KBV-IT-Sicherheitsrichtlinie 2026: Die komplette Checkliste für Praxen

# KBV-IT-Sicherheitsrichtlinie 2026: Die komplette Checkliste für Praxen

Seit Inkrafttreten der IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung gemäß §75b SGB V sind alle Vertragsarztpraxen verpflichtet, konkrete technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme umzusetzen. Die aktuelle Fassung von 2026 konkretisiert 22 Einzelmaßnahmen, deren Einhaltung im Rahmen eines KBV-Audits nachgewiesen werden muss.

Die Richtlinie gilt für alle Praxen, die an der vertragsärztlichen Versorgung teilnehmen – unabhängig von Größe oder Fachrichtung. Verstöße können Honorarkürzungen nach sich ziehen. Dieser Artikel bietet Ihnen eine strukturierte Übersicht aller Anforderungen mit konkreten Prüfschritten.

Die 22 Maßnahmen im Überblick

Die KBV-IT-Sicherheitsrichtlinie gliedert sich in fünf Hauptbereiche: Zugangs- und Zugriffskontrolle, Datensicherung, Malware-Schutz, Updates sowie organisatorische Maßnahmen.

Bereich 1: Zugangs- und Zugriffskontrollen (Maßnahmen 1-6)

• Passwortrichtlinie mit Mindestlänge 8 Zeichen, davon mindestens ein Sonderzeichen
• Individuelle Benutzerkonten für jeden Mitarbeiter
• Automatische Bildschirmsperre nach maximal 5 Minuten Inaktivität
• Rollenbasierte Rechtevergabe im Praxisverwaltungssystem
• Protokollierung administrativer Zugriffe
• Sichere Authentifizierung für Fernzugriffe (Zwei-Faktor-Authentifizierung)

Bereich 2: Datensicherung (Maßnahmen 7-10)

• Tägliche automatisierte Sicherung aller Patientendaten
• Mindestens eine externe Sicherungskopie außerhalb der Praxisräume
• Vierteljährliche Prüfung der Wiederherstellbarkeit
• Dokumentierte Datensicherungsrichtlinie mit Verantwortlichkeiten

Bereich 3: Malware-Schutz (Maßnahmen 11-14)

• Antivirensoftware auf allen Arbeitsstationen und Servern
• Tägliche automatische Signatur-Updates
• Aktivierte Firewall an allen Netzübergängen
• Regelmäßige Scans des gesamten Datenbestands

Bereich 4: Update-Management (Maßnahmen 15-17)

• Monatliche Installation sicherheitsrelevanter Betriebssystem-Updates
• Zeitnahe Updates der Praxissoftware (innerhalb von 30 Tagen nach Verfügbarkeit)
• Dokumentation aller durchgeführten Updates

Bereich 5: Organisatorische Maßnahmen (Maßnahmen 18-22)

• Schriftliche IT-Sicherheitsrichtlinie für die Praxis
• Jährliche Unterweisung aller Mitarbeiter
• Geregelte Löschung von Datenträgern vor Entsorgung
• Physischer Schutz der Server und Backup-Medien
• Notfallplan für IT-Ausfälle mit definierten Wiederanlaufzeiten

Der Ablauf des KBV-Audits

Das KBV-Audit zur Überprüfung der IT-Sicherheitsmaßnahmen erfolgt in der Regel alle zwei Jahre, kann bei begründetem Verdacht jedoch auch anlassbezogen durchgeführt werden. Die zuständige Kassenärztliche Vereinigung kündigt die Prüfung mindestens vier Wochen im Voraus schriftlich an.

Bei der Vor-Ort-Prüfung oder Remote-Inspektion überprüfen zertifizierte Auditoren anhand einer standardisierten Checkliste die Umsetzung aller 22 Maßnahmen. Sie verlangen dabei konkrete Nachweise: Konfigurationsprotokolle, Schulungsnachweise, Backup-Logs und die schriftliche IT-Sicherheitsrichtlinie.

Moderne Praxisverwaltungssysteme wie Praxis-IT unterstützen die Compliance-Anforderungen durch integrierte Funktionen für Benutzerrechte, Zugriffsprotokolle und automatisierte Backup-Verfahren. Dennoch liegt die Gesamtverantwortung für die Einhaltung beim Praxisinhaber.

Der Prüfbericht klassifiziert Abweichungen in drei Kategorien: geringfügig, erheblich und kritisch. Kritische Mängel – etwa fehlende Datensicherungen oder nicht gepatchte Sicherheitslücken – müssen innerhalb von 14 Tagen behoben werden. Erhebliche Mängel haben eine Nachbesserungsfrist von acht Wochen.

Häufige Stolperfallen und wie Sie sie vermeiden

Unvollständige Dokumentation: Der häufigste Mangel betrifft fehlende oder unzureichende schriftliche Nachweise. Erstellen Sie daher zwingend eine praxisinterne IT-Sicherheitsrichtlinie und dokumentieren Sie alle Schulungen, Update-Vorgänge und Backup-Tests.

Fehlende Wiederherstellungstests: Viele Praxen führen zwar regelmäßige Backups durch, testen aber nie die Wiederherstellung. Die Richtlinie fordert jedoch explizit vierteljährliche Restore-Tests, die protokolliert werden müssen.

Gemeinsame Benutzerkonten: Aus Bequemlichkeit nutzen Mitarbeiter häufig gemeinsame Logins im Praxissystem. Dies verstößt gegen Maßnahme 2 und macht eine saubere Zugriffskontrolle unmöglich. Richten Sie für jeden Mitarbeiter – auch für Aushilfen und Vertretungen – ein individuelles Konto mit rollengerechten Berechtigungen ein.

Veraltete Betriebssysteme: Windows-Versionen ohne aktuelle Sicherheitsupdates (etwa Windows 7) erfüllen die Anforderungen nicht. Planen Sie Betriebssystem-Upgrades rechtzeitig, da diese oft auch Hardware-Anpassungen erfordern.

Unsichere externe Sicherungen: Die externe Backup-Kopie darf nicht am selben Standort lagern. Eine externe Festplatte im Praxistresor erfüllt die Anforderung nicht. Nutzen Sie verschlüsselte Cloud-Backups oder lagern Sie Medien an einem anderen Standort.

Fehlende Mitarbeiterschulungen: Die jährliche Unterweisung muss alle Mitarbeiter umfassen und nachweisbar sein. Lassen Sie sich die Teilnahme schriftlich bestätigen und archivieren Sie die Nachweise mindestens drei Jahre.

Beginnen Sie die Vorbereitung auf ein Audit mindestens drei Monate im Voraus. Führen Sie eine interne Selbstprüfung anhand der 22 Maßnahmen durch und beheben Sie identifizierte Lücken systematisch. Eine strukturierte Vorbereitung spart Zeit, Kosten und vermeidet Honorarrisiken.