Im März 2024 traf es eine Zahnarztpraxis in Nordrhein-Westfalen: Ransomware verschlüsselte innerhalb von Minuten sämtliche Patientenakten, Röntgenbilder und Abrechnungsdaten. Die Praxis blieb drei Wochen geschlossen. Der Schaden belief sich auf rund 80.000 Euro, ohne die Reputationsverluste einzurechnen. Kein Einzelfall. Laut dem Lagebericht des deutschen Bundesamts für Sicherheit in der Informationstechnik zählten Gesundheitseinrichtungen 2023 zu den drei am häufigsten angegriffenen Branchen überhaupt.
Warum Arztpraxen besonders attraktive Ziele sind
Gesundheitsdaten erzielen im Darknet deutlich höhere Preise als gewöhnliche Kreditkartendaten. Ein vollständiger Patientendatensatz mit Diagnosen, Medikamentenliste und Versicherungsinformationen wird dort für 250 bis 500 US-Dollar gehandelt. Zum Vergleich: Eine gestohlene Kreditkartennummer bringt selten mehr als 5 Dollar.
Gleichzeitig sind viele Praxen strukturell schlecht aufgestellt. Sie betreiben oft veraltete Windows-Systeme, nutzen selten professionelle Firewall-Konfigurationen und haben keine dedizierten IT-Verantwortlichen. Eine Studie der Kassenärztlichen Bundesvereinigung aus 2023 ergab, dass in 41 Prozent der befragten Praxen Software im Einsatz war, die seit mehr als zwei Jahren keine Sicherheitsupdates erhalten hatte. Das ist keine technische Fußnote, das ist ein offenes Fenster für Angreifer.
Die Telematikinfrastruktur: Vernetzung mit Risiken
Mit dem Ausbau der Telematikinfrastruktur (TI) in Deutschland und Österreich sind Praxen inzwischen in ein gemeinsames digitales Netz eingebunden. Elektronische Patientenakten, E-Rezept und digitale AU-Bescheinigungen laufen darüber. Das schafft Effizienz, aber auch neue Angriffsflächen.
Das Problem liegt oft an den Schnittstellen: Praxisverwaltungssoftware muss mit dem TI-Konnektor kommunizieren, der Konnektor mit externen Diensten. Jede dieser Verbindungen ist ein potenzieller Eintrittspunkt. Sicherheitsforscher des Chaos Computer Clubs wiesen bereits 2021 nach, dass mehrere TI-Konnektoren über bekannte Schwachstellen erreichbar waren. Gepatcht wurde nur zögerlich.
Was Praxen konkret tun können
Abstrakte Empfehlungen helfen wenig. Konkret bedeutet IT-Sicherheit für eine Arztpraxis mindestens folgende Maßnahmen:
- Netzwerksegmentierung: Patientendaten-Server und das WLAN für wartende Patienten dürfen niemals im selben Netzwerksegment liegen.
- Regelmäßige Backups mit Offline-Komponente: Backups, die dauerhaft mit dem System verbunden sind, werden bei Ransomware-Angriffen mitverschlüsselt. Mindestens eine Kopie muss physisch getrennt aufbewahrt werden.
- Zwei-Faktor-Authentifizierung: Für alle Zugänge zu Praxissoftware und E-Mail-Konten, ohne Ausnahme.
- Mitarbeiterschulungen: Die meisten erfolgreichen Angriffe beginnen mit einer Phishing-Mail. Praxispersonal muss regelmäßig trainiert werden, solche Mails zu erkennen.
- Notfallplan: Was passiert, wenn die Systeme ausfallen? Wer wird informiert, in welcher Reihenfolge, und wie läuft der Betrieb manuell weiter?
Viele dieser Maßnahmen kosten wenig, werden aber systematisch vernachlässigt, weil der Alltag in einer Praxis schlicht keinen Raum lässt für IT-Grundlagenarbeit.
Forensik und Vorfallreaktion: Was nach einem Angriff zählt
Wenn ein Sicherheitsvorfall eingetreten ist, beginnt die eigentlich kritische Phase. Wer in Panik die betroffenen Systeme einfach neu aufsetzt, vernichtet möglicherweise Beweise und verstößt gegen datenschutzrechtliche Dokumentationspflichten. Die DSGVO schreibt vor, dass Datenpannen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden müssen, sofern ein Risiko für Betroffene besteht.
Spezialisierte Dienstleister für IT-Sicherheit Stuttgart übernehmen in solchen Fällen die forensische Sicherung der betroffenen Systeme, rekonstruieren den Angriffsweg und liefern die Dokumentation, die Behörden und Versicherungen verlangen. Dieser Schritt ist keine Kür, er ist rechtlich und organisatorisch notwendig.
In der Praxis zeigt sich: Wer nach einem Angriff gut dokumentieren kann, was geschah, kommt nicht nur besser durch behördliche Prüfungen, sondern hat auch deutlich bessere Chancen, Versicherungsleistungen zu erhalten. Cyberversicherungen lehnen Erstattungen regelmäßig ab, wenn der Nachweis ordnungsgemäßer Sicherheitsmaßnahmen fehlt.
Was Patienten selbst kontrollieren können
Patienten sind in diesem System nicht nur passive Betroffene. Wer weiß, worauf er achten soll, kann zumindest rudimentär einschätzen, ob seine Daten sorgfältig behandelt werden.
Folgende Fragen sind berechtigt, bevor man einer Praxis sensible Daten anvertraut:
- Wird für die Datenübertragung eine verschlüsselte Verbindung genutzt (HTTPS, TLS)?
- Gibt es eine aktuelle Datenschutzerklärung, die konkret beschreibt, welche Dienstleister Zugriff auf Patientendaten haben?
- Werden Daten in einer Cloud gespeichert, und wenn ja, in welchem Land stehen die Server?
Das klingt nach viel Aufwand, ist es aber nicht. Wer beim ersten Praxisbesuch einfach fragt, wie die Patientendaten gespeichert werden, bekommt oft schon durch die Reaktion des Personals einen guten Eindruck davon, wie ernst das Thema genommen wird.
Regulatorischer Druck wächst: NIS2 und DSGVO als Treiber
2026 ist kein zufällig gewähltes Datum. Die EU-Richtlinie NIS2, die seit Oktober 2024 in nationales Recht umgesetzt werden musste, erfasst ausdrücklich auch Teile des Gesundheitssektors. Größere Praxisverbünde, Labore und Telemedizin-Anbieter fallen unter verschärfte Pflichten zur Risikoanalyse, Meldung von Sicherheitsvorfällen und technischen Schutzmaßnahmen.
Für kleinere Einzelpraxen gilt das formal noch nicht in vollem Umfang. Aber die Aufsichtsbehörden signalisieren deutlich, dass auch dort der Prüfdruck zunimmt. Die österreichische Datenschutzbehörde verhängte 2023 mehrere Bußgelder gegen Gesundheitsdienstleister wegen unzureichender technischer Schutzmaßnahmen. Die Beträge lagen zwischen 8.000 und 45.000 Euro.
Wer jetzt investiert, zahlt weniger als derjenige, der nach einem Vorfall oder einer Behördenanfrage reagieren muss. IT-Sicherheit in Arztpraxen ist kein Luxusprojekt für Großkliniken mehr. Sie ist 2026 schlicht Teil einer ordentlichen Betriebsführung.
