IT für Arztpraxen: zwischen TI und Alltag

Die IT einer Arztpraxis ist ein besonderer Fall. Sie muss gleichzeitig zwei Welten bedienen: die streng regulierte, bundesweit vernetzte Telematikinfrastruktur und den ganz normalen Praxisalltag mit vollem Wartezimmer. Kommt eine der beiden ins Stocken, steht die Praxis. Wer Praxis-IT wie eine gewöhnliche Büro-IT behandelt, unterschätzt die besonderen Anforderungen an Vernetzung, Sicherheit und Datenschutz. Dieser Beitrag erklärt, worauf es bei der IT für Arztpraxen wirklich ankommt.

Was IT für Arztpraxen umfasst

IT für Arztpraxen bedeutet: der zuverlässige Betrieb von vier Bausteinen, die voneinander abhängen — dem Zugang zur Telematikinfrastruktur, dem Praxisverwaltungssystem, dem Praxisnetz mit allen Endgeräten und dem Schutz der Patientendaten.

Diese Aufteilung klärt Zuständigkeiten. Die TI-Komponenten kommen von zugelassenen Anbietern, das Praxisverwaltungssystem vom PVS-Hersteller. Alles dazwischen — Netzwerk, Rechner, Drucker, Kartenterminals, Backup, Zugriffe, Microsoft 365 — ist klassische IT-Betreuung und genau der Teil, der in vielen Praxen niemandem konkret zugeordnet ist.

Dort entstehen die Störungen, die den Betrieb aufhalten: ein Switch ohne Strom, ein Rechner, der drei Monate kein Update gesehen hat, ein Backup, das läuft, aber nie zurückgespielt wurde. Kein TI-Problem — und trotzdem steht das Wartezimmer.

Die TI als Pflicht-Basis

Jede Praxis ist heute Teil der Telematikinfrastruktur (TI) – des sicheren, bundesweiten Netzes im Gesundheitswesen. Sie ist keine Option, sondern Pflicht-Basis. Über sie laufen die zentralen digitalen Anwendungen: das eRezept als digitale Verordnung, die elektronische Patientenakte (ePA), der Abgleich der Versichertenstammdaten und der sichere Nachrichtendienst KIM.

Für den Zugang braucht eine Einrichtung laut gematik mindestens einen elektronischen Heilberufsausweis (HBA), die Institutionskarte SMC-B, ein stationäres E-Health-Kartenterminal und einen technischen Zugangsweg. Bisher war das der Konnektor als Router in der Praxis; inzwischen steht mit dem TI-Gateway eine Alternative bereit, die über eine sichere VPN-Verbindung aus einem zertifizierten Rechenzentrum arbeitet und die Anschaffung eines eigenen Konnektors erübrigt. Die SMC-B läuft ab und muss rechtzeitig ersetzt werden — ein Termin, den keine Praxis verpassen will.

Die TI ist außerdem nichts, was man einmal anschließt und dann vergisst. Sie entwickelt sich weiter, und das mit Fristen: Seit dem 29.06.2026 wird die RSA-Infrastruktur schrittweise abgeschaltet, seit dem 05.08.2026 lassen sich KIM-Nachrichten an Empfänger mit einer SMC-B der Generation G2.0 nicht mehr zustellen (Stand: gematik TI-Status, 08.2026). Wer solche Ankündigungen nicht verfolgt, merkt die Umstellung erst, wenn der Facharztbrief nicht ankommt.

Die KBV-IT-Sicherheitsrichtlinie (§ 75b SGB V)

Anders als ein normaler Betrieb hat eine Praxis konkrete, gesetzlich verankerte Sicherheitspflichten. Der Gesetzgeber hat die Kassenärztliche Bundesvereinigung (KBV) beauftragt, die Anforderungen an die IT-Sicherheit in einer IT-Sicherheitsrichtlinie festzulegen — im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Der Auftrag steht heute in § 390 SGB V; die geläufige Bezeichnung „Richtlinie nach § 75b SGB V“ stammt aus der früheren Nummerierung und wird weiter verwendet.

Die aktualisierte Fassung ist laut BSI seit Oktober 2025 für den vertragsärztlichen Bereich verbindlich, für den vertragszahnärztlichen seit Januar 2026. Sie soll künftig jährlich überprüft und alle zwei Jahre an den Stand der Technik angepasst werden — eine Praxis-IT, die 2021 einmal „richtlinienkonform“ eingerichtet wurde, ist es heute nicht mehr automatisch.

Die konkreten Anforderungen stehen in fünf Anlagen, die die KBV nach Praxisgröße und Ausstattung unterscheidet:

Maßgeblich ist also nicht die Zahl der Behandlungsräume, sondern wie viele Personen ständig mit der Datenverarbeitung betraut sind — vom Einlesen der Gesundheitskarte über das Weiterleiten von Befunden bis zur Löschung. Je digitaler eine Praxis arbeitet, desto größer der Pflichtkatalog. Eine allgemeine IT-Sicherheits-Checkliste hilft beim Grundverständnis, ersetzt aber nicht den Blick in den praxisspezifischen KBV-Katalog.

Personalwechsel ist in der Praxis ein IT-Thema

Der Teil der Richtlinie, der Praxen am häufigsten kalt erwischt, hat mit Technik wenig zu tun: Seit dem 1. Oktober 2025 gelten ausdrückliche Vorgaben für den Umgang mit Personal. Sie stehen in Anlage 1, die KBV führt sie einzeln mit Nummer auf – und sie sind erfreulich unmissverständlich formuliert.

• Neue Mitarbeitende einarbeiten. Die Einweisung in die Praxis-IT ist Pflicht, nicht Kür (Anlage 1 Nummer 1).
• Zugänge beim Austritt schließen. Beim Ende des Beschäftigungsverhältnisses muss die Praxisleitung die der Person bekannten oder von ihr genutzten Passwörter und Zugangsdaten ändern oder vernichten (Anlage 1 Nummer 2).
• Externe verpflichten. Technikerinnen und Techniker von Dienstleistern müssen auf Gesetze und interne Regeln verpflichtet werden; bei einmaligem Einsatz sind sie zu beaufsichtigen (Anlage 1 Nummer 3).
• Regelmäßig schulen. Das Praxispersonal muss zur eingesetzten Technik und zu Informationssicherheit geschult und sensibilisiert werden (Anlage 1 Nummern 6, 9 und 10).
• Umgang mit Spam regeln. Der Umgang mit Spam bei E-Mails muss geregelt sein; die Grundregel lautet ignorieren und löschen (Anlage 1 Nummer 41).

„Passwörter ändern oder vernichten“ klingt nach fünf Minuten Arbeit. Bei PVS-Zugang, TI-Karten, Microsoft 365, Terminportal, Laborschnittstelle und einem gemeinsamen Empfangsrechner ist es das nicht — deshalb bleibt regelmäßig ein Konto offen. Ein sauberer Prozess für On- und Offboarding macht aus der Pflichtübung eine Liste, die abgearbeitet und dokumentiert wird; die Punkte dazu stehen in der Offboarding-Checkliste nach DSGVO.