Netzplan, Backup-Konzept und Passwortrichtlinie: was in jedes gehört, was die IT-Sicherheitsrichtlinie dazu verlangt und was eine Sicherung überhaupt zu einer Sicherung macht.
Netzplan und Datensicherung sind Anforderungen der IT-Sicherheitsrichtlinie nach § 390 SGB V, jeweils soweit das Zielobjekt in der Praxis genutzt wird: Das interne Netz ist inklusive eines Netzplans zu dokumentieren (Anlage 1 Nr. 12). Relevante Daten sind regelmäßig zu sichern, die Sicherung ist vor unbefugtem Zugriff zu schützen, und es muss festgelegt werden, wie gesichert wird und wer zuständig ist (Nr. 21–24); getestet werden sollte, ob die gesicherten Daten funktionsfähig und vollständig vorhanden sind (Nr. 25). Ein Backup-Konzept hält das fest. Eine Passwortrichtlinie verlangt die Richtlinie nicht; der Zugriff auf Geräte und Software muss aber abgesichert werden (Nr. 26), und eine Passwortrichtlinie ist der übliche Weg dazu.
Ein Netzplan beantwortet eine einzige Frage: Was hängt eigentlich in unserem Netz? Ohne ihn lässt sich weder einschätzen, was bei einem Vorfall betroffen ist, noch entscheiden, ob ein Gerät dort überhaupt hingehört.
Hinein gehören: alle Rechner und Server, Drucker und Multifunktionsgeräte, Medizingeräte mit Netzanschluss, der TI-Konnektor und die Kartenterminals, WLAN-Zugangspunkte (getrennt nach Praxis und Gast), Router und Firewall sowie jeder Fernzugang von außen.
Eine Handskizze genügt, solange sie aktuell ist. Ein zwei Jahre alter Plan ist schlimmer als keiner, weil man ihm glaubt.
Ein Backup-Konzept beschreibt, was gesichert wird, wie oft, wohin, wie lange es aufbewahrt wird und wer zuständig ist.
Der entscheidende Teil ist ein anderer: die Wiederherstellung auszuprobieren und zu protokollieren. Solange nie jemand eine Datei aus der Sicherung zurückgeholt hat, ist die Sicherung eine Annahme und kein Nachweis. Die Richtlinie sieht diesen Test als Soll-Vorgabe vor (Anlage 1 Nr. 25).
Zwei praktische Punkte: mindestens eine Sicherung sollte getrennt vom Netz liegen, sonst verschlüsselt Schadsoftware sie mit. Und die Sicherung selbst enthält Gesundheitsdaten — sie muss vor unbefugtem Zugriff geschützt sein (Anlage 1 Nr. 22); verschlüsselt aufzubewahren ist dafür der übliche Weg.
Eine Passwortrichtlinie ist kein Aufsatz. Sie hält fest: Mindestlänge, wann gewechselt wird und wann nicht, dass Passwörter nicht geteilt werden, wie mit Standardpasswörtern von Geräten umgegangen wird, und wo Passwörter abgelegt werden dürfen.
Wichtiger als jede Regel ist, dass sie kommuniziert und quittiert ist. Eine Richtlinie, die im Ordner liegt und die niemand gesehen hat, ist im Prüfungsfall keine.
Unabhängig davon ist ein Sammelkonto am Empfang, an dem mehrere Personen arbeiten, ein Problem: Danach lässt sich kein Zugriff mehr zuordnen — und jede Protokollierung läuft ins Leere.
Der von Custodio geführte Katalog zur IT-Sicherheitsrichtlinie umfasst derzeit 92 Einträge: die Anforderungen der Anlagen 1 bis 5 mit ihren Erläuterungen. Anlage 1 gilt für alle Praxen, soweit die jeweiligen Zielobjekte genutzt werden — neben Netzplan und Datensicherung etwa die geregelte Einarbeitung und der Weggang von Mitarbeitenden, Vertraulichkeitsvereinbarungen mit Fremdpersonal, die Einweisung des Personals, zeitnahe Updates, aktuelle Virenschutzprogramme, Benutzer und Rollen in der Praxissoftware sowie Regeln für Smartphones, Wechseldatenträger, E-Mail und Apps. Anlage 5 betrifft die dezentralen Komponenten der Telematikinfrastruktur.
Ab Anlage 2 kommen unter anderem Alarmierung und Logging auf Netzkomponenten, eine restriktive Rechtevergabe und Regeln für mobile Geräte und dienstlich genutzte Mobiltelefone hinzu; Anlage 3 enthält etwa Anforderungen an eine Netzwerksegmentierung, die Gesundheitsdaten von weniger kritischen Daten trennt (eine Soll-Vorgabe), und – sofern entsprechende Systeme eingesetzt werden – an ein Mobile Device Management und an Wechseldatenträger; Anlage 4 gilt, wenn medizinische Großgeräte eingesetzt werden. Welche Anforderungen für Sie gelten, hängt von der Zahl der Personen ab, die ständig mit der Datenverarbeitung betraut sind, vom Umfang der Datenverarbeitung, davon, ob medizinische Großgeräte eingesetzt werden, und davon, welche Zielobjekte Ihre Praxis tatsächlich nutzt.
Die abhakbare Liste steht auf der Checkliste zur IT-Sicherheitsrichtlinie; welche Anlage greift, erklärt die Seite zur KBV-IT-Sicherheitsrichtlinie.
Hat die IT-Betreuung oder der Softwarehersteller einen Fernzugang, ist das datenschutzrechtlich ein möglicher Zugriff auf Patientendaten — auch wenn niemand sie liest.
Festgehalten werden sollte: wer zugreifen darf, wann der Zugang offen ist (nicht dauerhaft) und dass der Zugriff protokolliert wird. Die IT-Sicherheitsrichtlinie verlangt für externes Personal Regelungen und – bevor es Zugang und Zugriff zu vertraulichen Informationen erhält – eine schriftliche Vertraulichkeitsvereinbarung (Anlage 1 Nr. 3 und 4). Kann die Firma auf personenbezogene Daten zugreifen, ist regelmäßig zusätzlich ein Vertrag nach Art. 28 DSGVO erforderlich; bei Berufsgeheimnissen ist außerdem § 203 StGB zu beachten.
Custodio führt Fristen, Nachweise und Meldewege für Arztpraxen an einer Stelle — mit Erinnerung, bevor etwas abläuft.
Kostenlos beraten lassen Zur Checkliste📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Das hängt von der Praxisgröße, den eingesetzten IT-Komponenten und den genutzten Zielobjekten ab. Die IT-Sicherheitsrichtlinie verlangt unter anderem, das interne Netz inklusive Netzplan zu dokumentieren, festzulegen, wie gesichert wird und wer dafür zuständig ist, und die Aufgaben und Zuständigkeiten der Mitarbeitenden zu dokumentieren. Bevor externe Personen Zugang und Zugriff zu vertraulichen Informationen erhalten, sind schriftliche Vertraulichkeitsvereinbarungen zu schließen. Für mittlere und große Praxen kommen – soweit einschlägig – weitere Regelungen hinzu, etwa zu dienstlich genutzten Mobiltelefonen. Bewährt haben sich außerdem eine Passwortrichtlinie, eine Regelung zur Fernwartung und Nachweise über die Einweisung der Mitarbeitenden.
Wenn die Wiederherstellung ausprobiert und protokolliert wurde; die IT-Sicherheitsrichtlinie sieht diesen Test als Soll-Vorgabe vor. Solange nie jemand eine Datei zurückgeholt hat, ist die Sicherung eine Annahme. Zusätzlich sollte mindestens eine Sicherung getrennt vom Netz liegen und verschlüsselt sein.
Ja, wenn auch nicht als eigenes Dokument: Die IT-Sicherheitsrichtlinie verlangt Regelungen für den Einsatz von Fremdpersonal und eine schriftliche Vertraulichkeitsvereinbarung, bevor es Zugang und Zugriff zu vertraulichen Informationen erhält. Sinnvoll festgehalten werden Berechtigung, Zeitfenster und Protokollierung. Kann die Firma auf personenbezogene Daten zugreifen, ist regelmäßig ein Vertrag nach Art. 28 DSGVO erforderlich; bei Berufsgeheimnissen ist zusätzlich § 203 StGB zu beachten.
Ja, wenn er vollständig und aktuell ist. Entscheidend ist nicht die Form, sondern dass jedes Gerät im Netz darin vorkommt — einschließlich Medizingeräten, TI-Komponenten und Fernzugängen.
Stand: September 2026. Dieser Beitrag gibt den Rechtsstand wieder und ersetzt keine Rechtsberatung im Einzelfall.