KBV IT-Sicherheitsrichtlinie: Was muss ich als Arzt wissen?

Seit 2021 verpflichtet die IT-Sicherheitsrichtlinie der KBV jede Arztpraxis zu konkreten Schutzmaßnahmen für ihre IT. Was technisch klingt, lässt sich auf wenige klare Pflichten herunterbrechen — wir erklären, welche das sind und wie Sie sie ohne IT-Studium erfüllen.

Was ist die KBV IT-Sicherheitsrichtlinie?

Die Richtlinie geht auf §75b SGB V zurück. Der Gesetzgeber hat die Kassenärztliche Bundesvereinigung (KBV) beauftragt, verbindliche Mindestanforderungen an die IT-Sicherheit in Praxen festzulegen. Das Ergebnis ist ein Katalog von Maßnahmen, der seit dem 1. Januar 2021 gilt und seitdem schrittweise erweitert wurde.

Der Grundgedanke ist einfach: In einer Praxis liegen besonders schützenswerte Daten — Diagnosen, Befunde, Medikationspläne. Fällt die IT aus oder gelangen diese Daten in falsche Hände, ist das nicht nur ein Datenschutzproblem, sondern ein Risiko für den Praxisbetrieb. Die Richtlinie soll ein einheitliches Schutzniveau sicherstellen.

Die Richtlinie ist keine Empfehlung, sondern eine Pflicht — unabhängig davon, ob Ihre Praxis groß oder klein ist.

Für wen gilt sie — und in welchem Umfang?

Verbindlich ist die Richtlinie für alle Praxen, die an der vertragsärztlichen oder vertragspsychotherapeutischen Versorgung teilnehmen. Der Umfang der Pflichten staffelt sich nach Praxisgröße:

• Praxen bis 5 ständig mit Datenverarbeitung betraute Personen: Grundanforderungen für Endgeräte, Apps, Internetanwendungen und mobile Geräte.
• Mittlere Praxen (6–20 Personen): zusätzliche Anforderungen, u. a. an Netzwerksicherheit und Protokollierung.
• Große Praxen und Praxen mit medizinischen Großgeräten: der vollständige Maßnahmenkatalog inklusive erweiterter technischer Vorgaben.

Mit „ständig mit der Datenverarbeitung betrauten Personen" sind alle gemeint, die regelmäßig am Praxis-PC arbeiten — also auch MFAs an der Anmeldung, nicht nur Ärztinnen und Ärzte.

Die wichtigsten Pflichten im Überblick

Der Katalog ist umfangreich, lässt sich aber auf einige Kernbereiche verdichten, die für nahezu jede Praxis relevant sind:

1. Geräte und Programme aktuell halten

Betriebssysteme, Praxisverwaltungssystem und Virenschutz müssen regelmäßig aktualisiert werden. Veraltete Software ist das häufigste Einfallstor für Angriffe.

2. Zugänge absichern

Jede Person braucht einen eigenen, passwortgeschützten Zugang. Sammelkonten und Passwörter am Monitor sind tabu. Wo möglich, gehört eine Mehr-Faktor-Authentifizierung dazu.

3. Daten sichern

Es muss ein funktionierendes, regelmäßiges Backup geben — und der Nachweis, dass eine Wiederherstellung tatsächlich klappt. Ein Backup, das im Ernstfall nicht zurückspielbar ist, zählt nicht.

4. Netzwerk und mobile Geräte schützen

WLAN, Router und Praxisnetz müssen abgesichert sein. Smartphones und Tablets, die auf Praxisdaten zugreifen, brauchen Bildschirmsperre, Verschlüsselung und die Möglichkeit zur Fernlöschung.

So setzen Sie die Anforderungen praktisch um

Die ehrliche Antwort: Die meisten Punkte sind kein Hexenwerk, aber sie verlangen kontinuierliche Aufmerksamkeit. Ein Virenschutz, der vor zwei Jahren installiert und nie wieder angesehen wurde, erfüllt die Richtlinie nicht. Genau hier scheitert es in der Praxis am häufigsten — nicht am Wollen, sondern am Alltag.

Drei Wege haben sich bewährt:

• Selbst dokumentieren: Die KBV stellt Umsetzungshinweise bereit. Für kleine Praxen mit IT-affiner Person machbar, aber pflegeintensiv.
• Einmalige Beratung: Ein Dienstleister bringt die Praxis auf Stand. Das Problem: Sicherheit ist kein Zustand, sondern ein Prozess.
• Laufende Betreuung: Updates, Monitoring und Backups werden dauerhaft übernommen und dokumentiert — die Richtlinie bleibt automatisch erfüllt.

Unsere IT-Pakete für Arztpraxen sind genau auf diese Pflichten zugeschnitten: Virenschutz, tägliches Backup, Update-Management und Geräteschutz laufen im Hintergrund, dokumentiert und prüfbar. Wie sicher Ihre Praxis heute schon ist, zeigt Ihnen in zwei Minuten unser kostenloser Technikcheck.

Häufige Fragen

Gilt die KBV IT-Sicherheitsrichtlinie für jede Praxis?

Ja. Sie ist für alle an der vertragsärztlichen und -psychotherapeutischen Versorgung teilnehmenden Praxen verbindlich — unabhängig von der Größe. Nur der Umfang der Pflichten richtet sich nach der Praxisgröße.

Was passiert, wenn ich die Anforderungen nicht erfülle?

Die Einhaltung kann stichprobenartig geprüft werden. Wichtiger als formale Konsequenzen ist das reale Risiko: Ohne Schutzmaßnahmen drohen Datenverlust, Praxisausfall und DSGVO-Verstöße bei einem Angriff.

Brauche ich dafür einen externen IT-Dienstleister?

Nicht zwingend — aber empfehlenswert. Ab einer mittleren Praxisgröße verlangt die Richtlinie laufende technische Maßnahmen, die ohne IT-Partner kaum dauerhaft sicher umzusetzen sind.