Die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung gilt für jede Praxis, die gesetzlich Versicherte behandelt. Sie ist keine Empfehlung, sondern eine Pflicht nach § 390 SGB V (früher § 75b). Die aktuelle Fassung gilt seit dem 1. April 2025, die neuen Anforderungen sind seit dem 1. Oktober 2025 umzusetzen. Diese Checkliste führt Sie Anlage für Anlage durch die Richtlinie, damit Sie wissen, was in Ihrer Praxis bereits erfüllt ist und was noch fehlt.

Welche Anlagen für Ihre Praxis gelten

Die Richtlinie staffelt die Anforderungen nach Praxisgröße. Gezählt werden nicht Umsatz oder Behandlungsfälle, sondern die Personen, die ständig mit der Datenverarbeitung betraut sind. Teilzeitkräfte zählen dabei voll.

Bis 5 Personen: Anlage 1 (Grundanforderungen) gilt ausnahmslos.
6 bis 20 Personen: Anlage 1 und Anlage 2 (mittlere Praxis).
Über 20 Personen: Anlage 1, 2 und 3 (Großpraxis, Groß-MVZ, Labore mit erheblichem Datenverkehr).
Zusätzlich für alle: Anlage 5 (Telematikinfrastruktur), sobald ein Konnektor im Einsatz ist. Für Praxen mit medizinischen Großgeräten wie CT oder MRT gilt außerdem Anlage 4.

Checkliste Anlage 1: Grundanforderungen für jede Praxis

Diese Punkte gelten auch für die kleinste Einzelpraxis. In den meisten Erstgesprächen fehlen zwei bis vier davon.

Auf allen Rechnern läuft ein aktuelles Betriebssystem mit Herstellersupport. Windows 10 ohne erweiterten Support fällt seit Oktober 2025 durch.
Updates für Betriebssystem, Praxissoftware und Browser werden zeitnah eingespielt, und es gibt jemanden, der das verantwortet.
Ein Virenschutz ist auf allen Endgeräten aktiv und wird zentral oder nachweisbar aktualisiert.
Jede Person meldet sich mit einem eigenen Benutzerkonto an. Kein Praxis-Sammelpasswort, keine geteilten Anmeldungen an der Rezeption.
Bildschirme sperren sich automatisch, wenn der Arbeitsplatz verlassen wird.
Mobile Geräte wie Smartphones und Tablets mit Praxisdaten sind verschlüsselt und mit Bildschirmsperre geschützt. Private Apps und Praxis-Apps sind getrennt.
Die Datensicherung läuft täglich, liegt außerhalb des Praxisservers und wurde in den letzten zwölf Monaten mindestens einmal testweise zurückgespielt.
Das Praxisteam wurde zur Informationssicherheit eingewiesen und wird regelmäßig geschult. Diese Pflicht ist seit 2025 neu und gilt für alle Praxisgrößen.
Es gibt eine schriftliche Regelung, wer im Notfall was tut: bei Ausfall des Servers, bei Verdacht auf Verschlüsselungstrojaner, bei verlorenem Gerät.

Checkliste Anlage 2: mittlere Praxen ab 6 Personen

Das Netzwerk ist dokumentiert: Welche Geräte hängen wo, welche Rechner sprechen mit welchen Systemen.
Das Netzwerk ist segmentiert. Gesundheitsdaten sind seit Oktober 2025 von weniger kritischen Systemen zu trennen, also Praxisserver und Medizingeräte getrennt von Gäste-WLAN, Drucker und Verwaltung.
Der Zugriff von außen, etwa für Fernwartung oder Homeoffice, läuft nur über gesicherte Verbindungen mit Zwei-Faktor-Anmeldung.
Sicherheitsrelevante Ereignisse werden protokolliert: Anmeldungen, Fehlversuche, Änderungen an Berechtigungen.
Wechseldatenträger wie USB-Sticks sind geregelt, im Zweifel gesperrt.
Es gibt eine Übersicht, welche Software mit welchen Berechtigungen auf welchen Rechnern installiert ist.

Checkliste Anlage 3: Großpraxen und MVZ ab 21 Personen

Ein Informationssicherheitsmanagement ist eingeführt, mit schriftlichen Regelungen, festen Verantwortlichen und turnusmäßiger Überprüfung.
Protokolle laufen zentral zusammen und werden ausgewertet, nicht nur gesammelt.
Mobile Geräte werden über ein Mobile Device Management verwaltet: Verschlüsselung, Sperrung und Fernlöschung sind zentral möglich.
Wechseldatenträger sind verschlüsselt.
Die KBV empfiehlt für diese Größe ausdrücklich externe IT-Spezialisten. Die Rolle muss vertraglich und in der Dokumentation benannt sein.

Checkliste Anlage 5: Telematikinfrastruktur

Die TI wird bei Prüfungen regelmäßig übersehen, weil sie „vom Hersteller eingerichtet" wurde. Die Verantwortung bleibt aber bei der Praxis.

Der Konnektor läuft mit aktueller Firmware und wird überwacht. Sein Laufzeitende ist bekannt und der Austausch geplant.
Der Konnektor ist im Netzwerk so platziert, dass er nicht aus dem Gäste-WLAN erreichbar ist.
Kartenterminals sind gegen unbefugten Zugriff gesichert, PINs sind nicht am Gerät notiert.
eHBA und SMC-B haben ein bekanntes Ablaufdatum, die Nachbestellung ist terminiert.
KIM-Postfächer sind personenbezogen eingerichtet, die Zugangsdaten liegen nicht in der Praxissoftware im Klartext.

Der häufigste Fehler: Technik ohne Nachweis

Nach unserer Erfahrung scheitern Praxen bei einer Prüfung selten an der Technik. Backup, Virenschutz und Updates laufen meist irgendwie. Was fehlt, ist die Dokumentation: Wer hat wann welche Maßnahme umgesetzt, wie wird sie geprüft, wo steht das? Die Richtlinie verlangt Nachweise, keine Absichten. Legen Sie deshalb für jede Anlage einen kurzen Ordner an, digital oder auf Papier, mit Datum, Maßnahme und Verantwortlichem. Das dauert bei einer kleinen Praxis einen Nachmittag und spart im Prüfungsfall Wochen.

Was die Richtlinie nicht abdeckt

Eine Praxis, die alle Pflichtanforderungen erfüllt, ist damit noch nicht gegen einen gezielten Verschlüsselungsangriff gewappnet. Die Richtlinie ist ein Mindeststandard, keine Sicherheitsstrategie. Getestete Wiederherstellung, Überwachung der Systeme rund um die Uhr und ein Notfallplan mit Ersatzarbeitsplätzen gehören dazu, auch wenn sie in keiner Anlage stehen.

So gehen wir bei der Umsetzung vor

Wir gleichen Ihre Praxis Anlage für Anlage gegen die Richtlinie ab, schließen die Lücken in der Technik und übergeben eine Dokumentation, die einer Prüfung durch die KV standhält. Das geht zu großen Teilen per Fernwartung, Vor-Ort-Termine planen wir für Netzwerk und Hardware. Mehr dazu auf unserer Seite IT-Sicherheit für Arztpraxen. Wenn Sie beim Durchgehen der Checkliste an einem Punkt hängen bleiben, sprechen wir ihn gern gemeinsam durch, kostenlos und ohne Verpflichtung.

KBV-IT-Sicherheitsrichtlinie: Checkliste für Ihre Praxis