Cyber-Versicherung für Arztpraxen und Heilberufe

Warum sind Arztpraxen ein Ziel?

Praxen halten Diagnosen, Befunde, Medikation und Abrechnungsdaten. Das sind Daten, die besonders geschützt sind und bei Verlust oder Veröffentlichung für Patientinnen und Patienten schwer wiegen. Zugleich arbeiten viele Praxen mit kleinem Team und ohne eigene IT-Abteilung. Das BSI hat 2026 vier Praxisverwaltungssysteme untersucht und die IT-Sicherheit von Software im Gesundheitswesen als ausbaufähig bewertet; bei drei der vier Systeme konnte die Verkettung einzelner Schwachstellen einen Angriff aus dem Internet ermöglichen.

Dass auch kleine Betriebe betroffen sind, zeigt die Gesamtlage: Laut Bitkom erlitten 58 Prozent der Unternehmen innerhalb von zwölf Monaten einen Schaden durch Cyberangriffe, und nach dem BSI-Lagebericht richten sich rund 80 Prozent der bekannt gewordenen Ransomware-Angriffe gegen kleine und mittlere Unternehmen.

Was verlangt die IT-Sicherheitsrichtlinie von der Praxis?

Die Richtlinie ist ein Gesetzesauftrag nach § 390 SGB V und wird von der Kassenärztlichen Bundesvereinigung im Einvernehmen mit dem BSI erstellt. Verantwortlich für ihre Einhaltung ist der Praxisinhaber, der die Umsetzung delegieren kann. Die Anforderungen richten sich nach der Praxisgröße:

• Basisanforderungen für Praxen mit bis zu fünf Personen, die ständig mit der Datenverarbeitung betraut sind (Anlage 1): zum Beispiel aktueller Virenschutz, Firewall, Updates, Datensicherung und geschultes Personal.
• Zusätzliche Anforderungen für mittlere Praxen mit sechs bis zwanzig Personen (Anlage 2) und für große Praxen mit mehr als zwanzig Personen oder Groß-MVZ (Anlage 3).
• Zusätzliche Anforderungen für medizinische Großgeräte wie CT oder MRT (Anlage 4).
• Anforderungen für die dezentralen Komponenten der Telematikinfrastruktur in der Praxis, etwa Konnektor, Kartenlesegerät und Praxisausweis (Anlage 5).

Was kostet ein Ausfall im Praxisalltag?

Typisch sind diese Folgen, wenn Systeme verschlüsselt oder gesperrt werden:

• Das Praxisverwaltungssystem steht still; Termine, Patientenakte und Abrechnung sind nicht abrufbar.
• Die Behandlung läuft eingeschränkt oder muss auf Papier und telefonisch organisiert werden.
• Bei einem Datenabfluss muss die Praxis die Verletzung nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden, wenn ein Risiko für die Betroffenen besteht, und es entstehen Fragen von Patientinnen und Patienten.

Was leistet eine Cyber-Versicherung typischerweise?

Üblich sind Eigenschäden (Wiederherstellung, Forensik, Betriebsunterbrechung), Krisenhilfe bei Datenschutzverletzungen und die Abwehr von Forderungen Dritter. Die Bausteine im Einzelnen finden Sie im Schutzumfang. Zu Erpressung durch Verschlüsselung siehe den Ransomware-Ratgeber; ein Beispiel aus dem Praxisalltag beschreibt der Beitrag Arztpraxis und Patientendaten.

Eine Berufshaftpflicht deckt Fehler in der Behandlung, nicht automatisch die Folgen eines Angriffs auf die IT. Prüfen Sie beide Verträge auf Ausschlüsse und Schnittstellen. Ob Ihre bestehende Police zu Ihrer Praxis passt, zeigt die Police-Prüfung.

Welche Schutzmaßnahmen erwarten Versicherer?

Im Antrag stehen in der Regel diese Punkte, die sich weitgehend mit der Richtlinie decken:

• Datensicherung mit getrennter Kopie, regelmäßig auf Wiederherstellung getestet.
• Mehr-Faktor-Anmeldung für E-Mail, Fernzugriff und die Praxissoftware.
• Aktuelle Updates für Server, Arbeitsplätze, mobile Geräte und die Komponenten der Telematikinfrastruktur.
• Geschultes Praxisteam, vor allem gegen betrügerische E-Mails; mehr in der Cyber-Hygiene und den Anforderungen an IT-Sicherheit.

Was können Sie vorab selbst prüfen?

Die KBV bietet Musterdokumente, Checklisten und ein Verzeichnis zertifizierter IT-Dienstleister für die Umsetzung der Richtlinie. Für große Praxen und MVZ nennt die KBV außerdem strengere Vorgaben zur Cybersicherheit, die seit Dezember 2025 für viele Unternehmen gelten. Mit dem Versicherbarkeits-Radar sehen Sie vorab, wie Ihre Tätigkeit und Ihr IT-Stand eingestuft werden, und mit der Cyber-Ampel, ob eine bestehende Police noch passt.

Braucht eine Arztpraxis eine Cyber-Versicherung?

Eine gesetzliche Pflicht zur Cyber-Versicherung gibt es nicht. Die IT-Sicherheitsrichtlinie nach § 390 SGB V verpflichtet Praxen aber zu technischen und organisatorischen Maßnahmen. Wer Patientendaten digital verarbeitet, trägt ein echtes Betriebsrisiko; die Versicherung deckt Eigenschäden und Krisenhilfe, sie ersetzt keine Schutzmaßnahmen.

Was ist die IT-Sicherheitsrichtlinie der KBV?

Sie ist ein Gesetzesauftrag nach § 390 SGB V und beschreibt, welche Maßnahmen Praxen für die IT-Sicherheit umsetzen müssen. Die Anforderungen richten sich nach Praxisgröße und Ausstattung, die Verantwortung liegt beim Praxisinhaber.

Deckt die Berufshaftpflicht Cyberschäden in der Praxis?

Nicht automatisch. Sie reagiert auf Fehler in der Behandlung. Kosten durch einen Angriff auf die IT und viele Folgen eines Datenlecks sind meist Sache der Cyber-Versicherung. Lassen Sie Ausschlüsse in beiden Verträgen prüfen.

Was muss die Praxis bei einem Datenleck melden?

Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde zu melden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren. Lassen Sie den Einzelfall rechtlich prüfen.

Was kostet eine Cyber-Versicherung für eine Arztpraxis?

Das hängt von Größe, Datenmenge, IT-Stand und Versicherungssumme ab. Feste Preise nennen wir hier nicht; Einordnung bietet der Kostenratgeber, ein Angebot gibt es nach Prüfung Ihrer Angaben.