sofort sperren
4. Datensicherung
- Tägliche Sicherung des Praxisverwaltungssystems
- Mindestens eine Sicherung getrennt vom Praxisnetz
- Regelmäßiger Test der Wiederherstellung
- Verschlüsselte Sicherungen, wenn sie die Praxis verlassen
5. E-Mail und Kommunikation
- Keine Befunde per unverschlüsselter E-Mail
- Für den Austausch mit anderen Praxen und Kliniken den Dienst KIM (Kommunikation im Medizinwesen) nutzen
- Mitarbeitende zu Phishing schulen, siehe Phishing erkennen
6. Dienstleister und Verträge
- Auftragsverarbeitungsverträge mit allen Dienstleistern, die Zugriff auf Patientendaten haben können
- Bei Cloud-Diensten auf Rechenzentren in der EU und passende Zusagen achten
- Klare Absprache, wer im Notfall was tut, festgehalten in einem IT-Notfallplan
Typische Schwachstellen, die ich oft sehe
- Ein gemeinsames Windows-Konto für alle am Empfang
- Fernwartungszugänge, die dauerhaft offen sind
- Sicherungen auf einer externen Festplatte, die ständig angeschlossen ist
- Das private Handy einer Mitarbeiterin im Praxis-WLAN
Häufige Fragen
Muss ich als kleine Einzelpraxis alles umsetzen? Die KBV-Richtlinie staffelt die Anforderungen nach Praxisgröße. Grundlegende Maßnahmen gelten aber für alle.
Wer ist für die TI zuständig? In der Regel Ihr TI-Dienstleister bzw. Praxissoftware-Anbieter. Klären Sie die Abgrenzung zu Ihrer übrigen IT-Betreuung schriftlich.
Fazit
Gute Praxis-IT besteht aus wenigen, konsequent umgesetzten Grundlagen. Wer sie Schritt für Schritt angeht, schützt Patientendaten und den eigenen Praxisbetrieb. Mehr zu unserer Unterstützung für Praxen finden Sie auf der Seite IT für das Gesundheitswesen.
