IT‑Sicherheit in Arztpraxen: Warum jetzt handeln lebenswichtig ist

IT‑Sicherheit in Arztpraxen ist längst kein Luxus mehr – sie ist essenziell zum Schutz sensibler Patientendaten und zur Aufrechterhaltung des Praxisalltags. In den letzten Jahren hat sich gezeigt, dass einfache technische Schwächen, organisatorische Lücken und ungenügend geschulte Teams zu echten Gefahren werden können. Drei Studien des BSI zeichnen ein klares Bild - und das neue Online-Tool von praxis‑check.net hilft Ärztinnen und Ärzten, die wichtigsten Risiken schnell zu erkennen.

Inhalt

1. Warum IT‑Sicherheit für Praxen unabdingbar ist
2. Aktuelle BSI-Studien im Überblick
   1. SiRiPrax: Richtlinie häufig unzureichend umgesetzt
   2. CyberPraxMed: Konkrete Schwachstellen vor Ort
   3. BSI-Lagebericht zur Cybersicherheit – Bedrohungen wachsen rasant
   4. Zusätzliche Studien und Marktanalysen
3. Neue Richtlinie: Was sich ab Oktober 2025 ändert
4. Wachsende Bedrohungslage: Zahlen, Taktiken, Realitäten
5. Warum Praxen häufig nicht reagieren
6. Digital leichter Überblick: Praxis‑IT‑Check von praxis‑check.net
7. Fazit: Sicherheit als integraler Bestandteil moderner Praxis

Warum IT‑Sicherheit für Praxen unabdingbar ist

Der Alltag in einer Arztpraxis ist geprägt von sensiblen Daten. Patientenakten, Diagnosen, Rezepte, Abrechnungen – all das wird digital verwaltet. Und wo Daten digital gespeichert werden, lauern Risiken: Datenverluste, Angriffe durch Schadsoftware, Phishing oder sabotierte Systeme können nicht nur Datenschutzverletzungen verursachen, sondern direkt die medizinische Versorgung stören. Blutanalysen, Notfallabläufe, Rezeptausstellung – wenn das IT-System ausfällt, steht die Praxis still und Leben können gefährdet sein. Zudem wird IT-Sicherheit in Deutschland zunehmend zur regulatorischen Pflicht – ab Oktober 2025 zwingend für alle Praxen –, die bei Nichtbeachtung auch Sanktionen und Verspätungen bei Abrechnungen nach sich ziehen kann.

Aktuelle BSI‑Studien im Überblick

Das BSI hat im Frühjahr 2024 drei Studien veröffentlicht, die Licht auf die Lage in deutschen Praxen werfen und Maßnahmen zur Verbesserung aufzeigen.

SiRiPrax: Richtlinie häufig unzureichend umgesetzt

In der breit angelegten SiRiPrax-Studie wurden rund 1.600 Arztpraxen befragt, wie sie die IT‑Sicherheitsrichtlinie nach § 75b SGB V umsetzen. Nur etwa ein Drittel hält alle Vorgaben vollständig ein. Rund 60 % beschreiben die Richtlinie als zu kompliziert oder praxisfern. Besorgniserregend: Zehn Prozent geben an, bereits IT‑Sicherheitsvorfälle erlebt zu haben.

Interessanterweise zeigt die Auswertung, dass Praxen mit einem klar benannten IT‑Sicherheitsverantwortlichen (intern oder extern) deutlich bessere Ergebnisse erzielen – sowohl technisch als auch organisatorisch.

Mehr zur SiRiPrax-Studie beim BSI

CyberPraxMed: Konkrete Schwachstellen vor Ort

Die CyberPraxMed-Studie nahm 16 Praxen genauer unter die Lupe – mit teils alarmierendem Ergebnis. Keine einzige Praxis nutzte Festplattenverschlüsselung, Backups wurden oftmals gar nicht durchgeführt oder nicht regelmäßig getestet. Häufig ist der Konnektor zur Telematikinfrastruktur ohne Netzwerksegmentierung mit dem Internet verbunden, wodurch ein elementarer Sicherheitsmechanismus wirkungslos bleibt. Anti-Malware, Patch‑Management, Passworthygiene – in fast allen Bereichen bestanden wesentliche Mängel.

Methaphorisch gesprochen: In vielen Praxen fährt man ohne Sicherheitsgurt – bis zum Crash.

BSI-Lagebericht zur Cybersicherheit – Bedrohungen wachsen rasant

Neben den spezifischen Studien wie SiRiPrax und CyberPraxMed warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) im aktuellen Lagebericht zur IT-Sicherheit in Deutschland eindringlich vor der dynamisch wachsenden Bedrohungslage – besonders im Gesundheitswesen.

Im Bericht 2024 heißt es wörtlich:

„Der Gesundheitssektor gehört zu den besonders gefährdeten Bereichen der Kritischen Infrastrukturen. Die Angriffsintensität hat sich im Vergleich zum Vorjahr weiter erhöht. Insbesondere Ransomware-Gruppen haben gezielt Praxen, Krankenhäuser und Labordienstleister ins Visier genommen.“

Wichtige Zahlen aus dem BSI-Bericht:

• Über 70 % der erfolgreichen Angriffe auf Gesundheitseinrichtungen in Deutschland begannen mit Phishing- oder Social-Engineering-Mails.

• Rund 90 neue Schwachstellen pro Woche wurden 2024 im Schnitt dokumentiert – viele davon betreffen gängige Betriebssysteme, Praxissoftware und Geräte im IoT-Umfeld.

• IoMT (Internet of Medical Things) wird als besonders risikobehaftet eingestuft – also medizinische Geräte, die mit dem Praxisnetz verbunden sind und häufig veraltete Software nutzen.

Der BSI-Bericht macht klar: IT-Sicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Arztpraxen werden als attraktive, aber schlecht geschützte Ziele wahrgenommen – das macht sie besonders verwundbar.

👉 Zum BSI-Lagebericht 2024

Zusätzliche Studien und Marktanalysen

Eine Reihe branchenweiter Untersuchungen zeigen, dass das Gesundheitswesen europaweit besonders im Fokus von Cyberkriminellen steht. 2023 wurden laut Europäischer Kommission über 300 Cybersicherheitsvorfälle im Gesundheitssektor verzeichnet – mehr als in jedem anderen kritischen Industriebereich. 54 % davon waren Ransomware-Attacken. Analysen aus Deutschland unter dem Rahmen der NIS2-Richtlinie zeigen zudem: Selbst mittelgroße Praxen mit 50 bis 250 Mitarbeitenden müssen mit hoher Wahrscheinlichkeit NIS2-konform arbeiten – und das Gesundheitswesen im Allgemeinen gehört zu den am stärksten gefährdeten Bereichen.

Neue Richtlinie: Was sich ab Oktober 2025 ändert

Mit der überarbeiteten IT-Sicherheitsrichtlinie, die im April 2025 verabschiedet wurde, bringt die Kassenärztliche Bundesvereinigung (KBV) gemeinsam mit der gematik und dem BSI erstmals eine praxisnahe, strukturierte Vorgabe für den Umgang mit IT in Arztpraxen auf den Weg. Ziel ist es, Praxen nicht mehr mit abstrakten Anforderungen allein zu lassen, sondern umsetzbare Mindeststandards zu schaffen – abgestimmt auf Praxisgröße, technische Ausstattung und IT-Betreuung.

Ab dem 1. Oktober 2025 gilt die neue Richtlinie verbindlich für alle Vertragsarztpraxen in Deutschland. Sie ersetzt frühere Empfehlungen und bringt konkrete, überprüfbare Anforderungen mit sich:

• Regelmäßige Schulungen des gesamten Teams zu IT-Sicherheit und Datenschutz – auch für MFAs.

• Benennung eines IT-Sicherheitsverantwortlichen – das kann ein interner Ansprechpartner oder ein externer Dienstleister sein.

• Verpflichtende technische Sicherheitsmaßnahmen, darunter Firewall, Antivirensoftware, regelmäßige Sicherheitsupdates, verschlüsselte Festplatten und getestete Backups.

• Getrennte Netzwerksegmente für den TI-Konnektor und den Internetzugang – ein Schutzmechanismus, der in vielen Praxen laut BSI-Studien bislang fehlt.

• Ein Notfall- und Wiederanlaufplan, der dokumentiert, wie bei einem IT-Ausfall vorzugehen ist – inklusive Ansprechpartner, Notfallzugriffen und Kommunikationswegen.

Die neue Richtlinie verfolgt einen modularen Aufbau, der zwischen kleinen, mittleren und großen Praxen differenziert. Damit sollen unnötige Belastungen vermieden werden – zugleich werden aber auch Mindeststandards eingefordert, die essenziell für Patientensicherheit und Datenintegrität sind.

👉 Zur offiziellen Übersicht der IT-Sicherheitsrichtlinie auf kbv.de

Wachsende Bedrohungslage: Zahlen, Taktiken, Realitäten

Die IT-Bedrohungslage im Gesundheitswesen verschärft sich rasant. Laut Health-ISAC wurden 2024 allein in Krankenhäusern über 450 Ransomware- und KI-gesteuerte Angriffe verzeichnet. Besonders aktive Gruppen wie LockBit standen hinter zahlreichen Attacken. 70 % aller Angriffe auf das Gesundheitswesen beinhalten Ransomware, die meist über Phishing, Social Engineering und offene Remote Desktop Protocol (RDP)-Portale eingeschleust wird

KI spielt eine immer größere Rolle: Generative Modelle erleichtern phisherischen Angriffen, tiefe Fälschungen (Deepfakes) täuschen sogar Stimmen und Bildinhalte vor, um manuelles Nachfragen wirksam zu umgehen. Das BSI warnt, dass KI es Cyberkriminellen ermöglicht, schneller und gezielter Schreibstile, Social Engineering und Schadcode zu entwickeln.

Auch Internet of Medical Things (IoMT), also vernetzte medizinische Geräte, sind gefährdet. Mitunter laufen sie auf veralteter Software und bieten Zugriffspunkte, die kaum überwacht oder geschützt werden. Angreifer nutzen diese „Medjack“-Lücken, um tief in das Praxisnetz einzudringen – und dort längere Zeit unbemerkt zu agieren.

Schon ein kleiner Vorfall kann große Wirkung entfalten: Eine manipulierte Patientenakte, verschobene Laborwerte oder lahmgelegte Terminvergaben bedeuten unmittelbar realen Schaden – bis hin zum Lebensrisiko bei Notfällen.

Warum Praxen häufig nicht reagieren

So gravierend die Risiken auch sind – in der Praxis fehlt oft die Umsetzung. Es hapert nicht am Willen, sondern an strukturellen und personellen Hürden. Der Praxisbetrieb ist hektisch, IT ist für viele Ärztinnen und MFA ein Nebenschauplatz. Technische Begriffe wirken abstrakt, und selbst die neuen Richtlinien erscheinen Vielen komplex oder bürokratisch. Interne Zuständigkeiten fehlen, und externe Dienstleister können gut, aber oft nur gegen hohe Kosten Prozesse abbilden. Die Folge: Viele Sicherheitsschritte werden verschleppt oder bleiben unvollständig.

Hinzu kommt, dass Routinezyklen und Backup-Tests selten überprüft werden – bis im Ernstfall das System ausfällt. Häufig wird IT-Sicherheit als reine Kostenstelle gesehen, nicht als Investition in Stabilität und Patientenvertrauen.

Digital leichter Überblick: Praxis‑IT‑Check von praxis‑check.net

Um Praxen auf einfachem Weg zu helfen, hat praxis-check.net den digitalen Praxis-IT-Check entwickelt. In wenigen Minuten beantwortet eine Praxis Fragen zu ihrer IT-Infrastruktur, Sicherheitskonfiguration, Backup-Strategie, Dokumentation und Mitarbeiter-Schulung. Am Ende steht ein individueller Bericht mit konkreten Empfehlungen, priorisiert nach Dringlichkeit und Aufwand. Dabei orientiert sich das Tool an aktuellen gesetzlichen Vorgaben – inklusive der neuen Richtlinie ab Oktober 2025.

Der Praxis-IT-Check ist bewusst kein technischer Audit, sondern ein leicht zugänglicher Einstieg. Er hilft dabei, Verantwortliche in der Praxis zu sensibilisieren und verlässlich aufzuzeigen, wo Handlungsbedarf besteht – egal, ob die Praxis allein handelt oder externe Hilfe hinzuzieht.

👉 Jetzt den Praxis-IT-Check durchführen

Fazit: IT‑Sicherheit gehört zum Praxis-Know-how

IT-Sicherheit ist kein exotisches Thema für Technik-Profis mehr – sie ist zentraler Bestandteil einer verantwortungsvollen, modernen Praxisführung. Die Studien des BSI zeigen deutlich: Mängel sind verbreitet, Bedrohungen steigen schnell, Vorfälle schon längst Realität. Die neue Richtlinie schafft strukturelle Vorgaben, doch der Schlüssel liegt im konkreten Umsetzen.

Mit dem Praxis‑IT‑Check von praxis‑check.net können Praxen selbst die ersten Schritte gehen – fundiert, praxisnah und individuell. Wer heute reagiert, schützt morgen Patientendaten, Praxisbetrieb und Vertrauen. Und stärkt so nicht nur die eigene Praxis, sondern auch die Sicherheit im gesamten Gesundheitswesen.