IT für Arztpraxen & MVZs – IT-Sicherheitsrichtlinie nach § 75b SGB V

Gesetzeskonforme IT-Sicherheit für Arztpraxen und Medizinische Versorgungszentren
(Beratung, Umsetzung & Managed Services aus einer Hand)

Zusammenfassung

Die IT-Sicherheitsrichtlinie nach § 75b SGB V (aktuell § 390 SGB V) verpflichtet jede vertragsärztliche Praxis und jedes MVZ in Deutschland, verbindliche technische und organisatorische Maßnahmen zum Schutz von Patientendaten umzusetzen. Die Anforderungen steigen mit der Praxisgröße – von der Einzelpraxis bis zum Groß-MVZ mit krankenhausähnlichen Strukturen.

Als zertifizierter Sophos Partner und erfahrener IT-Dienstleister für den medizinischen Bereich in Berlin unterstützt 030-IT Arztpraxen und MVZs bei der vollständigen Umsetzung aller KBV-Vorgaben – vom ersten Sicherheitsaudit über die technische Implementierung bis zur laufenden Betreuung. Wir kennen die Schnittstellen zwischen Praxisverwaltungssystemen (PVS), Telematikinfrastruktur (TI) und DSGVO-Anforderungen und sorgen dafür, dass Ihre Praxis-IT nicht nur sicher, sondern auch revisionsfest dokumentiert ist.

Unser Versprechen: Kein Praxisausfall, keine Haftungsrisiken, keine offenen Audit-Fragen.

📞 Jetzt IT-Security-Audit vereinbaren

10 Punkte für sichere Praxis-IT

1. IT-Sicherheitsaudit & Ist-Analyse

Jede erfolgreiche IT-Sicherheitsstrategie beginnt mit einer ehrlichen Bestandsaufnahme. Wir analysieren Ihre gesamte Praxis-IT – von der Netzwerkinfrastruktur über die Arbeitsplätze bis zu den TI-Komponenten – und bewerten den aktuellen Sicherheitsstatus anhand der KBV-Richtlinie.

Was wir konkret tun:

• Vollständige Erfassung aller IT-Systeme, Netzwerkkomponenten und Datenflüsse
• Soll-/Ist-Abgleich gemäß der für Ihre Praxisgröße relevanten Anlage (Anlage 1–5 der KBV-Richtlinie)
• Schwachstellen-Scanning Ihrer Infrastruktur mit professionellen Tools
• Bewertung der Telematikinfrastruktur (Konnektor, KIM, eRezept, ePA)
• Erstellung eines priorisierten Maßnahmenplans mit konkretem Zeitplan

Ihr Ergebnis: Ein klarer, verständlicher Bericht, der Ihnen zeigt, wo Ihre Praxis steht und was konkret zu tun ist – ohne IT-Fachchinesisch.

2. Klassifizierung nach Praxisgröße & KBV-Anlagen

Die IT-Sicherheitsrichtlinie unterscheidet drei Praxisgrößen mit steigenden Anforderungen. Die korrekte Einordnung ist entscheidend, denn sie bestimmt den Umfang der Pflichtmaßnahmen.

So stuft die KBV ein:

Zusätzlich gilt Anlage 4 für Praxen mit medizinischen Großgeräten (CT, MRT, PET, Linearbeschleuniger) und Anlage 5 für alle Praxen mit TI-Anbindung.

Unser Beitrag: Wir ordnen Ihre Praxis korrekt ein, identifizieren alle relevanten Anlagen und erstellen einen vollständigen Umsetzungsplan – zugeschnitten auf Ihre Praxisstruktur und Ihr Budget.

3. Netzwerksicherheit & Firewall-Management mit Sophos

Ein sicheres Praxisnetzwerk ist das Fundament der IT-Sicherheitsrichtlinie. Als zertifizierter Sophos Partner setzen wir auf Enterprise-Sicherheitstechnologie, die speziell für die Anforderungen im Gesundheitswesen konfiguriert wird.

Unsere Sophos-Lösung für Ihre Praxis:

• Sophos XGS Firewall – Next-Gen-Firewall mit Deep Packet Inspection und TLS-Entschlüsselung
• Sophos Synchronized Security – automatische Kommunikation zwischen Firewall und Endpoint-Schutz
• Netzwerksegmentierung – strikte Trennung von Praxis-WLAN, Patienten-WLAN, Verwaltung und TI-Netz
• VPN-Zugang – sichere Fernwartung und Standortvernetzung für MVZs mit mehreren Standorten
• Intrusion Detection & Prevention (IDS/IPS) – Erkennung und Abwehr von Angriffen in Echtzeit

Pflichtmaßnahme nach KBV: Netzwerksegmentierung und Firewall gehören zu den Basisanforderungen jeder Praxisgröße. Mit Sophos erfüllen Sie nicht nur die Mindestanforderung – Sie setzen den Branchenstandard.

4. Endpoint-Schutz & Mobile Device Management

Jeder Arbeitsplatz, jedes Tablet und jedes Smartphone in Ihrer Praxis ist ein potenzielles Einfallstor für Cyberangriffe. Wir schützen alle Endgeräte mit einer zentral verwalteten Sicherheitslösung.

Unser Endpoint-Konzept:

• Sophos Intercept X mit EDR/XDR – KI-basierte Erkennung von Ransomware, Exploits und dateilosen Angriffen
• Sophos Managed Detection & Response (MDR) – optionales 24/7-Monitoring durch das Sophos-Expertenteam
• Zentrale Verwaltung aller Endgeräte über Sophos Central
• Mobile Device Management (MDM) für Praxis-Tablets und Smartphones
• Automatisierte Durchsetzung von Sicherheitsrichtlinien (Passwortregeln, Verschlüsselung, App-Kontrolle)

Pflichtmaßnahme nach KBV: Ab der mittleren Praxis (Anlage 2) ist Endpoint-Schutz mit EDR-Funktionalität gefordert. Für große Praxen und MVZs (Anlage 3) ist XDR mit SIEM-Anbindung empfohlen.

5. Zugangs- & Berechtigungsmanagement

Die IT-Sicherheitsrichtlinie verbietet ausdrücklich gemeinsam genutzte Praxis-Logins. Jede Person benötigt einen individualisierten Zugang mit rollenbasierter Berechtigung.

Was wir umsetzen:

• Individualisierte Benutzerkonten für alle Mitarbeitenden – keine Sammelaccounts
• Rollenbasiertes Berechtigungskonzept (RBAC): Wer darf auf welche Patientendaten zugreifen?
• Multi-Faktor-Authentifizierung (MFA) für sensible Systeme und Fernzugriffe
• Automatische Sperrung nach Inaktivität
• Dokumentiertes Verfahren für Onboarding und Offboarding (Zugangserteilung und -entzug)
• Protokollierung aller Zugriffe auf Patientendaten (Access Logging)

Pflichtmaßnahme nach KBV: Individualisierte Zugänge und dokumentierte Berechtigungskonzepte sind Basisanforderungen aller Anlagen. Access Logging ist ab Anlage 2 verpflichtend.

📧 Kostenlose Erstberatung sichern

6. Datensicherung & Disaster Recovery

Patientendaten sind unwiederbringlich. Ein funktionierendes Backup-Konzept mit getesteter Wiederherstellung ist daher nicht optional, sondern gesetzliche Pflicht.

Unser Backup-Konzept für Praxen:

• 3-2-1-Backup-Regel: 3 Kopien, 2 verschiedene Medien, 1 externer Standort
• Verschlüsselte Backups – sowohl lokal als auch in der Cloud
• Tägliche automatisierte Sicherung aller PVS-Datenbanken, Dokumente und Konfigurationen
• Regelmäßige Wiederherstellungstests – dokumentiert und protokolliert
• Disaster-Recovery-Plan mit definierten Wiederherstellungszeiten (RTO/RPO)
• Spezielle Sicherung der TI-Konfiguration und Zertifikate

Pflichtmaßnahme nach KBV: Verschlüsselte Backups und verifizierte Wiederherstellungsverfahren gehören zu den Basisanforderungen (Anlage 1). Der Disaster-Recovery-Plan ist für MVZs und große Praxen (Anlage 3) verpflichtend.

7. Patch-Management & Update-Strategie

Veraltete Software ist das häufigste Einfallstor für Cyberangriffe in Arztpraxen. Wir sorgen dafür, dass Ihre Systeme stets auf dem aktuellen Stand sind – ohne den Praxisbetrieb zu stören.

Unser Patch-Management:

• Zentrales, automatisiertes Patch-Management für Betriebssysteme, Anwendungen und Treiber
• Rollierende Patch-Strategie mit Priorisierung nach Kritikalität
• Planbare Update-Fenster außerhalb der Sprechzeiten
• Zeitnahe Installation von TI-Updates gemäß Anlage 5
• Vollständige Dokumentation aller durchgeführten Updates
• Kompatibilitätstests vor dem Rollout auf Produktivsysteme (besonders für PVS und Laborschnittstellen)

Pflichtmaßnahme nach KBV: Zeitnahe Aktualisierung aller Systeme ist eine Basisanforderung. Ab Anlage 2 wird ein zentrales Patch-Management explizit gefordert.

8. Mitarbeitersensibilisierung & Schulungen

Die beste Technik nützt nichts, wenn das Praxisteam nicht geschult ist. Über 80 % aller IT-Sicherheitsvorfälle beginnen mit menschlichem Fehlverhalten – meist durch Phishing-Mails oder unsichere Passwörter.

Unser Schulungskonzept:

• Erstschulung für alle Mitarbeitenden bei Projektstart
• Jährliche Auffrischungsschulungen zu aktuellen Bedrohungen
• Praxisnahe Inhalte: Phishing erkennen, sichere Passwörter, Umgang mit USB-Sticks, Social Engineering
• Simulierte Phishing-Kampagnen zur Erfolgskontrolle
• Spezielle Module für die Praxisleitung zu Haftungsfragen und Compliance
• Dokumentierte Teilnahmenachweise für die Revisionssicherheit

Pflichtmaßnahme nach KBV: Mitarbeitersensibilisierung ist seit der Aktualisierung 2025 ein verstärkter Fokus der Richtlinie. Schulungsnachweise sind dokumentationspflichtig.

9. Dokumentation & Revisionssicherheit

Die IT-Sicherheitsrichtlinie verlangt nicht nur die Umsetzung der Maßnahmen – sie verlangt den schriftlichen Nachweis. Selbst eine technisch einwandfreie Praxis-IT kann bei einer Prüfung durchfallen, wenn die Dokumentation fehlt.

Unsere Dokumentationsleistung:

• Vollständige IT-Sicherheitsdokumentation gemäß KBV-Mustervorlagen
• Netzwerkpläne, Geräteinventar und Konfigurationsdokumentation
• Berechtigungskonzept mit Änderungshistorie
• Backup-Protokolle und Wiederherstellungsnachweise
• Schulungsnachweise und Verschwiegenheitserklärungen
• Transparente Vorgangsdokumentation und Aufwandserfassung über unser Ticketsystem
• Fortlaufende Pflege – die Dokumentation wächst mit Ihrer Praxis

Ihr Vorteil: Bei einer Prüfung durch KV, BSI oder Datenschutzaufsicht ist Ihre Dokumentation jederzeit griffbereit und aktuell. Kein Stress, keine Nacharbeit.

10. Laufende Betreuung & Managed IT-Security

IT-Sicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Als Ihr Managed Service Provider (MSP) übernehmen wir die laufende Überwachung und Pflege Ihrer gesamten Praxis-IT.

Unsere Managed Services:

• Proaktives Monitoring aller Server, Clients, Netzwerkkomponenten und TI-Anbindung
• Monatliche Sicherheitsberichte mit konkreten Handlungsempfehlungen
• Regelmäßige Überprüfung und Anpassung an neue Richtlinien-Updates (jährliche Evaluationspflicht)
• Zwei feste Ansprechpartner – von der strategischen Beratung bis zum Support-Ticket
• Remote-Support und Vor-Ort-Service in Berlin und Umgebung
• Garantierte Reaktionszeiten über Service Level Agreements (SLAs)
• Unterstützung bei KV-Prüfungen und Datenschutzaudits

Ihr Vorteil: Sie konzentrieren sich auf Ihre Patienten – wir kümmern uns um Ihre IT-Sicherheit. Kontinuierlich, zuverlässig und immer auf dem neuesten Stand.

Warum 030-IT Ihr Partner für Praxis-IT-Sicherheit ist

Branchenkenntnis trifft IT-Expertise

Mit über 25 Jahren Erfahrung als IT-Dienstleister in Berlin und einem klaren Branchenfokus auf das Gesundheitswesen kennen wir die besonderen Anforderungen von Arztpraxen und MVZs – nicht nur technisch, sondern auch organisatorisch und regulatorisch.

Das unterscheidet uns:

• Zertifizierter Sophos Partner – wir setzen auf branchenführende Sicherheitstechnologie
• Erfahrung im medizinischen Bereich – wir betreuen erfolgreich Arztpraxen, MVZs und Zahnkliniken in Berlin
• KBV-Richtlinie als DNA – die Vorgaben sind integraler Bestandteil unserer Beratungs-, Integrations- und Supportprozesse
• Ganzheitlicher Ansatz – von der Firewall über die Telematikinfrastruktur bis zur Mitarbeiterschulung
• Sophos Synchronized Security – Integration von Firewall, Endpoint und Cloud-Sicherheit
• Berliner Nähe – kurze Wege für Vor-Ort-Einsätze, kombiniert mit leistungsfähigem Remote-Support

Referenzen im Gesundheitswesen

Wir sind stolz auf die langjährige und vertrauensvolle Zusammenarbeit mit Praxen und Kliniken in Berlin und darüber hinaus.

„Als MVZ mit mehreren Standorten benötigen wir einen IT-Partner, der sowohl die technischen als auch die regulatorischen Anforderungen versteht. 030-IT liefert beides – zuverlässig und ohne Überraschungen."
— Ärztliche Leitung, MVZ in Berlin

🏥 Ihre Praxis §75b-konform machen

Häufig gestellte Fragen (FAQ)

Was ist die IT-Sicherheitsrichtlinie nach § 75b SGB V?

Die IT-Sicherheitsrichtlinie ist eine gesetzlich verbindliche Vorgabe der Kassenärztlichen Bundesvereinigung (KBV), die in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt wurde. Sie legt fest, welche technischen und organisatorischen Maßnahmen (TOMs) jede vertragsärztliche Praxis und jedes MVZ umsetzen muss, um Patientendaten zu schützen und die IT-Sicherheit zu gewährleisten.

Gilt die Richtlinie auch für kleine Praxen?

Ja, ausnahmslos. Die Richtlinie gilt für alle vertragsärztlichen und vertragspsychotherapeutischen Praxen, unabhängig von der Größe. Der Umfang der umzusetzenden Maßnahmen variiert jedoch: Kleine Praxen (1–5 Personen) müssen die Basisanforderungen der Anlage 1 erfüllen, während für MVZs und große Praxen (über 20 Personen) die erweiterten Anforderungen der Anlage 3 gelten.

Was passiert bei Nichteinhaltung?

Verstöße können empfindliche Konsequenzen haben: Honorarkürzungen durch die Kassenärztliche Vereinigung, Bußgelder nach DSGVO (bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes), Haftungsansprüche bei Datenschutzverletzungen und im schlimmsten Fall den Entzug der Kassenzulassung.

Brauche ich einen IT-Sicherheitsbeauftragten?

Für große Praxen und MVZs (über 20 Personen, Anlage 3) ist die Benennung eines IT-Sicherheitsbeauftragten (ISB) verpflichtend. Für kleinere Praxen ist es zwar nicht vorgeschrieben, aber dringend empfohlen. Alternativ kann diese Rolle an einen qualifizierten externen Dienstleister wie 030-IT delegiert werden.

Was kostet die Umsetzung der IT-Sicherheitsrichtlinie?

Die Kosten hängen von der Praxisgröße, dem Ist-Zustand der IT-Infrastruktur und dem Umfang der notwendigen Maßnahmen ab. Wir erstellen Ihnen nach dem kostenlosen Erstgespräch ein transparentes Angebot – ohne versteckte Kosten.

Wie läuft die Zusammenarbeit mit 030-IT ab?

1. Kostenloses Erstgespräch – wir lernen Ihre Praxis und Ihre Anforderungen kennen
2. IT-Sicherheitsaudit – Ist-Analyse und Soll-/Ist-Abgleich
3. Maßnahmenplan – priorisiert, terminiert und transparent kalkuliert
4. Umsetzung – schrittweise, ohne Störung des Praxisbetriebs
5. Dokumentation – revisionssicher und vollständig
6. Laufende Betreuung – Monitoring, Updates und Support

Werden die TI-Anforderungen (Anlage 5) auch abgedeckt?

Ja, selbstverständlich. Anlage 5 regelt die Anforderungen an dezentrale Komponenten der Telematikinfrastruktur – Konnektor, Kartenlesegeräte, KIM, eRezept und ePA. Wir stellen sicher, dass alle TI-Komponenten aktuell und sicher konfiguriert sind.

Kann 030-IT auch bestehende IT-Infrastruktur übernehmen?

Ja. Wir arbeiten herstellerunabhängig und können bestehende Infrastrukturen übernehmen, bewerten und schrittweise auf den erforderlichen Sicherheitsstandard heben. Ein kompletter Austausch ist nur selten nötig.

Jetzt handeln: Kostenlose Erstberatung

Die IT-Sicherheitsrichtlinie wartet nicht – und Cyberangriffe auf Arztpraxen nehmen stetig zu. Lassen Sie uns gemeinsam Ihre Praxis-IT zum Qualitätssiegel machen.

Vereinbaren Sie jetzt Ihr kostenloses Erstgespräch:

📞 +49 (0)30 3974 3974
📧 info@030-it.de

Ihr Ansprechpartner:
Thomas Staack – Geschäftsführer
Fon: +49 (0)30 3974 3974
Mail: staack@030-it.de

030-IT GmbH
Berliner Straße 26B · 13507 Berlin
Montag–Freitag 8–18 Uhr

030-IT – Ihr Berliner IT-Systemhaus für sichere Arztpraxen und MVZs. Sophos Partner. Seit über 25 Jahren.