Gesetzliche Pflicht für Praxen - Regelmässige Mitarbeiter-Awareness-Schulungen
Mit § 390 SGB V stiegen die Anforderungen an die Informationssicherheit bereits seit dem 1. Oktober 2025 deutlich.
Cyberangriffe auf Arzt- und Zahnarztpraxen gehören längst zum Alltag.
Verschlüsselungstrojaner, Phishing-Mails oder gestohlene Zugangsdaten können innerhalb weniger Minuten dazu führen, dass eine gesamte Praxis handlungsunfähig wird. Neben erheblichen finanziellen Schäden stehen dabei insbesondere sensible Gesundheitsdaten auf dem Spiel.
Aus diesem Grund hat der Gesetzgeber die Anforderungen an die Informationssicherheit deutlich erweitert. Mit dem neuen § 390 SGB V werden zahlreiche Vorgaben erstmals unmittelbar gesetzlich geregelt und gehen in wesentlichen Punkten über die bisher bekannten Anforderungen des § 75b SGB V hinaus. Gerade für Praxisinhaber ist deshalb wichtig zu wissen, welche neuen Pflichten entstehen und wie diese in der Praxis erfüllt werden können.
Die KBV bzw. die KZBV haben mit den Richtlinien zur IT-Sicherheit den Gesetzestext aufbereitet und die Inhalte des § 390 SGB V zusammengefasst. Hier finden Sie diese Richtlinien:
Was regelte bisher § 75b SGB V?
Der (nun abgelöste) § 75b SGB V verpflichtet Vertragsärzte und Vertragszahnärzte bereits seit mehreren Jahren dazu, angemessene Massnahmen zur IT-Sicherheit umzusetzen. Auf Grundlage dieser Vorschrift wurden die bekannten IT-Sicherheitsrichtlinien der Kassenärztlichen Bundesvereinigung (KBV) und Kassenzahnärztlichen Bundesvereinigung (KZBV) entwickelt. Diese enthalten unter anderem Vorgaben zu
- Passwortmanagement,
- Datensicherung,
- Virenschutz,
- Firewall,
- Benutzerrechten,
- Notfallmanagement und
- organisatorischen Sicherheitsmassnahmen.
Der Schwerpunkt lag bislang vor allem auf den technischen und organisatorischen Anforderungen innerhalb der Praxis.
Was ändert sich durch § 390 SGB V?
Mit dem neuen § 390 SGB V verfolgt der Gesetzgeber einen deutlich umfassenderen Ansatz.
Informationssicherheit soll künftig nicht mehr ausschliesslich durch Technik gewährleistet werden. Vielmehr rückt der Mensch als häufigstes Einfallstor für Cyberangriffe stärker in den Mittelpunkt. Deshalb gehören künftig regelmässige Sensibilisierungsmassnahmen und Schulungen des gesamten Praxisteams zu den zentralen Anforderungen.
Gerade Phishing-E-Mails oder Social-Engineering-Angriffe funktionieren häufig nicht deshalb, weil die Technik versagt, sondern weil Mitarbeitende unbewusst Sicherheitsregeln umgehen. Eine moderne Firewall kann diesen menschlichen Faktor allein nicht verhindern.
Regelmässige Awareness-Schulungen werden zur Pflicht
Eine der wichtigsten Neuerungen besteht darin, dass Mitarbeitende regelmässig zum sicheren Umgang mit Cyberrisiken geschult werden müssen. Hierzu gehören beispielsweise Themen wie
- Erkennen von Phishing-E-Mails,
- sichere Passwörter,
- Umgang mit mobilen Endgeräten,
- Schutz sensibler Patientendaten,
- Verhalten bei Verdachtsfällen,
- Social Engineering,
- sichere Nutzung der Telematik-Infrastruktur.
Ziel ist es, Sicherheitsvorfälle bereits zu verhindern, bevor überhaupt ein technischer Schaden entsteht. Für Praxisinhaber bedeutet dies einen zusätzlichen organisatorischen Aufwand. Die Schulungen müssen geplant, durchgeführt und dokumentiert werden.
Warum gerade Awareness-Schulungen so wichtig sind
Nach Einschätzung von IT-Sicherheitsexperten beginnen die meisten erfolgreichen Cyberangriffe nicht mit einem technischen Defekt, sondern mit einer Handlung eines Mitarbeiters. Ein unbedachter Klick auf einen Dateianhang oder die Eingabe von Zugangsdaten auf einer gefälschten Internetseite genügt häufig bereits, um Schadsoftware in das Praxisnetzwerk einzuschleusen.
Regelmässige Schulungen helfen dabei, solche Risiken deutlich zu reduzieren und das Sicherheitsbewusstsein dauerhaft zu stärken. Informationssicherheit wird dadurch zu einer gemeinsamen Aufgabe des gesamten Praxisteams.
Die praktische Herausforderung für viele Praxen
Die gesetzliche Verpflichtung klingt zunächst einfach. In der täglichen Praxis stellt sich jedoch schnell die Frage:
- Wer führt diese Schulungen durch?
- Viele Praxisinhaber verfügen weder über eigenes Fachpersonal noch über geeignete Schulungsunterlagen.
- Externe Anbieter verlangen häufig mehrere hundert Euro pro Schulung oder berechnen zusätzliche Kosten pro Mitarbeiter.
- Hinzu kommt der organisatorische Aufwand für Terminplanung, Dokumentation und Wiederholung der Schulungen.
Gerade kleinere Praxen stehen dadurch vor einer Herausforderung, die Zeit und zusätzliche Kosten verursacht.
Ein Mehrwert für Kunden der Tausend Finanz GmbH
Kunden der Tausend Finanz GmbH, die ihre Praxis über das Cyberrisk-Exklusiv-Konzept abgesichert haben, profitieren von einem besonderen Zusatznutzen. Sie können einen professionellen Mitarbeiter-Videokurs zur gesetzlich geforderten Awareness-Schulung ohne zusätzliche Kosten nutzen.
Die Mitarbeitenden können die Inhalte flexibel absolvieren. Gleichzeitig steht eine nachvollziehbare Dokumentation der Schulung zur Verfügung. Dadurch lässt sich die gesetzliche Verpflichtung mit deutlich geringerem organisatorischem Aufwand erfüllen.
Cyberrisk-Versicherung bedeutet heute mehr als finanzieller Schadenersatz
Viele Praxisinhaber verbinden eine Cyberrisk-Versicherung ausschliesslich mit der Regulierung eines Schadens nach einem Hackerangriff. Tatsächlich beginnt ein wirksamer Versicherungsschutz bereits deutlich früher. Präventionsmassnahmen wie Awareness-Schulungen können helfen, Angriffe bereits im Vorfeld zu verhindern und das Risiko eines erfolgreichen Cyberangriffs erheblich zu reduzieren.
Damit wird die Cyberrisk-Versicherung zu einem wichtigen Bestandteil eines ganzheitlichen Sicherheitskonzepts.
Fazit
Mit dem neuen § 390 SGB V gewinnt der Faktor Mensch in der Informationssicherheit deutlich an Bedeutung. Neben technischen Schutzmassnahmen gehören künftig regelmässige Awareness-Schulungen des gesamten Praxisteams zu den gesetzlichen Anforderungen.
Für viele Arzt- und Zahnarztpraxen bedeutet dies zusätzlichen organisatorischen und finanziellen Aufwand.
Kunden der Tausend Finanz GmbH profitieren im Rahmen des Cyberrisk-Exklusiv-Konzepts von einem kostenlosen integrierten Mitarbeiter-Videokurs, mit dem sich die gesetzlich geforderte Awareness-Schulung einfach, flexibel und ohne zusätzliche Kosten umsetzen lässt.
So wird aus einer gesetzlichen Verpflichtung eine praktikable Lösung, die gleichzeitig dazu beiträgt, das Risiko eines Cyberangriffs nachhaltig zu reduzieren.
© Tausend Finanz GmbH 2026