Zentrale Anforderungen der KBV IT-Sicherheitsrichtlinie nach § 390 SGB V (ehem. § 75b) im Überblick. Dokumente, Prüfkriterien und digitale Umsetzung für Arztpraxen jeder Größe.
Die KBV IT-Sicherheitsrichtlinie wurde von der Kassenärztlichen Bundesvereinigung auf Grundlage von § 390 SGB V (ehem. § 75b) erlassen. Sie definiert verbindliche Mindestanforderungen an die IT-Sicherheit in vertragsärztlichen und vertragspsychotherapeutischen Praxen. Zahlreiche technische Basisanforderungen gelten bereits seit 2021; die aktuelle Fassung trat am 1. April 2025 in Kraft. Der Umfang der Pflichten richtet sich nach der Praxisgröße und der technischen Ausstattung.
Die IT-Sicherheitsrichtlinie nach § 390 SGB V ist für Leistungserbringer verbindlich, die an der vertragsärztlichen bzw. vertragszahnärztlichen Versorgung teilnehmen. Rein privatärztliche Praxen unterliegen nicht allein aufgrund dieser Norm der KBV- bzw. KZBV-Richtlinie. Unabhängig davon gelten die Anforderungen der DSGVO, insbesondere Art. 32 DSGVO zur Sicherheit der Verarbeitung; Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Die Richtlinie verfolgt ein klares Ziel: Patientendaten und Praxis-IT vor Cyberangriffen, Datenverlust und unbefugtem Zugriff zu schützen. Angesichts der zunehmenden Vernetzung über die Telematikinfrastruktur (TI) ist das Thema IT-Sicherheit in der Arztpraxis wichtiger denn je.
Einige Dokumente verlangt die Richtlinie ausdrücklich, andere sind der übliche Weg, Anforderungen umzusetzen und zu belegen. Die letzte Spalte sagt, was was ist:
| # | Dokument | Inhalt | Verlangt die Richtlinie das? |
|---|---|---|---|
| 1 | Netzplan / Netzwerkdokumentation | Alle Geräte, IP-Adressen, Verbindungen, TI-Konnektor, Router, Switches | Ja, soweit ein internes Netz genutzt wird: Es ist inklusive eines Netzplans zu dokumentieren (Anlage 1 Nr. 12) |
| 2 | Datensicherungskonzept | Was, wie oft und wohin gesichert wird, wer zuständig ist, Wiederherstellungstests | Die Festlegungen ja: Relevante Daten sind regelmäßig zu sichern, die Sicherung ist vor unbefugtem Zugriff zu schützen, und festgelegt sein muss, wie gesichert wird und wer zuständig ist (Anlage 1 Nr. 21–24). Ein Dokument mit diesem Namen verlangt die Richtlinie nicht; getestet werden sollte die Sicherung (Nr. 25) |
| 3 | Vertraulichkeitsvereinbarung | Für externe IT, Handwerker, Reinigungspersonal | Ja, schriftlich – bevor externe Personen Zugang und Zugriff zu vertraulichen Informationen erhalten (Anlage 1 Nr. 4) |
| 4 | Aufgaben und Zuständigkeiten | Wer was tut, welche Berechtigungen und Zugänge bestehen, Kontaktdaten IT-Dienstleister | Ja: Die Aufgaben und Zuständigkeiten der Mitarbeitenden müssen in geeigneter Weise dokumentiert sein; welche Berechtigungen und Zugänge bestehen, sollte ebenfalls dokumentiert werden (Anlage 1 Nr. 5) |
| 5 | Regelung für mobile Geräte | Smartphones, Tablets: Verschlüsselung, PIN, Fernlöschung, erlaubte Apps | Ab sechs Personen: Pflicht für dienstlich genutzte Mobiltelefone (Anlage 2 Nr. 7), sonst Soll-Vorgabe (Nr. 5) |
| 6 | Regelung für Wechseldatenträger (USB) | Erlaubte Geräte, Verschlüsselung, Prüfung auf Schadsoftware, Mitnahme | Ab sechs Personen als Soll-Vorgabe, soweit Wechseldatenträger genutzt werden (Anlage 2 Nr. 9) |
| 7 | Passwortrichtlinie | Mindestlänge, Komplexität, Umgang mit Standardpasswörtern | Nein – eine eigene Passwortrichtlinie verlangt die Richtlinie nicht. Der Zugriff auf Geräte und Software muss aber abgesichert werden (Anlage 1 Nr. 26); eine Passwortrichtlinie ist ein geeigneter Weg dazu |
| 8 | Fernwartungsregelung | Zugelassene Tools, Authentifizierung, Protokollierung, Freigabeprozess | Nein – ein Dokument dieses Namens verlangt die Richtlinie nicht. Sie verlangt Regelungen für den Einsatz von Fremdpersonal (Anlage 1 Nr. 3) und eine schriftliche Vertraulichkeitsvereinbarung, bevor externe Personen Zugang und Zugriff zu vertraulichen Informationen erhalten (Nr. 4). Kann der Dienstleister auf personenbezogene Daten zugreifen, ist regelmäßig zusätzlich Art. 28 DSGVO zu beachten |
| 9 | Schulungsnachweise | Einweisung und Schulung der Mitarbeitenden | Nein – verlangt ist die Schulung selbst: Mitarbeitende müssen regelmäßig geschult bzw. weitergebildet (Anlage 1 Nr. 6) und in den sicheren Umgang mit IT eingewiesen werden (Nr. 9); Schulungen zur Informationssicherheit sollten hinzukommen (Nr. 10). Der Nachweis belegt das |
Die Rechtsgrundlage ist dieselbe, die Zeitpunkte sind es nicht:
| Arzt- und Psychotherapiepraxen (KBV) | Zahnarztpraxen (KZBV) | |
|---|---|---|
| Aktuelle Fassung in Kraft seit | 1. April 2025 | 2. Juli 2025 |
| Neue bzw. geänderte Anforderungen umzusetzen seit | 1. Oktober 2025 (Einweisung, Sensibilisierung und Schulung des Praxispersonals) | 2. Januar 2026 (nach sechsmonatiger Übergangsfrist) |
| Technische Basisanforderungen | zahlreiche bereits seit 2021 umzusetzen | |
Die KBV formuliert zur Schulungsanforderung: „Das Praxispersonal muss in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert werden, soweit dies für die Arbeit relevant ist."
Ausführlich nach Zielgruppe: Datenschutz für Arztpraxen und Datenschutz für Zahnarztpraxen.
Die KBV IT-Sicherheitsrichtlinie staffelt die Anforderungen in Stufen. Maßgeblich ist dabei die Anzahl der Personen, die ständig mit der Datenverarbeitung betraut sind — nicht die Gesamtzahl aller Beschäftigten:
Es gelten die 50 Anforderungen der Anlage 1 und die 9 Anforderungen der Anlage 5 zur Telematikinfrastruktur – jeweils soweit die Zielobjekte in der Praxis genutzt werden. Zu Anlage 1 gehören etwa die geregelte Einarbeitung und der geregelte Weggang von Mitarbeitenden, schriftliche Vertraulichkeitsvereinbarungen mit Fremdpersonal, die Einweisung des Personals in den sicheren Umgang mit IT, eine Firewall am Übergang ins Internet, ein dokumentierter Netzplan, zeitnah installierte Updates, aktuelle Virenschutzprogramme, regelmäßige und getestete Datensicherungen, Benutzer und Rollen in der Praxissoftware sowie Regeln für Smartphones, Wechseldatenträger, E-Mail und Apps.
Zusätzlich die 10 Anforderungen der Anlage 2, darunter Alarmierung und Logging auf Netzkomponenten, verschlüsselte Kommunikationsverbindungen, eine restriktive Rechtevergabe nach dem Need-to-know-Prinzip, eine verbindliche Richtlinie für Mitarbeitende zur Benutzung mobiler Geräte, eine Nutzungs- und Sicherheitsrichtlinie für dienstlich genutzte Mobiltelefone und schriftliche Regeln dazu, ob, wie und zu welchen Anlässen Wechseldatenträger mitgenommen werden dürfen – jeweils soweit die entsprechenden Zielobjekte in der Praxis genutzt werden.
Bei mehr als zwanzig ständig mit der Datenverarbeitung betrauten Personen oder bei Datenverarbeitung in erheblichem Umfang — etwa in großen MVZ mit krankenhausähnlichen Strukturen oder in Groß-Laboren — gelten neben Anlage 2 zusätzlich die 17 Anforderungen der Anlage 3, jeweils soweit die Zielobjekte genutzt werden: unter anderem die Messung des Lernerfolgs von Schulungen und eine Netzwerksegmentierung, die Gesundheitsdaten von weniger kritischen Daten trennt (beides Soll-Vorgaben), sichere Protokolle für schützenswerte Informationen sowie – wo ein Mobile Device Management, Wechseldatenträger oder eigene E-Mail-Server eingesetzt werden – Anforderungen an genau diese Systeme.
Neben der Praxisgröße können auch Umfang und Komplexität der technischen Ausstattung relevant sein. Sowohl die KBV- als auch die KZBV-Richtlinie enthalten hierzu zusätzliche Anforderungen, unter anderem für medizinische Großgeräte und die Telematikinfrastruktur.
Die Richtlinie verlangt, dass sämtliche relevanten Daten regelmäßig gesichert werden (Anlage 1 Nr. 21), dass die Sicherung vor unbefugtem Zugriff geschützt ist (Nr. 22) und dass festgelegt ist, wie gesichert wird und wer zuständig ist (Nr. 23 und 24); getestet werden sollte sie ebenfalls (Nr. 25). Ein Backup-Konzept hält das fest – bewährt hat sich darin:
Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung, sondern eine Vermutung. Ein Wiederherstellungstest kann klein anfangen: eine einzelne Patientenakte aus der Sicherung des Vortages zurückzuholen und das Ergebnis mit Datum zu notieren, zeigt, dass die Sicherung funktioniert. Die Richtlinie nennt als Ziel des Tests beides: dass die gesicherten Daten funktionsfähig und vollständig vorhanden sind (Anlage 1 Nr. 25).
Für Praxen mit Anschluss an die Telematikinfrastruktur kommt hinzu: Die bei der Installation der TI-Komponenten eingerichteten Administrationsdaten – insbesondere die Passwörter für den Administrator-Zugang – müssen sicher aufbewahrt werden, und es muss gewährleistet sein, dass die Praxis sie auch ohne ihren Dienstleister kennt (Anlage 5 Nr. 9).
Die Richtlinie richtet sich an die Praxis, nicht an deren IT-Dienstleister. Verantwortlich bleibt die Praxisinhaberin oder der Praxisinhaber — auch dann, wenn die gesamte Praxis-IT extern betreut wird.
Praktisch bedeutet das eine klare Aufteilung:
| Aufgabe | Praxis | IT-Dienstleister |
|---|---|---|
| Festlegen, was geschützt werden muss | ja | berät |
| Technische Umsetzung (Firewall, Virenschutz, Updates) | beauftragt | führt aus |
| Netzplan und Gerätedokumentation | muss vorliegen | erstellt meist |
| Fernwartung schriftlich regeln | schließt ab | ist Vertragspartner |
| Auftragsverarbeitungsvertrag, wenn der Dienstleister auf personenbezogene Daten zugreifen kann | schließt ab | unterzeichnet |
| Einweisung des Praxispersonals | ja | kann unterstützen |
| Nachweis gegenüber der Aufsicht | ja | nein |
Wird die Praxis-IT extern betreut und kann der Dienstleister dabei auf personenbezogene Daten zugreifen, ist regelmäßig ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich; bei Berufsgeheimnissen ist zusätzlich § 203 StGB zu beachten. Die Fernwartung schriftlich zu regeln, empfiehlt sich. Die Richtlinie selbst verlangt unabhängig davon Regelungen für den Einsatz von Fremdpersonal und – bevor externe Personen Zugang und Zugriff zu vertraulichen Informationen erhalten – eine schriftliche Vertraulichkeitsvereinbarung (Anlage 1 Nr. 3 und 4).
Die Einhaltung der KBV IT-Sicherheitsrichtlinie kann durch mehrere Stellen überprüft werden:
Die IT-Sicherheitsrichtlinie enthält selbst keinen eigenen Bußgeldtatbestand. Unabhängig davon können Verstöße gegen Datenschutz-, berufsrechtliche oder sonstige gesetzliche Pflichten rechtliche Folgen haben: Bei Datenpannen drohen DSGVO-Bußgelder bis zu 20 Mio. Euro oder 4 % des Jahresumsatzes. Cyberversicherungen können die Leistung verweigern, wenn grundlegende Anforderungen nicht dokumentiert waren. In besonders schwerwiegenden Fällen mit systematischen und wiederholten IT-Sicherheitsmängeln können weitere aufsichtsrechtliche Konsequenzen folgen.
| Kriterium | Manuelle Dokumentation | Custodio |
|---|---|---|
| Anforderungen | aus der Richtlinie heraussuchen | alle 92 Anforderungen im Wortlaut, eingegrenzt nach Praxisgröße und genutzten Systemen |
| Dokumente | selbst erstellen | sechs Dokumente zur Richtlinie, vorbefüllt mit den Angaben Ihrer Praxis, auch als druckbares Paket |
| Netzplan | von Hand | als Vorlage; mit eigenem UniFi-Controller oder dem von NordPrax betreuten Datto RMM mit den Geräten aus dem Abgleich |
| Preis | kostenlos (plus Arbeitszeit) | im Tarif Premium: 89 EUR im Monat zzgl. USt. |
Custodio unterstützt Praxen bei der strukturierten Umsetzung und Dokumentation relevanter Anforderungen. Die Verantwortung für die tatsächliche und vollständige Umsetzung verbleibt bei der jeweiligen Praxis bzw. Organisation.
Mit Custodio dokumentieren Sie den Stand der Anforderungen in einer Plattform – mit dem Prüfkatalog im Wortlaut der Richtlinie und vorbefüllten Dokumenten.
Kostenlos beraten lassen Kostenlos DSE erstellen📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Die KBV IT-Sicherheitsrichtlinie ist eine verbindliche Vorgabe der Kassenärztlichen Bundesvereinigung nach § 390 SGB V (ehem. § 75b). Sie definiert Mindestanforderungen an die IT-Sicherheit in Arztpraxen und psychotherapeutischen Praxen, gestaffelt nach Praxisgröße.
Welche Dokumentation nötig ist, hängt von der Praxisgröße, den eingesetzten IT-Komponenten und den tatsächlich genutzten Zielobjekten ab. Aus Anlage 1 gehören dazu vor allem: das interne Netz inklusive Netzplan zu dokumentieren (Anlage 1 Nr. 12), die Aufgaben und Zuständigkeiten der Mitarbeitenden zu dokumentieren (Nr. 5), festzulegen, wie gesichert wird und wer dafür zuständig ist (Nr. 23 und 24), und – bevor externe Personen Zugang und Zugriff zu vertraulichen Informationen erhalten – schriftliche Vertraulichkeitsvereinbarungen zu schließen (Nr. 4). Für mittlere und große Praxen kommen – soweit einschlägig – eine Nutzungs- und Sicherheitsrichtlinie für dienstlich genutzte Mobiltelefone (Anlage 2 Nr. 7) sowie als Soll-Vorgabe eine Richtlinie für mobile Geräte (Nr. 5) und schriftliche Regeln zur Mitnahme von Wechseldatenträgern (Nr. 9) hinzu. Eine Passwortrichtlinie, eine Fernwartungsregelung oder Schulungsnachweise verlangt die Richtlinie nicht als eigene Dokumente; sie sind aber geeignete Mittel, die Anforderungen umzusetzen und zu belegen.
Eine gesetzliche Nachweis- oder Einreichpflicht gegenüber der KV besteht derzeit nicht. Zusätzlich können Datenschutz-Aufsichtsbehörden und die gematik bei Anbindung an die Telematikinfrastruktur IT-Sicherheitsnachweise anfordern.
Die IT-Sicherheitsrichtlinie enthält selbst keinen eigenen Bußgeldtatbestand, und eine unmittelbare KV-Sanktion ist derzeit nicht vorgesehen. Unabhängig davon können Verstöße gegen Datenschutz-, berufsrechtliche oder sonstige gesetzliche Pflichten rechtliche Folgen haben: bei Datenpannen etwa DSGVO-Bußgelder bis zu 20 Mio. Euro. In besonders schwerwiegenden Fällen mit systematischen IT-Sicherheitsmängeln können weitere aufsichtsrechtliche Konsequenzen der Datenschutzbehörden folgen.
Stand: September 2026. Diese Seite gibt den Stand der IT-Sicherheitsrichtlinien von KBV und KZBV wieder und ersetzt keine Rechtsberatung.