2026-03-05 19:54

von Ludwig Mader

(Kommentare: 0)

Neue Cybersicherheitsregeln für Praxen: Ihre 90-Tage-Agenda nach § 390 SGB V

Inhalt

Die Spielregeln für IT-Sicherheit in Arztpraxen haben sich geändert:

§ 390 SGB V ersetzt § 75b SGB V und ordnet Cybersicherheit, Nachweise und Verantwortlichkeiten neu.
In diesem kompakten Leitfaden erfahren Sie, was das konkret für kleine und mittlere Praxen bedeutet – verständlich erklärt, mit einem 2‑Stufen‑Plan für die nächsten 90 Tage.

Wir zeigen, wie Sie Zugriffe, Passwörter, Updates sowie Backups und Wiederherstellung praxistauglich organisieren, welche Nachweis- und Meldepflichten zu beachten sind und wie sich Informationssicherheit in Ihr QM integrieren lässt.
Zusätzlich erhalten Sie Checklisten und Hinweise zu TI, Datenschutz und pragmatischer Unterstützung – von CyberRisiko-Check nach DIN SPEC 27076 bis zur Orientierung an ISO 27001/BSI‑Grundschutz. Lesen Sie weiter, um Cyber Security Resilienz gezielt aufzubauen und Ihre Praxis sicher, compliant und auditbereit aufzustellen.

Neuordnung verständlich erklärt: § 390 SGB V ersetzt § 75b SGB V

Was ist passiert?

⦿ § 75b SGB V war die Rechtsgrundlage für IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Darauf basierte die IT-Sicherheitsrichtlinie der KBV, die Mindestanforderungen für Praxen definierte (u. a. technische und organisatorische Maßnahmen, Dokumentation)

⦿ § 75b SGB V wird aufgehoben und durch § 390 SGB V ersetzt zum Stichtag 01. April 2025. Damit verlagert der Gesetzgeber die Vorgaben zur Cybersicherheit in eine neue Systematik innerhalb des SGB V

⦿ Ziel der Neuordnung ist eine klarere, einheitliche Regelung der Cybersicherheitsanforderungen für Leistungserbringer, einschließlich Arztpraxen. Die bisherige Rolle von Richtlinien (z. B. KBV-IT-Sicherheitsrichtlinie) bleibt als Umsetzungsrahmen relevant, muss aber an die neue Rechtsgrundlage angepasst werden.

Was bedeutet das für Praxen?

Adressiert sind weiterhin Vertragsärztinnen und -ärzte, Berufsausübungsgemeinschaften sowie Medizinische Versorgungszentren.
Die Pflichten liegen bei der Praxisleitung, die als verantwortliche Stelle die Informationssicherheit steuert und nachweisbar organisiert.

Inhaltlich bleibt der Rahmen auf einem klaren Niveau: Es geht um angemessene technische und organisatorische Maßnahmen, eindeutig geregelte Zuständigkeiten sowie eine schlanke, belastbare Dokumentation und Nachweisführung. Schnittstellen zum Datenschutz (DSGVO/BDSG) und zur Telematikinfrastruktur (TI) sind dabei mitzudenken.

Für den Übergang gilt bis zum 01. Oktober 2025: Mit Inkrafttreten von § 390 SGB V sind dessen Anforderungen maßgeblich. Bereits etablierte Maßnahmen aus § 75b SGB V beziehungsweise der KBV-IT-Sicherheitsrichtlinie können, soweit inhaltlich deckungsgleich, weiter genutzt und schrittweise auf § 390 SGB V ausgerichtet werden.

Rückblick: Wofür stand § 75b SGB V – und was davon bleibt sinnvoll?

Worum es bei § 75b SGB V ging

Die § 75b SGB V sollte sicherstellen, dass Arzt- und Zahnarztpraxen ihre IT so betreiben, dass Behandlung und Patientendaten zuverlässig geschützt sind. Dazu wurden KBV und KZBV verpflichtet, eine verbindliche IT-Sicherheitsrichtlinie zu erlassen – mit klaren, praxistauglichen Vorgaben. Adressiert waren Vertragsärztinnen und -ärzte, Berufsausübungsgemeinschaften sowie MVZ; die Gesamtverantwortung lag bei der Praxisleitung.
Wichtig hierbei: Die Anforderungen waren nach Praxisgröße gestaffelt (klein, mittel, groß), um kleinere Praxen nicht zu überfordern.

Was Praxen daran konkret schätzten

Die Richtlinie gab schnelle Orientierung: Was ist mindestens zu tun? Antworten ließen sich direkt in den Alltag überführen – von sauberer Benutzerverwaltung über regelmäßige Backups bis zu planbaren Updates.

Maßnahmen waren nachvollziehbar dokumentierbar und bei Rückfragen der KV oder anderer Partner vorzeigbar.

Das Ergebnis im Betrieb: weniger Ausfälle, weniger Kosten und besserer Schutz sensibler Daten.

Was davon weiterhin sinnvoll bleibt (anschlussfähig an § 390 SGB V)

Bewährt hat sich, Zuständigkeiten klar zu benennen und eine Vertretung zu regeln.

- Einfache Zugriffsregeln – persönliche Konten, starke Passwörter, zügige Deaktivierung bei Austritten – bleiben ebenso wirksam wie regelmäßige Aktualisierungen und abgesicherte Fernzugriffe.

- Tägliche, geschützte Datensicherungen mit gelegentlichem Wiederherstellungstest schaffen Resilienz.

- Kurze Praxisanweisungen zu Passwörtern, Updates, Backups und Notfällen sowie eine geordnete Nachweisablage halten die Dinge handhabbar.

- Regelmäßige Kurzschulungen binden das Team ein, und klar vereinbarte Leistungen mit IT-Dienstleistern sorgen dafür, dass Reaktionszeiten und Verantwortungen im Ernstfall stimmen.

Diese Prinzipien lassen sich nahtlos auf die Vorgaben des § 390 SGB V übertragen.

§ 390 SGB V auf den Punkt

§ 390 SGB V auf den Punkt bringt Klarheit in die Verantwortungen und Nachweise rund um Cybersicherheit in der Praxis.
Ziel ist ein schlanker, gut nachvollziehbarer Rahmen, der sich in den Alltag integrieren lässt – unabhängig davon, ob Ihre Praxis klein, mittel oder groß ist.
Die folgenden Kernpunkte zeigen, worauf es ankommt und wo Sie ansetzen können.

Klare Verantwortlichkeit in der Praxisleitung

Eine Person muss den Hut aufhaben – und die Aufgaben müssen eindeutig verteilt sein. So bleiben Entscheidungen schnell und Nachweise stimmig.

⦿ Verantwortung bündeln: Die Praxisleitung trägt die Gesamtverantwortung für Cybersicherheit und legt fest, wer die operative Umsetzung steuert (benannte Ansprechperson, Vertretung geregelt)

⦿ Zuständigkeiten schriftlich festhalten: Aufgaben zwischen Praxisleitung, Praxismanagement und IT-Dienstleister klar verteilen (z. B. Updates, Backups, Benutzerverwaltung, Störungsmanagement)

⦿ Ressourcen sichern: Ausreichend Zeit, Budget und externe Unterstützung für erforderliche Schutzmaßnahmen bereitstellen

⦿ Verträge präzisieren: Mit IT-Dienstleistern Sicherheitsleistungen, Reaktionszeiten und Verantwortlichkeiten eindeutig vereinbaren und dokumentieren

Nachweis- und Meldepflichten

Dokumentation ist kein Selbstzweck: Sie macht Maßnahmen prüfbar und hilft im Ernstfall, strukturiert zu handeln.

⦿ Nachweise führen: Wichtige Maßnahmen kurz dokumentieren (z. B. Backup- und Wiederherstellungsprotokolle, Update-/Patch-Stand, Schulungslisten, Rechteprüfungen, Störungs- bzw. Vorfallsjournal)

⦿ Vorfälle geordnet behandeln: Sicherheitsvorfälle intern erfassen, bewerten und Schritte zur Wiederherstellung dokumentieren; aus Vorfällen lernen (kurze Nachbetrachtung)

⦿ Meldewege beachten: Je nach Art und Ausmaß eines Vorfalls können Meldungen notwendig sein (z. B. Datenschutzaufsichtsbehörde bei Datenpannen nach DSGVO). Konkrete Schwellenwerte/Fristen sind rechtssicher zu prüfen und im Notfallplan zu hinterlegen

Bezug zu TI, Datenschutz und Qualitätsmanagement

Cybersicherheit wirkt nicht isoliert. Sie greift in bestehende Pflichten hinein – von TI-Betrieb über Datenschutz bis zum gelebten QM.

⦿ Telematikinfrastruktur (TI): Praxis-IT und TI-Komponenten müssen bestimmungsgemäß betrieben und aktuell gehalten werden (z. B. Konnektor, Kartenlesegeräte, PC's). Sicherheitsvorgaben der zuständigen Stellen sind umzusetzen

⦿ Datenschutz (DSGVO/BDSG): § 390 SGB V ergänzt den Datenschutz; beides greift ineinander. In der Umsetzung heißt das: nur berechtigte Zugriffe, so wenig Daten wie nötig, sichere Übermittlung, schnelle Reaktion bei Datenpannen

⦿ Qualitätsmanagement (QM): Cybersicherheit wird Teil des gelebten QM. Relevante Anweisungen (z. B. Passwörter, Updates, Backups, Notfälle) gehören ins QM-Handbuch; Zuständigkeiten und Nachweise dort auffindbar. So bleiben Prüfungen und interne Kontrollen übersichtlich

Praxisalltag: Was ändert sich konkret?

Die neuen Anforderungen lassen sich mit wenigen, festen Routinen in den Alltag integrieren. Ziel ist ein sicherer, stabiler Betrieb ohne komplizierte Technik.
Die folgenden Punkte zeigen, worauf es jetzt ankommt.

Zugriffe, Passwörter, Updates

Ein klar geregelter Zugang und aktuelle Systeme sind die wichtigste Basis.

⦿ Persönliche Zugänge: Jede Person nutzt ein eigenes Benutzerkonto. Gemeinsame Passwörter werden abgeschafft. Austritte sofort sperren

⦿ Starke Anmeldung: Lange Passwörter oder Passphrasen verwenden; wo möglich Mehrfaktor-Login (z. B. für Remote‑Zugriffe und KIM)

⦿ Rechte nur nach Bedarf: Behandlungen dokumentieren ja – Administratorrechte nur für wenige, klar benannte Personen

⦿ Update-Routine: Praxissoftware, Betriebssysteme und TI‑Komponenten regelmäßig aktualisieren. Zuständigkeiten und Zeitfenster festlegen (wer prüft, wer spielt ein, wann wird neu gestartet)

⦿ Sicherer Fernzugriff: Nur über abgesicherte Verfahren (z. B. VPN) und mit Protokollierung. Fernwartung durch Dienstleister nur nach Freigabe

Backups und Wiederherstellung

Regelmäßige Datensicherung und ein geübter Wiederanlauf sichern den Betrieb – auch im Notfall.

⦿ Tägliche Sicherung: Praxisdaten täglich sichern, verschlüsselt und mindestens eine Kopie getrennt vom Praxisnetz aufbewahren

⦿ Wiederherstellung testen: Einmal pro Quartal eine Probe‑Wiederherstellung durchführen und kurz dokumentieren (Datum, Ergebnis, Dauer)

⦿ Klarer Ablauf im Notfall: Wer ruft wen an? Welche Systeme werden zuerst wiederhergestellt (Praxissoftware, Bildgebung, Mail/KIM)? Diese Reihenfolge schriftlich festhalten

⦿ Aufbewahrungsfristen beachten: Sicherungen nicht zu früh überschreiben; Zeiträume im Team abstimmen (medizinische Dokumentation und rechtliche Vorgaben im Blick behalten)

Dokumentation, Schulungen, Dienstleister

Kurze, auffindbare Regeln und klare Rollen sorgen für Nachvollziehbarkeit und Tempo im Ernstfall.

⦿ Kurz und schriftlich: Eine knappe Praxisanweisung zu Passwörtern, Updates, Backups und Vorfällen reicht – wichtig ist, dass sie aktuell und auffindbar ist

⦿ Nachweise sammeln: Liste der Benutzer und Rechte, Update‑Protokolle, Backup‑ und Restore‑Nachweise, Vorfallsnotizen. Einheitliche Ablage (digitaler „Auditordner“)

⦿ Klare Rollen mit IT‑Dienstleistern: Verträge und Leistungsbeschreibungen so formulieren, dass Verantwortungen eindeutig sind (z. B. wer patcht, wer überwacht Backups, Reaktionszeiten im Störfall)

⦿ Zugänge für Dienstleister: Zeitlich begrenzte, personengebundene Zugänge; Fernwartung nur nach Freigabe, mit Protokoll

⦿ Datenschutz und TI mitdenken: Bei Auftragsverarbeitung (Dienstleister) die notwendigen Vereinbarungen schließen; Vorgaben der Telematikinfrastruktur (z. B. für Konnektor und Kartenleser) einhalten und Status regelmäßig prüfen

Hinweis

Diese Maßnahmen unterstützen die Erfüllung der neuen Anforderungen nach § 390 SGB V und bleiben bewusst pragmatisch, damit sie sich in den Praxisalltag integrieren lassen.
Wo gesetzliche Detailvorgaben (z. B. Fristen und Meldewege) relevant sind, sollten diese in Ihrem Notfall‑ und Meldeplan konkret verlinkt werden.

Kleine Praxen: 2‑Stufen‑Plan nach § 390 SGB V

Mit diesem 2‑Stufen‑Plan sichern Sie in 30 Tagen die Basis und schaffen bis Tag 90 schlanke Nachweise – ohne zusätzliche Komplexität.

Stufe A (0–30 Tage): Schnell absichern

⦿ Basis klären: Zuständigkeiten, Kontenbereinigung, MFA wo möglich

⦿ Gesamtverantwortung liegt bei der Praxisleitung; eine Ansprechperson für IT/Informationssicherheit benennen, Vertretung regeln

⦿ Benutzerliste prüfen und bereinigen: persönliche Konten, keine geteilten Passwörter, ausscheidende Personen sofort sperren

⦿ Mehrfaktor-Anmeldung (MFA) aktivieren, wo verfügbar (z. B. Remote-Zugriff, KIM, Praxissoftware mit MFA-Option)

⦿ Tägliche, verschlüsselte Datensicherung einrichten; mindestens eine Sicherung getrennt vom Praxisnetz aufbewahren

⦿ Ein Probe-Backup zurückspielen (Stichprobe) und kurz dokumentieren

⦿ Systeme aktualisieren: Updates/Patches für Praxis‑IT und TI

⦿ Betriebssysteme, Praxisverwaltung, Antivirenschutz und relevante Geräte aktualisieren

⦿ TI‑Komponenten (Konnektor, Kartenterminals, KIM‑Client) auf aktuellen Stand prüfen; veraltete Versionen zeitnah aktualisieren

⦿ Team sensibilisieren: 30‑Minuten‑Kurzschulung, Teilnahme dokumentieren

⦿ Kurze Merkhilfen im Teamraum/Intranet bereitstellen

Stufe B (31–90 Tage): Ordnung und Nachweis

⦿ Kurzrichtlinie Informationssicherheit erstellen

⦿ Kompakt regeln: Zugriffsregeln, Passwortvorgaben, Update- und Backup‑Routine, Fernzugriffe, Umgang mit Vorfällen

⦿ Notfall‑ und Meldeplan festhalten (Kontaktkette, Fristen)

⦿ Kontaktliste: interne Verantwortliche, IT‑Dienstleister, ggf. Datenschutzbeauftragte/r, KV/KZV‑Kontakt, Hersteller‑Hotlines

⦿ Hinweis auf externe Meldewege (z. B. Datenschutzaufsicht bei Datenpannen, TI‑Störungen). Konkrete Fristen und Stellen praxisindividuell ergänzen

⦿ Dienstleister regeln: Leistungen, Reaktionszeiten, Verantwortungen

⦿ Leistungsumfang präzisieren: Wer patcht? Wer überwacht Backups? Reaktionszeit im Notfall? Freigabeprozesse für Fernwartung

⦿ Auftragsverarbeitungsvertrag (Datenschutz) prüfen/ergänzen; Ansprechpersonen und Erreichbarkeit festhalten

⦿ Inventar & Mini‑Audit: Geräte‑/Softwareliste, quartalsweiser Check

⦿ Team sensibilisieren: 30‑Minuten‑Kurzschulung, Teilnahme dokumentieren

Hinweis

Die Maßnahmen sind auf kleine Praxen mit überschaubarer IT ausgelegt und unterstützen die Erfüllung der Anforderungen nach § 390 SGB V. Rechtsverbindliche Details (z. B. konkrete Meldefristen und Adressaten) bitte praxisbezogen mit Primärquellen hinterlegen und im Notfallplan verlinken.

Mittlere Praxen: 2‑Stufen‑Plan nach § 390 SGB V

Dieser 2‑Stufen‑Plan setzt auf klare Rollen, priorisierte Risiken und geübte Abläufe – schnell wirksam in 30 Tagen, stabil bis Tag 90.

Stufe A (0–30 Tage): Sofort wirksam

⦿ Rolle benennen: Informationssicherheitsverantwortliche Person

⦿ Praxisleitung bestätigt eine verantwortliche Person für Informationssicherheit; Vertretung festlegen und Kontaktliste aktualisieren

⦿ Aufgaben klar beschreiben: Zugriffsverwaltung, Update-Freigaben, Vorfallskoordination, Nachweisführung

⦿ Administratorrechte auf wenige, namentlich benannte Personen beschränken; Vier-Augen-Prinzip für kritische Änderungen

⦿ MFA verpflichtend für alle Fernzugriffe (z. B. VPN, Remote-Desktop, KIM-Portal); Standardpasswörter eliminieren

⦿ Nutzer- und Rechtebereinigung durchführen (Austritte, Rollenwechsel, temporäre Konten)

⦿ Risiken priorisieren: kritische Systeme und Top‑5‑Risiken (z.B. Praxisverwaltung, Bildgebung/PACS, Laborschnittstellen, TI-Komponenten)

⦿ Kurzbewertung erstellen: Top‑5‑Risiken mit jeweils einer Sofortmaßnahme

⦿ Backup 3‑2‑1: Offline/Immutable‑Kopie, Restore‑Termin

⦿ Monatlichen Wiederherstellungstest terminieren; Protokoll mit Datum, Dauer, Ergebnis ablegen

Stufe B (31–90 Tage): Prozesse festigen