lemniscus®
#it-sicherheit ist praxisverantwortung
#art. 32 ist ein arbeitsauftrag
Art. 32 DSGVO sagt nicht einfach: „Installiere ein Virenschutzprogramm.“ Er verlangt von jeder Praxis, die eigenen Risiken zu verstehen, passende Schutzmaßnahmen umzusetzen, ihre Wirksamkeit zu prüfen und diese Entscheidungen belegen zu können.
Das klingt zunächst abstrakt. In einer medizinischen oder therapeutischen Einrichtung wird es schnell konkret: Auf dem Praxisrechner, im Kalender, im E-Mail-Postfach und in der Praxissoftware liegen Informationen darüber, wer in Behandlung ist, welche Beschwerden bestehen und welche Leistungen erbracht wurden. Schon eine Terminart kann etwas über die Gesundheit eines Menschen verraten.
Diese Daten dürfen nicht bei Unbefugten landen. Sie dürfen aber auch nicht unbemerkt verändert werden oder genau dann fehlen, wenn die Praxis sie braucht. Datenschutz bedeutet deshalb nicht nur Geheimhaltung. Er bedeutet auch richtige, verfügbare und belastbare Systeme. Art. 32 nimmt sowohl die verantwortliche Praxis als auch ihre Auftragsverarbeitende in die Pflicht. Ein Dienstleisty übernimmt eigene Aufgaben; die Praxis bleibt für Auswahl und sicheren Einsatz verantwortlich.
Unser Ausgangspunkt
BayLfD und BayLDA haben am 27. Mai 2020 die Handreichung „Cybersicherheit für medizinische Einrichtungen – Best-Practice-Prüfkriterien Art. 32 DS-GVO“ veröffentlicht. Sie übersetzt die abstrakte Vorschrift in 16 praktische Themenfelder.
Das Papier konzentriert sich vor allem auf die Verfügbarkeit bei Angriffen aus dem Internet. Es bezeichnet seine Maßnahmen selbst als nicht abschließend. Nicht jedes Häkchen ist in jeder Praxis zwingend; eine andere Maßnahme kann passen, wenn sie nachweisbar ein vergleichbares Schutzniveau erreicht.
Was Art. 32 DSGVO in normaler Sprache verlangt
Die Vorschrift verlangt keine unmögliche hundertprozentige Sicherheit. Sie verlangt ein Sicherheitsniveau, das zu den tatsächlichen Risiken passt. Vier Gedanken tragen die gesamte Regelung.
Das Risiko bestimmt den Aufwand
Je sensibler die Daten, je größer der Datenbestand und je schwerer die möglichen Folgen für Patientys, desto stärker müssen die Schutzmaßnahmen sein. Gesundheitsdaten benötigen regelmäßig ein hohes Schutzniveau. Die Größe der Praxis und die Umsetzungskosten zählen mit, sind aber kein Freibrief für unsichere Verarbeitung. Die Rechte der Patientys werden nicht kleiner, nur weil eine Praxis klein ist.
Technik und Organisation gehören zusammen
Verschlüsselung, Firewall und Datensicherung sind technische Maßnahmen. Klare Zuständigkeiten, Einweisungen, Berechtigungen und ein Notfallplan sind organisatorische Maßnahmen. Gute Technik hilft wenig, wenn alle dasselbe Passwort benutzen oder niemand auf eine Warnmeldung reagiert.
Der Stand der Technik bewegt sich
Eine 2020 sinnvolle Einstellung kann 2026 überholt sein. „Stand der Technik“ meint erprobte, verfügbare und wirksame Schutzmaßnahmen auf aktuellem Niveau. Deshalb müssen Systeme, Risiken und Regeln regelmäßig überprüft und nach wesentlichen Änderungen oder Vorfällen neu bewertet werden.
Die Praxis muss es zeigen können
„Unser IT-Mensch macht das schon“ ist kein Nachweis. Die Praxis braucht zumindest eine verständliche Übersicht: Welche Systeme und Risiken gibt es? Wer ist wofür zuständig? Welche Maßnahmen wurden warum gewählt? Wann wurden Wiederherstellung und Notfallablauf zuletzt getestet?
Vier Schutzziele – mit Beispielen aus der Praxis
Art. 32 nennt mehrere Eigenschaften, die dauerhaft gesichert werden sollen. Hinter den Fachbegriffen stehen sehr alltägliche Fragen.
Vertraulichkeit
Nur berechtigte Personen sehen die Daten. Das bedeutet zum Beispiel persönliche Benutzerkonten, passende Rollen, Sichtschutz, verschlüsselte Geräte und keine offen herumliegenden Befunde.
Integrität
Daten bleiben richtig und Änderungen nachvollziehbar. Ein falscher Befund, eine manipulierte Bankverbindung oder ein unbemerkt geänderter Termin kann reale Schäden verursachen.
Verfügbarkeit
Die Praxis kommt rechtzeitig an die benötigten Informationen. Dazu gehören funktionierende Datensicherungen, erreichbare Dienstleistys und ein Ersatzablauf, wenn Internet, Gerät oder Software ausfallen.
Belastbarkeit
Ein einzelner Fehler legt nicht sofort alles lahm. Systeme und Abläufe sollen Störungen aushalten, Angriffe begrenzen und nach einem Zwischenfall zügig wieder in einen sicheren Zustand kommen.
Ein Vorfall beweist nicht automatisch ein Versäumnis
Auch eine sorgfältig geschützte Praxis kann angegriffen werden. Der Europäische Gerichtshof hat klargestellt: Ein unbefugter Zugriff allein beweist noch nicht, dass die Maßnahmen ungeeignet waren. Entscheidend ist die konkrete Risikolage und ob Art, Inhalt, Umsetzung und tatsächliche Wirkung der Maßnahmen dazu passten.
Die Praxis muss die Geeignetheit ihrer Maßnahmen allerdings nachweisen können. Genau deshalb sind eine dokumentierte Risikoeinschätzung, klare Zuständigkeiten und echte Tests so wichtig. EuGH, Urteil C-340/21
Risiko einschätzen: nicht aus Sicht des Computers, sondern des Patientys
Bei der Risikoeinschätzung geht es nicht zuerst um den Preis eines neuen Rechners oder den entgangenen Praxisumsatz. Art. 32 fragt nach den möglichen Folgen für die Rechte und Freiheiten der betroffenen Menschen. Bei Gesundheitsdaten können Offenlegung, Manipulation oder Verlust besonders schwer wiegen.
1. Daten und Systeme erfassen
Wo entstehen Patientydaten? Denke nicht nur an die Praxissoftware, sondern auch an E-Mail, Telefon, Kalender, Scanner, Drucker, Smartphone, lokale Downloads, externe Labore, Online-Formulare, Router und medizinische Geräte.
2. Mögliche Ereignisse beschreiben
Was kann schiefgehen? Ein Gerät wird gestohlen, ein Konto übernommen, eine Datei an die falsche Person geschickt, ein Befund verändert, ein Anbieter fällt aus oder Schadsoftware verschlüsselt Rechner und Sicherung zugleich.
3. Wahrscheinlichkeit und Folgen bewerten
Wie leicht kann das Ereignis eintreten, wie viele Menschen wären betroffen und wie schwer wären die Folgen? Ein öffentlich sichtbarer Vorname ist anders zu bewerten als eine vollständige Akte mit Diagnose, Anamnese, Kontaktdaten und Zahlungsinformationen.
4. Maßnahme wählen und Restrisiko prüfen
Welche technische oder organisatorische Maßnahme senkt das Risiko wirksam? Wer setzt sie bis wann um? Welches Risiko bleibt danach übrig – und kann die Praxis nachvollziehbar begründen, warum dieses Restrisiko angemessen ist?
Wie sieht das im Praxisalltag aus?
Nehmen wir ein Praxis-Notebook, das gestohlen wird. Entscheidend ist nicht nur der Wert des Geräts. Viel wichtiger ist die Frage: Sind darauf Patientydaten gespeichert – und kann die Person, die das Notebook findet, diese einfach öffnen? Ist das Gerät vollständig verschlüsselt, automatisch gesperrt und liegen darauf möglichst keine Akten, ist die Gefahr für Patientys deutlich kleiner. Genau so funktioniert Risikoeinschätzung: erst die mögliche Folge verstehen, dann den Schutz wählen, der diese Folge verhindert oder zumindest begrenzt.
Ein anderes Beispiel ist eine gefälschte E-Mail, die zur Anmeldung in einem Praxisdienst auffordert. Gibt jemand dort das Kennwort ein, können Fremde vielleicht das Postfach, Termine oder Dokumente einsehen. Das ist kein fernliegendes Hollywood-Szenario, sondern ein Fehler, der im hektischen Alltag schnell passieren kann. Eigene Zugänge für jedes Teammitglied, eine zweite Bestätigung beim Anmelden und eine kurze Rückfrage über einen anderen Weg machen aus einem einzelnen Irrtum viel seltener einen großen Datenschutzvorfall.
Auch eine Datensicherung ist nicht automatisch ein ausreichender Schutz. Bleibt sie ständig mit dem Praxisrechner verbunden, kann Schadsoftware unter Umständen Original und Sicherung zugleich unbrauchbar machen. Erst eine getrennte Sicherung und ein gelegentlicher Test zeigen, ob sich Akten und Termine im Notfall wirklich zurückholen lassen. Das Beispiel macht zugleich deutlich: Eine Maßnahme zählt nicht deshalb, weil sie auf einer Liste abgehakt wurde, sondern weil sie im entscheidenden Moment tatsächlich hilft.
Wann wird aus einem Versäumnis grobe Fahrlässigkeit?
Fahrlässig handelt vereinfacht gesagt, wer die erforderliche Sorgfalt nicht beachtet. Grobe Fahrlässigkeit ist die deutlich schwerere Form: Naheliegende Schutzmaßnahmen werden in besonders hohem Maß außer Acht gelassen, obwohl ihre Notwendigkeit jedem in dieser Lage hätte einleuchten müssen. Ob diese Schwelle erreicht ist, wird immer anhand des konkreten Einzelfalls beurteilt.
Für die DSGVO ist wichtig: Erst grobe Fahrlässigkeit löst nicht etwa die Verantwortung aus. Bereits ein fahrlässiger Verstoß kann für ein Bußgeld genügen. Auch Schadensersatz nach Art. 82 DSGVO setzt keine grobe Fahrlässigkeit voraus; benötigt werden aber ein DSGVO-Verstoß, ein dadurch entstandener materieller oder immaterieller Schaden und ein Zusammenhang zwischen beidem.
„Das Gesetz war zu ungenau“ wird als Erklärung schwächer, wenn Aufsichtsbehörden und Fachgremien seit Jahren genau für medizinische Einrichtungen vor Updates, ungeschützten Fernzugängen, fehlenden Wiederherstellungstests oder gemeinsam genutzten Konten warnen. Wer solche bekannten Risiken ohne Prüfung dauerhaft ignoriert, erhöht das Risiko, dass ein Gericht das Verhalten als besonders schwerwiegende Sorgfaltspflichtverletzung bewertet.
Kein einzelnes fehlendes Häkchen entscheidet
Eine nicht umgesetzte Empfehlung aus der BayLDA-Liste ist nicht automatisch grobe Fahrlässigkeit. Entscheidend sind Risiko, erkennbare Gefahr, verfügbare Alternativen, tatsächliche Schutzwirkung und die Frage, ob die Praxis überhaupt eine nachvollziehbare Entscheidung getroffen hat.
Besonders problematisch ist nicht nur eine falsche Entscheidung, sondern völlige Untätigkeit: keine Bestandsaufnahme, niemand zuständig, bekannte Warnungen ignoriert, kein Test und keine Dokumentation.
Privathaftung ist gewollt
In einer Einzelpraxis stellt sich die Frage kaum: Praxis und verantwortliche Person sind nicht durch eine Gesellschaft voneinander getrennt. Interessant wird es bei einer GbR, GmbH oder anderen Gesellschaftsform. Auch dort kann am Ende eine einzelne Person persönlich haften – etwa ein Gesellschaftery, ein Geschäftsführungsmitglied oder ein Vorstand.
Das bedeutet nicht, dass bei jeder Datenschutzverletzung automatisch das Privatvermögen jeder beteiligten Person betroffen ist. Es bedeutet aber: Eine Rechtsform ist kein Freifahrtschein, hinter dem Verantwortung verschwindet. Wer über Personal, Technik, Budgets und Abläufe entscheidet, muss sich auch darum kümmern, dass Datenschutz und IT-Sicherheit tatsächlich organisiert werden. Der praktische Sinn ist klar: Eine Gesellschaft soll kein Schutzschild für völlige Untätigkeit sein.
Verantwortung lässt sich nicht wegorganisieren
Auch bei einer GbR oder GmbH können verantwortliche Einzelpersonen mit dem eigenen Vermögen einstehen müssen. Welche Person das trifft und auf welchem Weg, hängt von Rechtsform, Rolle und eigenem Verhalten ab.
Die technische Umsetzung darf an Fachleute oder Dienstleistys vergeben werden. Die Aufgabe, geeignete Personen auszuwählen, Zuständigkeiten festzulegen, notwendige Mittel bereitzustellen und die Umsetzung zu kontrollieren, bleibt aber bei den Verantwortlichen.
Die Konkretisierung gibt es schon lange
Art. 32 DSGVO ist offen formuliert, damit er zu sehr unterschiedlichen Verarbeitungen und zu neuer Technik passt. Für medizinische Einrichtungen bedeutet das aber nicht, dass seit Jahren niemand wüsste, was praktisch erwartet wird.
BayLfD und BayLDA: 16 Prüffelder seit 2020
Die bayerischen Datenschutzbehörden haben ihre Erwartungen in der verlinkten Handreichung sehr konkret gemacht. Das Papier ist kein Gesetz und keine abschließende Pflichtliste. Es ist aber eine offizielle Hilfestellung genau zur Sicherheit medizinischer Einrichtungen nach Art. 32 DSGVO.
Wer abweicht, darf das. Die Praxis sollte dann erklären können, welches Risiko sie gesehen hat und wie eine andere Maßnahme ein vergleichbares angemessenes Schutzniveau erreicht. Einfach nichts zu tun ist keine gleichwertige Alternative.
KBV: verbindlicher Mindeststandard in ihrem Bereich
Die KBV-IT-Sicherheitsrichtlinie gilt unmittelbar für Leistungserbringende der vertragsärztlichen und vertragspsychotherapeutischen Versorgung. Sie gilt nicht allein deshalb auch für eine Heilpraktiker-Praxis. Die aktuelle Fassung ist seit April 2025 in Kraft; die in der Neufassung bezeichneten neuen Anforderungen waren ab 1. Oktober 2025 umzusetzen.
Trotzdem ist sie ein gewichtiger Orientierungspunkt. Die KBV erstellt sie aufgrund von § 390 SGB V unter Einbeziehung des BSI und bezeichnet ihren Auftrag selbst als Standardisierung des Stands der Technik der Maßnahmen nach Art. 32 DSGVO – innerhalb der vertragsärztlichen und vertragspsychotherapeutischen Versorgung.
Was daraus für Heilpraktikys folgt – und was nicht
Die KBV-Richtlinie wird nicht durch Ähnlichkeit zu einer unmittelbar verbindlichen Heilpraktiker-Richtlinie. Sie definiert auch nicht allein und für jede denkbare medizinische Einrichtung abschließend den Stand der Technik.
Zusammen mit Art. 32 DSGVO, der BayLDA/BayLfD-Handreichung und den Empfehlungen des BSI zeigt sie aber sehr deutlich, welche Maßnahmen in vergleichbaren Praxisumgebungen technisch verfügbar, anerkannt und praktisch zumutbar sind. Für die eigene Risikoeinschätzung lässt sich dieser Maßstab nicht sinnvoll ignorieren.
16 Prüffelder: Klingt trocken, ist aber ganz praktisch
Die folgenden Punkte übersetzen die Handreichung in typische Praxissituationen. Sie sind keine Einkaufsliste und ersetzen keine Prüfung der eigenen Technik. Sie helfen dir aber, die richtigen Fragen zu stellen und Antworten deines IT-Dienstleistys zu verstehen.
1 von 16
Patch-Management: Sicherheitslücken schließen
Einfach gesagt: Updates reparieren nicht nur Fehler und bringen neue Funktionen. Viele schließen bekannte Einfallstore. Sobald eine Lücke öffentlich bekannt ist, können Kriminelle gezielt nach ungepatchten Geräten suchen.
In der Praxis: Führe eine Liste von Betriebssystemen, Browsern, Praxisprogrammen, Routern, Druckern und medizinischen Geräten. Lege fest, wer Updates zeitnah einspielt. Systeme ohne Sicherheitsupdates werden ersetzt oder nachvollziehbar in einem getrennten Netz betrieben – nicht einfach vergessen.
2 von 16
Malware-Schutz: Schadprogramme erkennen und begrenzen
Einfach gesagt: Malware ist Software, die ausspioniert, manipuliert oder zerstört. Ein aktueller Schutz fängt viele bekannte Angriffe ab, aber niemals alle.
In der Praxis: Auf allen geeigneten Arbeitsplatzgeräten ist der integrierte oder ein anderer zeitgemäßer Schutz aktiv und aktuell. Warnungen dürfen nicht folgenlos weggeklickt werden: Es ist festgelegt, wer sie bekommt, bewertet und bei einem Treffer Geräte vom Netz trennt. Auch USB-Sticks und andere Datenträger gehören in den Ablauf.
3 von 16
Ransomware-Schutz: Erpressung den Hebel nehmen
Einfach gesagt: Ransomware verschlüsselt Daten und verlangt Geld für ihre Freigabe. Häufig beginnt der Angriff mit einem E-Mail-Anhang, einem Link, einem Makro oder einem übernommenen Fernzugang.
In der Praxis: Gefährliche Anhänge und Makros werden technisch eingeschränkt, Beschäftigte kennen den Meldeweg, und Fernzugänge sind besonders geschützt. Entscheidend ist eine getrennte Sicherung, die der Angreifer nicht mitverschlüsseln kann, plus ein tatsächlich getesteter Wiederanlauf. Der Notfallplan liegt auch auf Papier vor.
4 von 16
Passwort-Schutz: lang, einzigartig und nicht geteilt
Einfach gesagt: Ein Passwort ist wie ein Schlüssel. Derselbe kurze Schlüssel für E-Mail, Praxissoftware und Onlineshop macht aus einem einzigen Datenleck einen Generalschlüssel.
In der Praxis: Jede Person nutzt ein eigenes Konto und für jeden Dienst ein langes, einzigartiges Passwort oder eine Passphrase. Ein Passwortmanager hilft beim sicheren Verwalten. Passwörter werden bei Verdacht und nach bekannten Vorfällen gewechselt; ein starrer Routinewechsel schwacher Varianten schafft keine Sicherheit. Die Zahlenwerte aus einem Papier von 2020 sind kein ewiger Standard.
5 von 16
Zwei-Faktor-Authentifizierung: ein gestohlenes Passwort reicht nicht
Einfach gesagt: Zur Anmeldung werden zwei unterschiedliche Nachweise benötigt – zum Beispiel Passwort plus Sicherheitsschlüssel, Passkey oder Freigabe in einer Authenticator-App.
In der Praxis: Aktiviere den zweiten Faktor mindestens für Praxissoftware, E-Mail, Cloud-Speicher, Passwortmanager, Fernwartung und Administrationskonten, soweit der Dienst ihn anbietet. Wiederherstellungscodes werden sicher und erreichbar für den Notfall verwahrt. Der zweite Faktor ersetzt kein gutes Berechtigungskonzept, schließt aber eine häufige Angriffslücke.
6 von 16
E-Mail-Sicherheit: erst prüfen, dann klicken
Einfach gesagt: E-Mails lassen sich leicht fälschen. Eine Nachricht kann aussehen, als käme sie vom Labor, vom Steuerbüro, vom Software-Support oder von der Praxisleitung, obwohl dahinter ein Angriff steckt.
In der Praxis: Anhänge und Links werden geprüft, gefährliche Dateitypen blockiert und unerwartete Aufforderungen über einen bekannten zweiten Kontaktweg bestätigt. Pauschale Weiterleitungen an private Postfächer sind tabu. Gesundheitsdaten werden nur über dafür geeignete, vereinbarte und geschützte Wege versendet. Ein Schlosssymbol zeigt höchstens, dass ein Übertragungsweg verschlüsselt ist; es bestätigt weder die richtige empfangende Person noch die rechtliche Zulässigkeit des Versands.
7 von 16
Backups: Wiederherstellen ist wichtiger als Kopieren
Einfach gesagt: Eine Sicherung ist nur dann brauchbar, wenn sie im Ernstfall vollständig, unbeschädigt und rechtzeitig zurückgespielt werden kann. Eine ständig angeschlossene USB-Festplatte kann zusammen mit dem Rechner verschlüsselt oder gestohlen werden.
In der Praxis: Lege fest, welche Daten wie oft gesichert werden, wo die Sicherung liegt, wer sie kontrolliert und wie lange eine Wiederherstellung dauern darf. Mindestens eine Sicherung ist technisch oder organisatorisch vom laufenden System getrennt. Wiederherstellungstests werden protokolliert. Bei Cloud-Diensten wird geklärt, was der Anbiety sichert und welche lokalen Daten zusätzlich bei der Praxis liegen.
8 von 16
Homeoffice: die Praxisgrenze wandert mit
Einfach gesagt: Zu Hause entstehen andere Risiken: private Geräte, gemeinsam genutztes WLAN, Familienmitglieder, fehlender Sichtschutz und Papier im Hausmüll. „Ich bin doch zu Hause“ ist keine Schutzmaßnahme.
In der Praxis: Es ist bekannt, wer mit welchem freigegebenen Gerät auf welche Daten zugreift. Dienstliche Geräte sind verschlüsselt und gesperrt; private und dienstliche Bereiche bleiben getrennt. Zugriffe in das Praxisnetz werden geschützt, Papier sicher verwahrt und vernichtet, Videogespräche vor Mithören geschützt und ein alternativer Kontaktweg für IT-Notfälle vereinbart.
9 von 16
Externer Abruf von Laborergebnissen: ein Portal ist eine Eingangstür
Einfach gesagt: Ein über das Internet erreichbares Ergebnisportal kann sehr nützlich sein. Gleichzeitig ist es weltweit sichtbar und wird damit automatisch zum möglichen Angriffsziel.
In der Praxis: Jede einsendende Stelle erhält eigene sichere Zugänge; Übertragung und gespeicherte Daten sind angemessen geschützt. Zugriffe werden protokolliert und Auffälligkeiten kontrolliert. Bereitgestellte Ergebnisse bleiben nicht unbegrenzt liegen. Portal und internes Netz sind getrennt, Updates und Sicherheitstests fest eingeplant. Nutzt die Praxis kein solches Portal, ist dieser Punkt für sie nicht einschlägig.
10 von 16
Fernwartung: Support nur so weit und so lange wie nötig
Einfach gesagt: Fernwartungssoftware lässt Support-Personal aus der Ferne auf einen Rechner. Ein schlecht geschützter Dauerzugang lässt im Zweifel auch Angreifys hinein.
In der Praxis: Zugänge werden nur für einen konkreten Zweck und Zeitraum freigeschaltet, auf die benötigten Systeme begrenzt und mit starken Verfahren geschützt. Die Praxis kann erkennen und später nachvollziehen, wann wer verbunden war. Nicht benötigte Dateiübertragung wird gesperrt. Nach Vertragsende werden Konten und Zugänge entfernt – ein unbeaufsichtigter gemeinsamer Dauerzugang ist keine bequeme Standardeinstellung.
11 von 16
Administrationskonten: der Generalschlüssel bleibt im Schrank
Einfach gesagt: Ein Administrationskonto darf Programme installieren, Schutzfunktionen ändern und häufig auf viele Daten zugreifen. Wird es übernommen, ist der mögliche Schaden besonders groß.
In der Praxis: Für E-Mail, Internet und normale Arbeit wird ein Konto ohne Administrationsrechte benutzt. Das Admin-Konto ist getrennt, besonders stark geschützt und nur bei Bedarf im Einsatz. Notfallzugänge werden sicher verwahrt; die Praxis bleibt nicht von einer einzigen erkrankten Person oder einem einzigen Dienstleisty abhängig.
12 von 16
Notfallkonzept: entscheiden, bevor der Bildschirm schwarz bleibt
Einfach gesagt: Im Angriff fehlt die Ruhe, um Telefonnummern, Meldepflichten und die richtige Reihenfolge erst zu recherchieren. Ein Plan spart Zeit und verhindert hektische Fehler.
In der Praxis: Eine aktuelle Papierfassung nennt Kontaktpersonen, IT-Dienstleistys, Versicherer und zuständige Stellen. Sie beschreibt, wer Geräte vom Netz trennt, wie Termine und Behandlungen vorübergehend weiterlaufen, welche Systeme zuerst wiederhergestellt werden und wer eine mögliche Meldung nach Art. 33 DSGVO prüft. Ist eine Meldung erforderlich, muss sie grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden bei der Aufsicht eingehen. Der Ablauf wird geübt und nach Änderungen aktualisiert.
13 von 16
Netztrennung: nicht jedes Gerät darf mit jedem sprechen
Einfach gesagt: Ist ein Gerät infiziert, sucht der Angriff oft nach weiteren erreichbaren Geräten. Getrennte Netze wirken wie Brandschutztüren und bremsen die Ausbreitung.
In der Praxis: Gäste-WLAN, Verwaltungsgeräte, medizinische Geräte und öffentlich erreichbare Dienste werden je nach Risiko voneinander getrennt. Auch in einer kleinen Praxis kann ein richtig eingerichtetes Gäste-WLAN ein Anfang sein. Welche Bereiche miteinander kommunizieren dürfen, wird bewusst festgelegt und in einem einfachen Netzplan dokumentiert.
14 von 16
Firewall: die Regeln an der digitalen Eingangstür
Einfach gesagt: Eine Firewall prüft Netzwerkverbindungen und blockiert, was nach den festgelegten Regeln nicht erlaubt ist. Sie ist nicht dasselbe wie ein Virenschutzprogramm und ersetzt es nicht.
In der Praxis: Router und Geräte-Firewalls sind aktiv, aktuell und von qualifizierten Personen konfiguriert. Unnötige Freigaben aus dem Internet werden geschlossen. Regeln und Protokolle werden überprüft, besonders nach Umbauten, Anbieterwechseln oder neuen Fernzugängen. Eine Firewall, die seit Jahren niemand verwaltet, ist kein belastbarer Nachweis.
15 von 16
Datenschutzbeauftragty: beraten und kontrollieren, nicht Verantwortung übernehmen
Einfach gesagt: Ein Datenschutzbeauftragty berät, sensibilisiert und überwacht unabhängig. Es bleibt Aufgabe der Leitung, Entscheidungen zu treffen, Mittel bereitzustellen und Maßnahmen umzusetzen.
In der Praxis: Wenn ein Datenschutzbeauftragty bestellt ist, wird diese Person frühzeitig in Sicherheitsfragen, Audits und Vorfälle eingebunden und angemessen fortgebildet. Nicht jede kleine Praxis muss automatisch eine solche Person bestellen. Besteht keine Bestellpflicht, verschwinden die Pflichten aus Art. 32 trotzdem nicht; dann muss die Praxis bei Bedarf andere fachkundige Beratung organisieren.
16 von 16
Social Engineering: Menschen werden nicht gehackt, sondern überzeugt
Einfach gesagt: Angreifys geben sich als Patienty, Chef, Bank, Labor oder Support aus und erzeugen Zeitdruck. Sie wollen Passwörter, eine Überweisung, eine Fernwartungsfreigabe oder nur eine kleine Information für den nächsten Angriff.
In der Praxis: Neue Beschäftigte werden vor dem ersten Datenzugriff eingewiesen, das ganze Team regelmäßig anhand echter Beispiele geschult. Ungewöhnliche Anfragen werden über bekannte Kontaktdaten zurückgerufen. Es gibt einen schnellen Meldeweg ohne Schuldzuweisung: Ein früh gemeldeter Fehlklick lässt sich oft noch begrenzen, ein verschwiegener nicht.
Eine Checkliste ist noch kein Sicherheitskonzept
Die 16 Felder helfen beim Einstieg. Art. 32 verlangt aber eine Verbindung aus konkretem Risiko, passender Maßnahme und nachgewiesener Wirksamkeit. Ein angekreuztes „Backup vorhanden“ genügt nicht, wenn niemand weiß, ob sich damit die Patientydaten wiederherstellen lassen. Umgekehrt darf eine Praxis von einer Einzelmaßnahme abweichen, wenn eine andere Lösung ihr Risiko nachweisbar ebenso gut oder besser beherrscht.
Cloud-Praxissoftware: Wer übernimmt welchen Teil?
Eine professionell betriebene Cloud-Anwendung verschiebt viele technische Aufgaben zum Anbiety. Sie entfernt aber nicht alle Risiken aus der Praxis. Art. 32 bleibt ein Zusammenspiel.
Aufgabe des Software-Anbietys
Der Anbiety schützt die von ihm betriebene Anwendung und Infrastruktur. Dazu gehören je nach vereinbarter Leistung unter anderem Serverbetrieb, Aktualisierungen, Absicherung der Dienste, Datensicherungen, Überwachung und Wiederherstellung auf seiner Seite.
Welche Maßnahmen tatsächlich übernommen werden, steht nicht in der Werbung, sondern in Leistungsbeschreibung, Vertrag zur Auftragsverarbeitung und den dokumentierten technischen und organisatorischen Maßnahmen.
Aufgabe der Praxis
Die Praxis schützt ihre Rechner, Smartphones, Router, E-Mail-Konten, Ausdrucke und lokal gespeicherten Dateien. Sie vergibt persönliche Zugänge und passende Rechte, aktiviert angebotene Sicherheitsfunktionen, schult das Team und regelt Ein- und Austritt von Beschäftigten.
Außerdem wählt und kontrolliert sie ihre Dienstleistys, hält Kontaktdaten und Notfallabläufe bereit und prüft, wie der Praxisbetrieb bei Internet- oder Anbieterausfall vorübergehend weitergeht.
Mehr zu dieser Aufgabenteilung findest du in unseren Orientierungspunkten „Warum keine Software DSGVO-Konformität garantieren kann“ und „Team ist nicht gleich Team. Cloud ist nicht gleich Cloud.“
Ein sinnvoller erster Selbst-Check
Du musst die gesamte Praxis-IT nicht in einem Nachmittag neu bauen. Du solltest danach aber wissen, wo die größten Lücken liegen und wer sich bis wann darum kümmert.
Bestand erfassen
Liste Geräte, Programme, Cloud-Dienste, E-Mail, Router, Datenträger, medizinische Geräte und externe Zugänge auf. Ergänze verantwortliche Person und Update-Status.
Zugänge prüfen
Hat jede Person ein eigenes Konto? Sind ausgeschiedene Beschäftigte gesperrt? Sind Rollen passend und ist Zwei-Faktor-Authentifizierung überall aktiviert, wo sensible oder administrative Zugriffe möglich sind?
Wiederherstellung zeigen lassen
Frage nicht nur, ob es ein Backup gibt. Lass dir erklären und dokumentieren, wann zuletzt welche Daten testweise wiederhergestellt wurden und wie lange ein kompletter Ausfall überbrückt werden kann.
Fernzugänge und Netz prüfen
Welche Dienstleistys können sich von außen verbinden? Sind die Zugänge zeitlich begrenzt, persönlich und mit einem zweiten Faktor geschützt? Sind Gäste- und Praxisgeräte sinnvoll getrennt?
Notfallzettel erstellen
Halte auf Papier fest, wen das Team bei verdächtiger E-Mail, Geräteverlust, Schadsoftware oder Ausfall anruft, was sofort zu tun ist und wer mögliche Datenschutzmeldungen bewertet.
Entscheidungen dokumentieren und Termin setzen
Notiere erkannte Risiken, gewählte Maßnahmen, Zuständigkeiten und offene Punkte. Lege einen festen Termin für die nächste Prüfung fest – außerdem wird nach größeren Änderungen und Vorfällen neu geprüft.
Quellen und rechtliche Einordnung
- BayLfD/BayLDA: Cybersicherheit für medizinische Einrichtungen, Best-Practice-Prüfkriterien Art. 32 DS-GVO, Stand 27. Mai 2020
- Datenschutz-Grundverordnung, insbesondere Art. 4 Nr. 7, Art. 5 Abs. 2, Art. 24, Art. 32, Art. 33, Art. 82 und Art. 83
- EuGH, Urteil C-340/21 zur Risikobewertung, Geeignetheit und Beweislast bei Maßnahmen nach Art. 32 DSGVO
- EuGH, Urteil C-300/21 zu den Voraussetzungen eines Schadensersatzanspruchs nach Art. 82 DSGVO
- EuGH, Urteil C-807/21 zur unmittelbaren Sanktionierung juristischer Personen und zum Verschuldenserfordernis bei DSGVO-Geldbußen
- KBV: Richtlinie nach § 390 SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit, in Kraft seit April 2025
- KBV PraxisWissen IT-Sicherheit, aktualisierte Ausgabe 2025
- DSK-Stellungnahme zu Datenschutzverstößen von Unternehmen zur Verantwortlichkeit juristischer Personen und zur Zurechnung des Handelns ihrer Organe und Beschäftigten
- § 721 BGB, § 43 GmbHG und § 93 AktG zur persönlichen Gesellschafter- beziehungsweise Organhaftung
Orientierung, keine Einzelfallberatung
Dieser Beitrag erklärt Art. 32 DSGVO und die genannten Orientierungshilfen allgemein. Welche Maßnahmen erforderlich sind und wer in einem konkreten Vorfall haftet, hängt von Technik, Praxisablauf, Rechtsform, Verträgen, Schaden und individuellem Verhalten ab. Eine konkrete Risiko- oder Haftungsprüfung gehört zu entsprechend qualifizierter IT- und Rechtsberatung.