Wie ein sicheres Praxis-Netzwerk 2026 aussehen muss

Ein ganz normaler Morgen in der Praxis: Das PVS startet nicht, die Patientenliste fehlt, kein E-Rezept lässt sich abrufen. Solche Ausfälle sind meist keine Naturkatastrophe, sondern das Ergebnis eines Netzwerks, das über Jahre gewachsen ist, ohne dass jemand noch den vollen Überblick hat.

Seit Oktober 2025 (KBV) bzw. Januar 2026 (KZBV) ist genau das kein Kann mehr, sondern ein Muss: Die IT-Sicherheitsrichtlinie nach §75b/390 SGB V ist für praktisch jede Vertragsarzt- und Zahnarztpraxis verbindlich – rund 99.000 Arzt- und Psychotherapiepraxen sowie 38.000 Zahnarztpraxen sind betroffen.

Nicht NIS-2, sondern §75b/390 SGB V

In vielen Gesprächen taucht zuerst NIS-2 auf – verständlich, das Gesetz war 2025 viel in den Schlagzeilen. Für die allermeisten Praxen ist es aber schlicht nicht einschlägig: NIS-2 (NIS2UmsuCG, seit 6. Dezember 2025 in Kraft) betrifft im Gesundheitswesen nur Einrichtungen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme – also vor allem größere MVZ. Seit 2026 sind deutschlandweit rund 1.000 MVZ erstmals NIS-2-pflichtig.

Für die typische Einzel-, Zweier- oder Dreierpraxis gilt stattdessen die IT-Sicherheitsrichtlinie nach §75b/390 SGB V. Wer sich nicht sicher ist, was für die eigene Praxisgröße gilt, ist damit nicht allein – das lässt sich in einem kurzen Gespräch schnell klären.

Der neue BSI-Kurzleitfaden

Mitte Juli 2026 haben BSI, KBV und KZBV gemeinsam den Kurzleitfaden „Cybersicher im Praxisalltag“ veröffentlicht. Er nennt fünf technische Basismaßnahmen – und stellt daneben ausdrücklich einen sechsten, oft übersehenen Punkt gleichrangig auf: die strukturierte Einarbeitung neuer Mitarbeitender.

1. Regelmäßige Software-Updates – Betriebssystem, PVS und Sicherheitssoftware aktuell halten.
2. Geprüfte und getestete Datensicherung – ein Backup zählt erst, wenn eine Rücksicherung auch tatsächlich funktioniert.
3. Klarer Zugriffsschutz – eigene Benutzerkonten statt Sammel-Logins, starke Passwörter, wo möglich Zwei-Faktor.
4. E-Mail-Sicherheit – Spam- und Phishing-Filter, Sensibilisierung des Teams für gefälschte Anhänge und Links.
5. Prüfung von Cloud-Diensten und Auftragsverarbeitern – wer verarbeitet wo Ihre Daten, und liegt ein gültiger AVV vor?
6. Strukturierte Einarbeitung neuer Mitarbeitender – klare Abläufe für Zugänge, Berechtigungen und Sensibilisierung vom ersten Arbeitstag an, statt „learning by doing“.

Ergänzend stellt das BSI einen Quick-Check zur Selbsteinschätzung und eine IT-Notfallkarte für den Ernstfall bereit – beide kostenlos und eine sinnvolle Ergänzung zu diesem Artikel.

Ein Referenz-Netzwerkmodell für die Praxis

Vereinfacht dargestellt, sollten in einem sicheren Praxis-Netzwerk 2026 mindestens drei Bereiche sauber voneinander getrennt sein: die Telematikinfrastruktur, das eigentliche Praxisnetz mit PVS und Arbeitsplätzen, und das WLAN für Patienten im Wartezimmer.

Entscheidend ist weniger die exakte Umsetzung im Detail als das Prinzip: Ein Ausfall oder eine Infektion in einem Bereich darf nicht automatisch auf die anderen übergreifen. Das Gäste-WLAN hat keinen Zugriff auf den TI-Konnektor, und eine kompromittierte Arbeitsstation reißt nicht das Backup mit in den Abgrund.

Wichtig zur Einordnung, weil es in der Praxis oft für Verwirrung sorgt: Bei der Standardversion von ChatGPT und vergleichbaren KI-Tools, die viele Praxisteams inzwischen nutzen, bietet der Anbieter in der Regel keinen Auftragsverarbeitungsvertrag an. Das ist ein eigenes Thema, das über die reine Netzwerksicherheit hinausgeht – aber es gehört in dieselbe Kategorie: Bevor ein Tool im Praxisalltag zum Standard wird, lohnt sich ein kurzer Blick auf Datenschutz und Vertragslage.

Und jetzt?

Die gute Nachricht: Keine der fünf BSI-Basismaßnahmen erfordert einen kompletten Neuaufbau Ihrer Praxis-IT. Der erste sinnvolle Schritt ist ein ehrlicher Blick auf den Ist-Zustand – welche der drei Netzwerkbereiche sind bei Ihnen aktuell wirklich getrennt, und wo laufen sie noch über denselben Switch?