3-2-1-Backup-Strategie für Arztpraxen: Sicherheitsnetz nach BSI
Die 3-2-1-Backup-Regel schützt Praxisdaten nach BSI-Standard: Drei Kopien auf zwei Medientypen, eine davon extern. Konkrete Umsetzung für Arztpraxen mit Cloud, NAS und lokalen Sicherungen erklärt.
# 3-2-1-Backup-Strategie für Arztpraxen: Sicherheitsnetz nach BSI
Datenverlust in einer Arztpraxis bedeutet nicht nur rechtliche Probleme, sondern gefährdet die Patientenversorgung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die 3-2-1-Backup-Regel als Mindeststandard. Diese bewährte Methode schützt Patientenakten, Abrechnungsdaten und Praxisorganisation gegen Hardware-Ausfälle, Ransomware und Bedienfehler.
Die Regel ist einfach: Halten Sie drei Kopien Ihrer Daten auf zwei verschiedenen Medientypen vor, davon eine außerhalb der Praxis. Diese Redundanz stellt sicher, dass bei einem Zwischenfall mindestens eine wiederherstellbare Version existiert. Die gesetzliche Aufbewahrungspflicht für Patientenakten beträgt zehn Jahre, für Röntgenaufnahmen bis zu 30 Jahre – ein Datenverlust ist daher nicht nur ärgerlich, sondern rechtlich problematisch.
Die drei Ebenen praktisch umgesetzt
In einer typischen Arztpraxis sieht die 3-2-1-Strategie konkret so aus:
Ebene 1: Primärdaten befinden sich auf dem Praxisserver oder der zentralen Arbeitsstation, auf der die Praxissoftware läuft. Bei Praxis-IT beispielsweise ist dies der lokale Server oder die Cloud-Instanz. Diese Daten sind keine Sicherung, sondern der produktive Datenbestand.
Ebene 2: Lokale Sicherung erfolgt täglich automatisiert auf ein zweites Medium – idealerweise ein Network Attached Storage (NAS) im Praxisnetzwerk. Moderne NAS-Systeme bieten RAID-Konfigurationen, die den Ausfall einzelner Festplatten kompensieren. Die Sicherung sollte inkrementell erfolgen, also nur Änderungen speichern, und mehrere Versionsstände vorhalten (mindestens 14 Tage).
Ebene 3: Externe Sicherung wird entweder in eine verschlüsselte Cloud oder auf mobile Datenträger ausgelagert, die außerhalb der Praxis aufbewahrt werden. Die Cloud-Variante bietet den Vorteil automatischer Prozesse, während externe Festplatten oder Bänder physische Kontrolle ermöglichen. Ein wöchentlicher Vollbackup auf ein externes Medium, das im Bankschließfach oder in einer Zweigstelle verwahrt wird, erfüllt diese Anforderung.
Cloud-Backup versus NAS: Was passt zur Praxis?
Beide Technologien erfüllen unterschiedliche Rollen in der 3-2-1-Strategie. Ein NAS-System dient ideal als zweites, lokales Medium. Es ermöglicht schnelle Wiederherstellungen bei alltäglichen Problemen wie versehentlich gelöschten Dateien. Die Anschaffungskosten sind einmalig, die Daten bleiben in der Praxis, und die Wiederherstellungsgeschwindigkeit ist hoch – relevant, wenn die Praxis schnell wieder arbeitsfähig sein muss.
Cloud-Backups eignen sich hervorragend als externe, dritte Kopie. Sie schützen vor Totalschäden wie Brand, Wasserschaden oder Diebstahl. Zertifizierte deutsche Rechenzentren bieten DSGVO-konforme Lösungen mit ISO 27001-Zertifizierung. Die Verschlüsselung muss bereits vor der Übertragung (End-to-End) erfolgen. Nachteilig sind die laufenden Kosten und die Abhängigkeit von Internetbandbreite bei der Wiederherstellung großer Datenmengen.
Die empfohlene Kombination: NAS für tägliche Sicherungen und schnelle Wiederherstellung, Cloud oder Wechselfestplatten für die externe Kopie gegen Katastrophenfälle.
Restore-Tests: Die vergessene Pflicht
Ein Backup ist wertlos, wenn die Wiederherstellung nicht funktioniert. Das BSI empfiehlt quartalsweise Restore-Tests. Erstellen Sie eine Checkliste:
- Vollständige Wiederherstellung der Praxissoftware auf einem Testsystem
- Prüfung der Datenintegrität (können alle Patientenakten geöffnet werden?)
- Zeitdauer für die komplette Wiederherstellung messen
- Dokumentation des Vorgangs für Notfallpläne
In der Praxis bedeutet dies konkret: Laden Sie beispielsweise die Sicherung vom Vormonat auf ein isoliertes Testsystem und prüfen Sie, ob Sie damit weiterarbeiten könnten. Messen Sie die Zeit – bei einem Datenbestand von 500 GB sollte die Wiederherstellung vom NAS maximal 4-6 Stunden dauern, aus der Cloud kann es länger werden.
Disaster Recovery: Der Notfallplan
Zur vollständigen Backup-Strategie gehört ein dokumentierter Disaster-Recovery-Plan. Dieser beschreibt, wer bei einem Datenverlust welche Schritte einleitet:
- Sofortmaßnahmen: Wer wird informiert? IT-Dienstleister-Kontakt, Eskalationsstufen
- Wiederherstellungs-Prioritäten: Welche Systeme müssen zuerst laufen? (meist: Praxissoftware mit aktuellem Terminkalender)
- Maximale Ausfallzeit: Die Recovery Time Objective (RTO) – wie lange kann die Praxis ohne IT arbeiten? Realistisch sind 4-8 Stunden.
- Akzeptabler Datenverlust: Die Recovery Point Objective (RPO) – welcher Zeitraum darf verloren gehen? Bei täglichen Backups um 22 Uhr beträgt die RPO maximal 24 Stunden.
Die KBV fordert in ihren IT-Sicherheitsrichtlinien nachvollziehbare Wiederherstellungsverfahren. Praxen müssen bei Audits nachweisen können, dass funktionsfähige Backups existieren und der Wiederherstellungsprozess dokumentiert ist.
Die 3-2-1-Backup-Strategie erscheint zunächst aufwändig, schützt aber zuverlässig gegen die häufigsten Bedrohungen. Mit automatisierten Prozessen, regelmäßigen Tests und klaren Verantwortlichkeiten wird sie zur Routine – und zum unverzichtbaren Sicherheitsnetz für Ihre Praxisdaten.
Hat Ihnen dieser Artikel geholfen?
Einmal im Monat ähnliche Praxis-IT-Themen direkt in Ihr Postfach. Anmeldung unten im Footer.
