Befunde, Laborwerte, Patientendaten – kaum eine Datenübertragung in der Praxis ist so sensibel wie die Kommunikation mit dem Labor. Trotzdem läuft sie in vielen Praxen noch über Einzellösungen, die technisch in Ordnung, aber selten wirklich durchdacht sind.
Warum Einzellösungen riskant sind
Wird jede Praxis einzeln und unabhängig an das Labor angebunden, entstehen über die Zeit viele kleine, unterschiedlich gepflegte Verbindungen – unterschiedliche VPN-Clients, unterschiedliche Update-Stände, oft ohne zentrale Übersicht, welche Verbindung eigentlich wie abgesichert ist. Für Angreifer reicht oft die schwächste Stelle in diesem Flickenteppich.
Wie ein zentral verwaltetes Netzwerk funktioniert
Ich betreue den technischen Aufbau und Betrieb eines redundanten VPN-Netzwerks, das heute eine hohe Zahl an Praxen im Umfeld überregionaler Laborverbünde sicher an die Laborkommunikation anbindet. Der entscheidende Unterschied zu Einzellösungen: einheitliche Sicherheitsstandards für alle angebundenen Praxen, zentrales Monitoring mit Zabbix und eigenen Frühwarnsystemen, und eine Netzwerkarchitektur, die auch beim Ausfall einzelner Komponenten nicht zusammenbricht.
Was das für Ihre Praxis bedeutet
Auch eine einzelne Praxis profitiert von denselben Prinzipien: eine sauber segmentierte, überwachte Verbindung zum Labor statt einer Ad-hoc-Lösung, die einmal eingerichtet und danach nie wieder angeschaut wurde. Die Erfahrung aus dem Betrieb großer Netzwerke fließt eins zu eins in die Absicherung einzelner Praxisanbindungen ein.
Und jetzt?
Ein guter Ausgangspunkt ist ein ehrlicher Blick auf die eigene Laboranbindung: Wann wurde sie zuletzt geprüft, und wer hätte im Ernstfall überhaupt den Überblick über den aktuellen Zustand?
Der Konnektor blinkt rot, KIM verschickt keine Nachrichten mehr, die eAU lässt sich nicht abrufen – für viele Praxisteams gehört das zu den unangenehmsten Momenten im Alltag. Die gute Nachricht: In den meisten Fällen lässt sich schnell eingrenzen, ob es an der Praxis liegt oder am TI-Netz selbst.
Erste Schritte zur Eingrenzung
Funktioniert die normale Internetverbindung noch, unabhängig von der TI?
Zeigt der Konnektor über seine Status-LEDs oder das Web-Frontend einen konkreten Fehler an?
Sind alle Arbeitsplätze betroffen, oder nur einer – das grenzt zwischen Netzwerk- und Einzelplatzproblem ein.
Ist das Kartenterminal korrekt verbunden und die eHBA/SMC-B-Karte gesteckt?
Liegt es an der Praxis oder an der TI selbst?
Nicht jede Störung entsteht in der Praxis. Auch die Telematikinfrastruktur selbst hat gelegentlich großflächige Ausfälle, etwa bei einzelnen TI-Diensten oder Anbietern. Ein Blick auf aktuelle Störungsmeldungen der gematik oder des eigenen TI-Anbieters hilft schnell zu klären, ob überhaupt an der eigenen Technik etwas zu tun ist – oder ob nur Abwarten hilft.
Vorbeugen ist besser als reagieren
Ein Großteil der Störungen lässt sich vermeiden oder zumindest früh erkennen, bevor sie den Praxisalltag lahmlegen – durch laufendes Monitoring der Netzwerkkomponenten und ein Frühwarnsystem, das anschlägt, bevor aus einer kleinen Unregelmäßigkeit ein kompletter Ausfall wird. Genau diese Sorgfalt setze ich auch in Netzwerken deutlich größeren Maßstabs um.
Und jetzt?
Wenn TI-Störungen in Ihrer Praxis häufiger vorkommen als Ihnen lieb ist, lohnt sich ein genauerer Blick auf die zugrunde liegende Netzwerkstruktur – oft steckt dahinter ein wiederkehrendes, lösbares Muster statt reinem Pech.
Der Wechsel der Praxisverwaltungssoftware gehört zu den Projekten, die Praxisinhaber am liebsten aufschieben – verständlich, schließlich hängt der komplette Praxisalltag daran. Dabei ist ein gut geplanter Umstieg deutlich unaufgeregter, als sein Ruf vermuten lässt.
Ich begleite Praxen beim Wechsel von nahezu allen gängigen Praxisverwaltungssystemen auf MEDICUSPlus. Was dabei wirklich zählt, sind drei Dinge: eine saubere Datenübernahme, ein realistischer Zeitplan und ein Team, das von Anfang an mitgenommen wird.
Warum Praxen überhaupt wechseln
Meist sind es keine Einzelgründe, sondern eine Summe: ein PVS, das für die eigene Fachrichtung nie ganz gepasst hat, fehlende oder umständliche Schnittstellen zu TI und Labor, steigende Lizenzkosten, oder schlicht ein Anbieter, der spürbar nicht mehr investiert.
So läuft ein Umstieg ab
Bestandsaufnahme: Welche Daten, Schnittstellen und Sonderfälle gibt es aktuell?
Datenübernahme: Patientendaten, Termine und Abrechnungshistorie werden migriert und geprüft.
Parallelbetrieb: Eine Testphase, in der das neue System mitläuft, ohne den Praxisalltag zu gefährden.
Schulung: Das Team lernt die neue Oberfläche an echten, alltagsnahen Beispielen.
Go-Live: Der eigentliche Umstieg – mit einer klaren Rückfalloption für den Fall der Fälle.
Die häufigsten Stolperfallen
Datenmigration, die zu spät oder zu knapp getestet wird
Schnittstellen zu TI und Laborsoftware, die erst kurz vor dem Go-Live mitgedacht werden
Ein Zeitplan, der keinen Puffer für Rückfragen beim alten oder neuen Anbieter lässt
Fehlende Schulung – das beste System hilft wenig, wenn das Team am ersten Tag allein davorsitzt
Und jetzt?
Ein Wechsel lohnt sich vor allem dann, wenn die Bestandsaufnahme ehrlich ausfällt: Was läuft im aktuellen System gut, was kostet jeden Tag unnötig Zeit? Darauf lässt sich ein realistischer Fahrplan aufbauen.
Die IT-Sicherheitsrichtlinie nach §75b/390 SGB V klingt nach einem dicken Regelwerk – ist im Kern aber überschaubarer, als viele befürchten. Mitte Juli 2026 haben das BSI, die KBV und die KZBV gemeinsam einen Kurzleitfaden veröffentlicht, der die Anforderungen auf fünf konkrete Basismaßnahmen herunterbricht.
Diese fünf Punkte sind kein vollständiger Sicherheitsplan, aber ein sehr guter Ausgangspunkt – und für die meisten Praxen der Unterschied zwischen „theoretisch verpflichtet“ und „tatsächlich abgesichert“.
1. Regelmäßige Updates
Betriebssystem, Praxisverwaltungssystem und Sicherheitssoftware zeitnah aktualisieren – veraltete Software ist nach wie vor eines der häufigsten Einfallstore. Ein fester Update-Rhythmus statt gelegentlichem „mal wieder draufschauen“ macht hier den Unterschied.
2. Geprüfte Backups
Ein Backup zählt erst, wenn die Wiederherstellung auch tatsächlich funktioniert. Viele Praxen sichern zuverlässig – aber niemand hat je getestet, ob sich daraus im Ernstfall auch wirklich alles zurückspielen lässt. Genau das gehört regelmäßig geprüft.
3. Zugriffskontrolle
Rollenbasierte Zugänge statt einem geteilten Sammel-Login für das ganze Team. Und ebenso wichtig: Zugriffe konsequent entziehen, sobald Mitarbeitende die Praxis verlassen – ein oft übersehener, aber sehr konkreter Schwachpunkt.
4. E-Mail-Sicherheit
Phishing bleibt das häufigste Einfallstor für Angriffe auf Praxis-IT. Ein guter Spam- und Malwarefilter hilft technisch, ersetzt aber nicht ein wenig Sensibilisierung im Team – gerade bei Rechnungen oder vermeintlichen Terminanfragen mit Anhang.
5. Cloud- und Dienstleisterprüfung
Wer Zugriff auf Praxisdaten hat – Cloud-Anbieter, externe Abrechnungsdienstleister, der IT-Dienstleister selbst – sollte namentlich bekannt und vertraglich sauber eingebunden sein. Ein kurzer jährlicher Check reicht oft schon aus.
Und jetzt?
Keine der fünf Maßnahmen erfordert einen kompletten Neuaufbau Ihrer Praxis-IT. Der sinnvollste erste Schritt ist ein ehrlicher Ist-Stand-Check: Wo stehen Sie bei diesen fünf Punkten heute wirklich – und wo gibt es noch Lücken?
Kaum ein Begriff sorgt gerade für so viel Verunsicherung in Arztpraxen, Zahnarztpraxen und MVZ wie „NIS-2″. IT-Dienstleister, Berater und Fachmedien warnen vor neuen Pflichten und Bußgeldern – oft ohne zu sagen, wen das überhaupt betrifft. Die kurze Antwort vorab: Die meisten Praxen betrifft NIS-2 gar nicht. Was für sie tatsächlich gilt, ist eine andere, weniger bekannte Regelung.
Beide Regelwerke verfolgen dasselbe Ziel – mehr IT-Sicherheit im Gesundheitswesen –, setzen aber bei völlig unterschiedlichen Einrichtungsgrößen an. Wer das verwechselt, bereitet sich entweder auf die falschen Pflichten vor oder übersieht die richtigen.
NIS-2: die Ausnahme für große Einrichtungen
Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Im Gesundheitswesen betrifft es aber nur Einrichtungen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. In der Praxis heißt das: vor allem größere MVZ und Klinikverbünde. Bundesweit sind das schätzungsweise rund 1.000 Einrichtungen, die seit 2026 neu unter diese Pflicht fallen.
Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren – bei Versäumnis drohen Bußgelder bis zu 500.000 Euro. Eine kompakte Übersicht speziell für den Gesundheitssektor bietet der NIS-2-Onepager „Gesundheit“ des BSI.
§75b/390 SGB V: die Regel für fast alle anderen
Für die weit überwiegende Mehrheit der Einzel- und Gemeinschaftspraxen gilt stattdessen die IT-Sicherheitsrichtlinie nach §75b SGB V (für Ärzte, verbindlich seit Oktober 2025 nach Vorgabe der KBV) beziehungsweise §390 SGB V (für Zahnärzte, verbindlich seit Januar 2026 nach Vorgabe der KZBV). Betroffen sind praktisch alle rund 99.000 Arzt- und Psychotherapiepraxen sowie rund 38.000 Zahnarztpraxen in Deutschland.
Woran erkenne ich, was für mich gilt?
Mitarbeiterzahl unter 50 und Jahresumsatz/Bilanzsumme unter 10 Mio. € → in aller Regel §75b/390 SGB V
Mitarbeiterzahl ab 50 oder Jahresumsatz/Bilanzsumme über 10 Mio. € → NIS-2 prüfen
Teil eines größeren MVZ- oder Klinikverbunds → NIS-2 lohnt eine genauere Prüfung, unabhängig von der einzelnen Standortgröße
Und jetzt?
Für die meisten Praxen bedeutet das: Sie müssen sich nicht mit NIS-2 belasten, sondern mit den konkreten, überschaubaren Anforderungen aus §75b/390 SGB V. Wer unsicher ist, in welche Kategorie die eigene Einrichtung fällt, sollte das im Zweifel einmal konkret klären lassen, statt sich pauschal auf das strengere Regelwerk vorzubereiten.
Ein ganz normaler Morgen in der Praxis: Das PVS startet nicht, die Patientenliste fehlt, kein E-Rezept lässt sich abrufen. Solche Ausfälle sind meist keine Naturkatastrophe, sondern das Ergebnis eines Netzwerks, das über Jahre gewachsen ist, ohne dass jemand noch den vollen Überblick hat.
Seit Oktober 2025 (KBV) bzw. Januar 2026 (KZBV) ist genau das kein Kann mehr, sondern ein Muss: Die IT-Sicherheitsrichtlinie nach §75b/390 SGB V ist für praktisch jede Vertragsarzt- und Zahnarztpraxis verbindlich – rund 99.000 Arzt- und Psychotherapiepraxen sowie 38.000 Zahnarztpraxen sind betroffen.
Nicht NIS-2, sondern §75b/390 SGB V
In vielen Gesprächen taucht zuerst NIS-2 auf – verständlich, das Gesetz war 2025 viel in den Schlagzeilen. Für die allermeisten Praxen ist es aber schlicht nicht einschlägig: NIS-2 (NIS2UmsuCG, seit 6. Dezember 2025 in Kraft) betrifft im Gesundheitswesen nur Einrichtungen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme – also vor allem größere MVZ. Seit 2026 sind deutschlandweit rund 1.000 MVZ erstmals NIS-2-pflichtig.
Für die typische Einzel-, Zweier- oder Dreierpraxis gilt stattdessen die IT-Sicherheitsrichtlinie nach §75b/390 SGB V. Wer sich nicht sicher ist, was für die eigene Praxisgröße gilt, ist damit nicht allein – das lässt sich in einem kurzen Gespräch schnell klären.
Der neue BSI-Kurzleitfaden
Mitte Juli 2026 haben BSI, KBV und KZBV gemeinsam den Kurzleitfaden „Cybersicher im Praxisalltag“ veröffentlicht. Er nennt fünf technische Basismaßnahmen – und stellt daneben ausdrücklich einen sechsten, oft übersehenen Punkt gleichrangig auf: die strukturierte Einarbeitung neuer Mitarbeitender.
Regelmäßige Software-Updates – Betriebssystem, PVS und Sicherheitssoftware aktuell halten.
Geprüfte und getestete Datensicherung – ein Backup zählt erst, wenn eine Rücksicherung auch tatsächlich funktioniert.
Klarer Zugriffsschutz – eigene Benutzerkonten statt Sammel-Logins, starke Passwörter, wo möglich Zwei-Faktor.
E-Mail-Sicherheit – Spam- und Phishing-Filter, Sensibilisierung des Teams für gefälschte Anhänge und Links.
Prüfung von Cloud-Diensten und Auftragsverarbeitern – wer verarbeitet wo Ihre Daten, und liegt ein gültiger AVV vor?
Strukturierte Einarbeitung neuer Mitarbeitender – klare Abläufe für Zugänge, Berechtigungen und Sensibilisierung vom ersten Arbeitstag an, statt „learning by doing“.
Ergänzend stellt das BSI einen Quick-Check zur Selbsteinschätzung und eine IT-Notfallkarte für den Ernstfall bereit – beide kostenlos und eine sinnvolle Ergänzung zu diesem Artikel.
Ein Referenz-Netzwerkmodell für die Praxis
Vereinfacht dargestellt, sollten in einem sicheren Praxis-Netzwerk 2026 mindestens drei Bereiche sauber voneinander getrennt sein: die Telematikinfrastruktur, das eigentliche Praxisnetz mit PVS und Arbeitsplätzen, und das WLAN für Patienten im Wartezimmer.
Entscheidend ist weniger die exakte Umsetzung im Detail als das Prinzip: Ein Ausfall oder eine Infektion in einem Bereich darf nicht automatisch auf die anderen übergreifen. Das Gäste-WLAN hat keinen Zugriff auf den TI-Konnektor, und eine kompromittierte Arbeitsstation reißt nicht das Backup mit in den Abgrund.
Wichtig zur Einordnung, weil es in der Praxis oft für Verwirrung sorgt: Bei der Standardversion von ChatGPT und vergleichbaren KI-Tools, die viele Praxisteams inzwischen nutzen, bietet der Anbieter in der Regel keinen Auftragsverarbeitungsvertrag an. Das ist ein eigenes Thema, das über die reine Netzwerksicherheit hinausgeht – aber es gehört in dieselbe Kategorie: Bevor ein Tool im Praxisalltag zum Standard wird, lohnt sich ein kurzer Blick auf Datenschutz und Vertragslage.
Und jetzt?
Die gute Nachricht: Keine der fünf BSI-Basismaßnahmen erfordert einen kompletten Neuaufbau Ihrer Praxis-IT. Der erste sinnvolle Schritt ist ein ehrlicher Blick auf den Ist-Zustand – welche der drei Netzwerkbereiche sind bei Ihnen aktuell wirklich getrennt, und wo laufen sie noch über denselben Switch?