Wenn die Praxissoftware morgens nicht startet, fehlt Dir mehr als ein Computer. Termine, Befunde, Rezepte und die Zusammenarbeit im Team hängen daran. Deshalb sollte ein Auftrag für IT-Sicherheit beschreiben, wie Deine Praxis im Alltag geschützt und arbeitsfähig bleibt. Eine neue Firewall allein beantwortet diese Frage noch nicht. Entscheidend ist, wer Deine konkrete Umgebung betreut, Veränderungen begleitet und bei Problemen erreichbar ist. Hier erfährst Du, wie Du aus einem unscharfen Wunsch nach „mehr Sicherheit“ einen passenden Dienstleisterauftrag machst.
Deine Praxis als Arbeitsumgebung erfassen
Beginne mit den Abläufen, die zuverlässig funktionieren müssen. Wie kommen Befunde in die Patientenakte? Welche Geräte brauchen Zugriff auf das Praxisverwaltungssystem, kurz PVS? Wer arbeitet an der Anmeldung, wer im Behandlungszimmer, und welche Aufgaben erledigst Du außerhalb der Praxis? Diese Fragen helfen einem Anbieter, den tatsächlichen Schutzbedarf zu verstehen. Dafür musst Du keine technische Bestandsaufnahme selbst durchführen. Eine Übersicht der Arbeitsplätze, Anwendungen und bisherigen Ansprechpartner reicht als Ausgangspunkt; die technische Erhebung kannst Du ausdrücklich mitbeauftragen.
Für vertragsärztliche und vertragspsychotherapeutische Praxen ist die KBV-Richtlinie nach § 390 SGB V der maßgebliche branchenspezifische Rahmen. Sie unterscheidet drei Kategorien: bis zu fünf, sechs bis zwanzig und mehr als zwanzig ständig mit Datenverarbeitung betraute Personen. Zur dritten Kategorie zählen auch Praxen, deren Datenverarbeitung über die normale Datenübermittlung hinaus einen erheblichen Umfang erreicht, etwa Groß-Labore oder Groß-MVZ mit krankenhausähnlichen Strukturen. Maßgeblich sind also weder die Zahl der Behandlungsräume noch pauschal alle Beschäftigten. Lass den Dienstleister Deine Kategorie und die Anforderungen für die tatsächlich genutzte Ausstattung bestimmen. Als Praxisinhaber bleibst Du für IT-Sicherheit und Richtlinieneinhaltung verantwortlich, auch wenn Du die Umsetzung einzelner Anforderungen delegierst.
Lass die Bestandsaufnahme auch Schnittstellen erfassen: Laborverbindungen, Online-Termine, bildgebende Geräte, Kartenleser und die dezentralen Komponenten der Telematikinfrastruktur. Ein Gerät kann medizinisch einwandfrei funktionieren und dennoch eine ungeklärte Verbindung zum Praxisnetz besitzen. Verlange für solche Fälle eine verständliche Entscheidung: Kann es regulär betreut werden, braucht es einen gesonderten Bereich, oder muss der Hersteller einbezogen werden? Du kaufst damit eine nachvollziehbare Betreuung, keine pauschale Liste mit Häkchen. KBV-Richtlinie
PVS, Telematikinfrastruktur und Geräte zusammen betreuen
In einer Praxis betreut häufig mehr als ein Anbieter die Technik. Das PVS hat einen eigenen Support, die Telematikinfrastruktur einen weiteren Ansprechpartner, und für medizinische Geräte gelten Herstellerverfahren. Dein Sicherheitsdienstleister sollte diese Grenzen kennen und trotzdem einen zusammenhängenden Überblick ermöglichen. Frage deshalb, wer bei einem Problem den Fall übernimmt, die anderen Beteiligten einbindet und Dir den Stand erklärt. Sonst telefoniert Deine Anmeldung im Kreis, während sich alle für einen anderen Teil zuständig fühlen.
Ein gutes Angebot nennt konkret, welche Geräte, Programme und Verbindungen eingeschlossen sind. Bei Updates sollte erkennbar sein, wer sie bewertet, installiert und anschließend die wichtigen Praxisabläufe kontrolliert. Für Systeme ohne weitere Sicherheitsupdates brauchst Du einen eigenen Vorschlag mit Herstellerabstimmung und Übergangsplanung. Die Entscheidung darf nicht lauten, ein Gerät ungeprüft weiterzubetreiben, nur weil es bisher keine Probleme gab. Gleichzeitig sollte niemand eine medizinische Anwendung spontan verändern, ohne ihre Funktionsfähigkeit zu berücksichtigen.
Auch Fernwartung verdient einen klaren Platz im Auftrag. Lass erläutern, wie berechtigte Personen zugreifen, ob Zugänge dauerhaft bestehen und wie ausgeführte Arbeiten nachvollziehbar bleiben. Die Praxisleitung sollte verstehen können, welcher Anbieter gerade tätig ist und welchen Bereich er benötigt. Das erfordert keine eigene tägliche Kontrolle technischer Protokolle, wohl aber einen geregelten Weg für Zugriffsfreigaben und Rückfragen. Zugangsdaten gehören dabei in eine geschützte Übergabe, nicht als Anhang in die erste Angebotsanfrage.
Besprich schließlich, wie neue Technik aufgenommen wird. Ein zusätzliches Diensthandy oder ein Online-Termindienst verändert die Umgebung. Bei einem Cloud-Dienst, der Sozial- oder Gesundheitsdaten verarbeitet, gehört ein konkreter Prüfauftrag dazu: Der Dienstleister soll die einschlägigen Anforderungen aus § 393 SGB V und der KBV-Richtlinie prüfen, einschließlich zulässigem Verarbeitungsort, inländischer Niederlassung der datenverarbeitenden Stelle und angemessenen Schutzmaßnahmen. Er soll klären, ob der aktuelle C5-Nachweis die eingesetzten Cloud-Systeme und die Technik abdeckt und wer die zugehörigen Kundenkriterien aus dem Prüfbericht in Deiner Praxis umsetzt. Eine allgemeine Anbieterwerbung reicht dafür nicht. Bei neu in Verkehr gebrachten Systemen können Übergangsregeln greifen; gesetzlich zulässige gleichwertige Nachweise sind gesondert zu prüfen. Lass das Ergebnis für Deinen tatsächlich genutzten Dienst erklären, bevor Du über dessen Einsatz entscheidest. § 393 SGB V
Datensicherung an der Wiederherstellung messen
„Backup vorhanden“ ist eine beruhigende Aussage, aber für Deine Kaufentscheidung zu ungenau. Frage, welche Daten und Systeme gesichert werden und was ein Anbieter daraus wiederherstellen kann. Ein exportierter Befund ersetzt beispielsweise nicht automatisch die funktionsfähige Patientenverwaltung. Lass deshalb PVS-Daten, Dokumente, Bilder und notwendige Einstellungen getrennt betrachten. Die Sicherung muss zur jeweiligen Anwendung passen; ein Dateikopierprogramm allein ist kein fachlicher Nachweis für die Wiederherstellbarkeit einer laufenden Datenbank.
Vereinbare gemeinsam mit der Praxisleitung, welchen Arbeitsstand Du nach einer Störung benötigst. Es macht einen Unterschied, ob zuletzt eingetragene Daten manuell nachgetragen werden könnten oder ob ein Verlust laufender Dokumentation Deine Arbeit erheblich beeinträchtigen würde. Daraus entwickelt der Dienstleister einen Sicherungsplan. Du solltest anschließend nachvollziehen können, welche Datenverluste dieser Plan begrenzen soll und welche Ausfallzeit im konkreten Wiederherstellungsverfahren zu erwarten ist. Verlange eine begründete Einschätzung statt einer Garantie, dass „alles sofort wieder da“ sein werde.
Zur Betreuung gehört außerdem, misslungene Sicherungen zu bemerken und zu bearbeiten. Kläre, wer entsprechende Meldungen prüft, wie Du bei einer anhaltenden Lücke informiert wirst und welche Aufgaben Dir bleiben. Ein automatisierter Bericht ist noch keine Fehlerbehebung. Für Tests sollte der Anbieter beschreiben, wie eine Wiederherstellung kontrolliert geprüft wird, ohne den laufenden Praxisbetrieb oder echte Patientendaten unnötig zu gefährden. Ein geeigneter Test hat einen vereinbarten Umfang und ein auswertbares Ergebnis.
Denke auch an den Zugriff auf die Sicherungen. Wenn nur der bisherige Anbieter die erforderlichen Schlüssel oder Administrationsdaten kennt, kann ein späterer Wechsel schwierig werden. Lass einen geschützten, für die Praxis verfügbaren Übergabeweg vereinbaren. So erhältst Du eine Sicherung, die Deine Praxis unterstützt, und nicht bloß eine weitere Abhängigkeit vom Dienstleister.
Das Team einbinden, ohne den Alltag zu überladen
Sicherheitsmaßnahmen funktionieren besser, wenn sie zum Praxisablauf passen. Ein gemeinsam benutztes Konto kann bequem erscheinen, erschwert aber die Zuordnung von Zugriffen. Eine zu komplizierte Anmeldung wiederum lädt zu improvisierten Abkürzungen ein. Besprich daher mit dem Dienstleister, wie persönliche Konten, passende Rollen und die nötigen Freigaben eingerichtet werden. Die Berechtigungen sollten sich an den Aufgaben orientieren. Die Anmeldung braucht andere Zugriffe als eine Person, die ausschließlich technische Wartung durchführt.
Neue Mitarbeitende brauchen einen verlässlichen Start: passende Zugänge, eine Einweisung und einen erreichbaren Ansprechpartner. Beim Ausscheiden müssen Geräte, Zugangsmittel und Berechtigungen berücksichtigt werden. Lass den technischen Anteil dieses Ablaufs mitbetreuen, während die Praxisleitung die personellen Änderungen rechtzeitig meldet. Der Dienstleister kann keinen Zugang fristgerecht sperren, wenn er vom Weggang erst später erfährt. Entscheidend ist deshalb die Verbindung zwischen Eurem Personalablauf und seiner technischen Arbeit.
Einweisung und Schulung sollten konkrete Situationen behandeln: eine verdächtige Nachricht, einen unbekannten Anruf mit angeblichem Supportauftrag oder ein verlorenes Dienstgerät. Frage nach Format, Zielgruppe und Umgang mit Rückfragen. Ein kurzer, verständlicher Meldeweg ist für Dein Team besonders wertvoll. Beschäftigte sollten einen möglichen Fehler früh melden können, ohne erst beweisen zu müssen, dass wirklich ein Angriff vorliegt. Die passende Reaktion beurteilt anschließend die zuständige Fachperson.
Auch externe Personen benötigen Regeln. Bevor sie Zugang oder Zugriff auf vertrauliche Informationen erhalten, müssen mit ihnen Vertraulichkeitsvereinbarungen in schriftlicher Form geschlossen werden. Lass den Anbieter erklären, wie das vor dem ersten Zugriff sichergestellt wird. Kurzfristig oder einmalig eingesetztes Fremdpersonal muss in sicherheitsrelevanten Bereichen beaufsichtigt werden; notwendige Zugangsberechtigungen sind so restriktiv wie möglich zu halten. Dazu gehört auch die Verpflichtung, geltende Gesetze, Vorschriften und interne Regeln einzuhalten. Dein Team braucht dafür einen klaren Ansprechpartner und einen praktikablen Ablauf. Ob eine Tätigkeit zusätzlich als Auftragsverarbeitung einzuordnen ist, richtet sich nach der konkreten Leistung. KBV-Richtlinie: Fremdpersonal
Unterstützung im Störungsfall konkret vereinbaren
Für eine Praxis ist Erreichbarkeit eine Leistungsfrage. Beschreibe Deine tatsächlichen Sprechzeiten und besonders kritische Abläufe, statt pauschal einen Rundumservice zu verlangen. Frage, wann Meldungen angenommen werden, wann qualifizierte Bearbeitung beginnt und was außerhalb dieser Zeiten möglich ist. Eine zugesagte Reaktion ist nicht automatisch die vollständige Lösung des Problems. Dieser Unterschied sollte im Angebot verständlich erklärt werden, damit Du Leistungen nicht nach ähnlich klingenden Werbewörtern vergleichst.
Lass gewöhnliche Störungen und mögliche Sicherheitsvorfälle unterscheiden. Wenn ein Drucker ausfällt, ist ein anderer Ablauf sinnvoll als bei ungewöhnlichen Anmeldungen oder einer nicht erklärbaren Datenveränderung. Trotzdem braucht Dein Team einen einfachen Einstieg in die Meldung. Eine bekannte Telefonnummer und klare Ansprechpartner helfen mehr als mehrere Spezialadressen, deren Zuständigkeit sich niemand merken kann. Vereinbare auch eine Vertretung, wenn Deine übliche Kontaktperson nicht erreichbar ist.
Für einen größeren Ausfall sollte der Dienstleister mit Dir einen zur Praxis passenden Ablauf vorbereiten. Wer entscheidet über Unterbrechungen? Welche Informationen benötigt die Praxisleitung? Welche technischen Arbeiten darf der Anbieter eigenständig ausführen und wann muss er Rücksprache halten? Besprecht außerdem, wie Ihr den Dienstleister erreicht, wenn die übliche E-Mail oder Telefonie über die Praxis-IT nicht funktioniert. Die dafür nötigen Kontakte sollten außerhalb des betroffenen Systems verfügbar sein.
Achte auf die Kommunikation mit PVS-Anbieter und weiteren Beteiligten. Wenn eine Wiederherstellung von deren Unterstützung abhängt, muss diese Abhängigkeit vorab bekannt sein. Der Sicherheitsdienstleister sollte keine Bearbeitungszeit versprechen, die er nicht selbst beeinflussen kann. Er kann aber koordinieren, technische Informationen zusammenführen und verständlich berichten. Das ist ein greifbarer Nutzen, besonders wenn die Praxisleitung gleichzeitig Patientenversorgung und Personal organisieren muss.
Angebote anhand Deiner Praxisfälle vergleichen
Gib allen angefragten Dienstleistern dieselbe Ausgangslage. Dafür genügt eine kompakte Beschreibung mit Praxisart, genutzten Anwendungen, Ausstattung und dem gewünschten Betreuungsumfang. Ergänze bekannte offene Punkte, etwa einen fehlenden Netzplan oder ungeklärte Backup-Zuständigkeiten. Solche Lücken sind sinnvolle Prüfaufträge. Du musst sie nicht selbst schließen, bevor Du Unterstützung suchst. Frage jeweils, welche Erhebung erforderlich ist und was daraus als konkretes Ergebnis entsteht.
Besonders aussagekräftig sind ein paar gemeinsam besprochene Praxisfälle. Lass erklären, was beim Eintritt einer neuen Mitarbeiterin passiert, wie ein misslungenes Backup bearbeitet wird und wie eine Störung der Patientenverwaltung zwischen den Beteiligten koordiniert wird. Diese Fälle sind keine behaupteten Kundenerfahrungen, sondern Fragen für Deinen Angebotsvergleich. Sie zeigen, ob der Anbieter Deine Abläufe verstanden hat und ob seine Leistungen tatsächlich zusammenpassen.
Vergleiche einmalige Einrichtung, laufende Betreuung und zusätzliche Arbeiten getrennt. Ein günstiger monatlicher Betrag kann sinnvoll sein, wenn Dein Team bestimmte Aufgaben zuverlässig übernimmt. Er kann aber auch entstehen, weil wichtige Leistungen fehlen. Frage nach Lizenzen, Vor-Ort-Einsätzen, Wiederherstellungstests und Veränderungen der betreuten Umgebung. Für Zusatzaufwand sollte erkennbar sein, wann Du vorher eine Entscheidung treffen kannst. Du brauchst keine erfundenen Marktpreise, um unterschiedliche Angebote fachlich vergleichbar zu machen.
Die KBV führt ein Verzeichnis speziell zertifizierter IT-Dienstleister. Diese Zertifizierung ist optional; Du kannst auch einen anderen geeigneten Anbieter beauftragen. Sie ersetzt in keinem Fall die Prüfung des konkreten Leistungsumfangs. Entscheidend bleiben Erfahrung mit Deiner Praxisumgebung, eine verständliche Aufgabenverteilung und brauchbare Betreuung im Alltag. Nimm das Angebot, das diese Fragen überzeugend beantwortet und dessen offene Voraussetzungen Du nachvollziehen kannst. KBV: IT-Sicherheit und Dienstleister
Für die Übernahme der Betreuung lohnt sich eine gemeinsame Begehung mit einer Person aus Deinem Team. Sie kann die tatsächlichen Arbeitsplätze erklären, während der Anbieter technische Abhängigkeiten aufnimmt. Lass dabei auch selten genutzte Bereiche berücksichtigen: einen mobilen Rechner, einen Untersuchungsraum oder eine Anwendung, die nur für bestimmte Abläufe benötigt wird. Solche Besonderheiten verändern den Leistungsumfang. Sie sollten als konkrete Geräte oder Aufgaben erfasst werden, damit ihre Betreuung später nicht von einer zufälligen Erinnerung abhängt.
Bei der abschließenden Übergabe brauchst Du Informationen, die auch eine Vertretung nutzen kann. Wer meldet Probleme, welche Anbieter sind zusätzlich beteiligt und wo liegen die für die Praxis verfügbaren Unterlagen? Frage nach einer kurzen Einweisung für die zuständigen Personen. Die Dokumentation sollte in der Praxis erreichbar sein, auch wenn Dein gewöhnlicher Ansprechpartner nicht da ist. Ein detaillierter Netzplan kann dahinterliegen; für den täglichen Umgang ist zusätzlich eine verständliche Übersicht sinnvoll.
Wenn ein Anbieter zunächst nur den Schutzstand prüft, sollte er klar sagen, welche Betreuung danach noch fehlt. Eine Bestandsaufnahme kann die richtige erste Leistung sein, ist aber kein stillschweigender Wartungsvertrag. Mit dieser Trennung entscheidest Du bewusst über die nächsten Aufgaben und erkennst, ab wann tatsächlich jemand die laufende Pflege Deiner Praxisumgebung übernimmt.
Passende Unterstützung für Deine Praxis anfragen
Über die Startseite von IT-Sicherheit Angebote kannst Du Unterstützung kostenfrei und unverbindlich anfragen. Wähle das Anliegen und die IT-Umgebung, die Deinem Bedarf am nächsten kommen. Welche Praxissoftware, Geräte und speziellen Betreuungswünsche betroffen sind, klärst Du bei der Rückmeldung. Halte dafür Deine kurze Praxisübersicht bereit. So beginnt das Gespräch mit den richtigen Fragen und führt zu einem Auftrag, der zu Deiner Praxis passt.