IT-Sicherheit in Ergotherapie-Praxen 2026: DSGVO, TI und Praxisrisiken

IT-Sicherheit in Ergotherapie-Praxen 2026 bedeutet: besondere Schutzpflichten für Gesundheitsdaten nach DSGVO, verbindliche Mindeststandards aus der IT-Sicherheitsrichtlinie und die schrittweise TI-Anbindung mit Refinanzierung. Wer Prozesse, Schulungen und Technik konsequent dokumentiert, reduziert Risiken, erfüllt Nachweispflichten und sichert die digitale Handlungsfähigkeit der Praxis.

Warum Gesundheitsdaten höchste Schutzstufe erfordern

Gesundheitsdaten von Patientinnen und Patienten gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Für Ergotherapiepraxen folgen daraus erhöhte Schutzanforderungen und die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO, etwa Zugriffsbeschränkungen, Verschlüsselung und regelmäßige Risikoanalysen [1][5]. Praxisinhaberinnen und -inhaber tragen die Rechenschaftspflicht: Sie müssen jederzeit nachweisen können, dass Datenschutzgrundsätze eingehalten und Schutzmaßnahmen wirksam umgesetzt sind. Dazu zählen ein vollständiges Verzeichnis von Verarbeitungstätigkeiten, ein IT-Sicherheits- und Berechtigungskonzept sowie regelmäßige Schulungen des Teams [5][10][11].

Besonderes Augenmerk gilt Schnittstellen: digitale Terminvergabe, Abrechnung, Befundübermittlung und TI-Dienste. Jede Datenübertragung muss dem Stand der Technik entsprechen, einschliesslich Ende-zu-Ende-gesicherter Kommunikationswege und klarer Rollen- und Rechtevergaben in der Praxissoftware [11]. Wo konkrete Vorgaben fehlen, sollten Praxen den Vorsorgegrundsatz anwenden und Sicherheitsniveaus wählen, die dem Risiko für die betroffenen Personen angemessen sind.

Cloud-Software: Zertifizierung, Verträge und Datenflüsse im Griff

Setzen Ergotherapiepraxen cloudbasierte Praxislösungen ein, dürfen Gesundheitsdaten nur bei Diensten verarbeitet werden, die ein gültiges BSI C5-Testat oder ein gleichwertiges Zertifikat vorweisen können. Die Anforderung steht im Kontext besonderer Sicherheitsvorgaben für Datenverarbeitung im Gesundheitswesen, die über § 393 SGB V adressiert werden [1]. Neben der Zertifizierung sind sauber geschlossene und dokumentierte Auftragsverarbeitungsverträge mit Anbieterinnen und Anbietern sowie IT-Dienstleistern nach Artikel 28 DSGVO Pflicht. Diese müssen technische und organisatorische Maßnahmen, Unterauftragsverhältnisse, Speicherorte, Löschfristen, Verschlüsselungsverfahren und Auditmöglichkeiten konkret regeln [11].

Praxen sollten Datenflüsse präzise kartieren: Welche Kategorien von Gesundheitsdaten werden erhoben, wo werden sie gespeichert, wer hat Zugriff und über welche Protokolle werden sie übertragen. Ergänzend empfiehlt sich eine konsequente Verschlüsselung von Datenträgern in der Praxis und von Daten in der Cloud, rollenbasierte Zugriffskontrollen und ein Berechtigungssystem nach dem Need-to-know-Prinzip [11]. Wo Dienstleistende Zugriff auf Systeme erhalten, ist das Prinzip der minimalen Rechtezuweisung anzuwenden und der Zugriff zeitlich zu begrenzen. Notfall- und Offboarding-Prozesse verhindern, dass veraltete Konten unbemerkt bestehen bleiben.

IT-Sicherheitsrichtlinie 2025: Mindeststandards und Fristen

Die überarbeitete IT-Sicherheitsrichtlinie für Vertragsarzt- und Psychotherapiepraxen der KBV gilt seit dem 1. April 2025 und ist bis zum 1. Oktober 2025 umzusetzen. Sie verlangt verpflichtende IT-Sicherheitsschulungen für alle Mitarbeitenden und eine dokumentierte Umsetzung technischer und organisatorischer Schutzmaßnahmen [5][13]. Auch wenn die Richtlinie originär ärztliche Praxen adressiert, dient sie zunehmend als Referenzrahmen für andere ambulante Leistungserbringer, darunter therapeutische Praxen. Ihre Mindeststandards umfassen Patch-Management, Zugriffskontrolle, Datensicherung, Netzsegmentierung und die nachvollziehbare Dokumentation [5][13].

Für die Praxisorganisation heißt das: Verantwortlichkeiten festlegen, regelmäßige Updates und Patches planen, Backups automatisieren und verschlüsseln, Wiederherstellungsproben dokumentieren und Netzwerkzonen trennen, etwa zwischen Verwaltungsrechnern, Behandlungsgeräten und Gästenetz. Der Nachweis der Maßnahmen ist Teil der Rechenschaftspflicht und erleichtert Audits durch Aufsichtsbehörden oder Kostenträger. Wo Ärztinnen-Standards als Referenz genutzt werden, sollten Ergotherapiepraxen die Vorgaben proportional auf ihre eigene Infrastruktur übertragen, ohne das Schutzniveau zu senken.

TI-Anbindung: Zweck, Sicherheit und Refinanzierung

Die Telematikinfrastruktur ist das zentrale, hochsichere digitale Netzwerk des deutschen Gesundheitswesens. Über sie tauschen Praxen, Krankenhäuser, Apotheken und Heilmittelerbringende verschlüsselt Gesundheitsdaten aus, zum Beispiel über KIM, elektronische Arbeitsunfähigkeitsbescheinigungen oder das eRezept [9]. Für TI-angebundene Praxen gelten Mindestanforderungen an verschlüsselte Übertragung und Speicherung, etwa KIM für die sichere Kommunikation, Festplattenverschlüsselung, rollenbasierte Zugriffskontrollen und dokumentierte Auftragsverarbeitungsverträge mit Praxissoftware-Anbietern und IT-Dienstleistern nach Artikel 28 DSGVO [11].

Zur Finanzierung: Der GKV-Spitzenverband sieht für Heilmittelerbringer TI-Pauschalen vor, die Anschluss und Betrieb der TI refinanzieren. 2025 beträgt die monatliche Grundpauschale 207,93 Euro; zusätzlich kommt eine Zuschlagspauschale je elektronischem Heilberufsausweis von 7,77 Euro hinzu [2][12][15]. Die Refinanzierung wurde rückwirkend ab Juli 2024 angelegt, mit ersten Abrechnungsmöglichkeiten ab 2025 in einem sektorübergreifend einheitlichen Pauschalmodell aus Grund- und Zuschlagspauschale [2][12]. Berufsverbände kritisierten zunächst zu geringe Erstattungen, da Beträge in einigen Heilmittelbereichen an 2023er Niveaus angelehnt waren [6][7]. Mit Schreiben vom 21.04.2026 wurde jedoch klargestellt, dass für Ergotherapie und weitere Bereiche ab dem 01.01.2026 TI-Pauschalen in gleicher Höhe wie in anderen Heilmittelsektoren gezahlt werden, womit eine Angleichung erreicht ist [8].

Schulungen, Sensibilisierung und gelebte Sicherheitskultur

Ab 2025 und 2026 setzen sich regelmäßige, dokumentierte IT-Sicherheitsschulungen als Standard in ärztlichen und zunehmend auch in therapeutischen Praxen durch. Ziel ist es, Risiken wie Phishing, Social Engineering und Fehlbedienung zu minimieren. Fehlen Schulungsnachweise, werten Aufsichtsbehörden und Kassen dies immer häufiger als Organisationsverschulden [4][5][10]. Neben formalen Pflichtschulungen ist eine kontinuierliche Sensibilisierung im Alltag erforderlich: kurze Sicherheitsbriefings, simulierte Phishing-Tests, klare Meldewege und eine Fehlerkultur, die frühes Ansprechen von Vorfällen belohnt.

Für die Dokumentation reicht nicht nur die Teilnahmebestätigung. Praxisleitungen sollten Lernziele, Inhalte, Intervalle und Verantwortlichkeiten festhalten, zum Beispiel in einem Schulungskonzept mit Jahresplan. Neue Mitarbeitende erhalten ein strukturiertes Onboarding mit Passwort- und Berechtigungskonzept, Umgang mit mobilen Geräten, Verschlüsselungsvorgaben und Regeln für externe Datenträger. Rollenwechsel und Austritte lösen definierte Offboarding-Schritte aus, wie das Entziehen von Rechten und das Löschen lokaler Profile. So wird Sicherheit zur Routine und nicht zum Ausnahmefall.

Technische Basis: Zugriff, Backups, Updates und Protokolle

Kernelemente der IT-Sicherheit in der Praxis sind robuste Zugangskontrollen, automatisierte und verschlüsselte Backups, konsequentes Patch-Management sowie die Protokollierung von Zugriffen auf Patientendaten. Diese Maßnahmen reduzieren insbesondere Risiken durch Ransomware und unberechtigte Datenabflüsse [4][11]. Zugriffskontrollen sollten auf starken, individuellen Anmeldedaten beruhen, ergänzt um Mehrfaktorauthentifizierung, wo verfügbar. Berechtigungen folgen dem Minimalprinzip und werden regelmäßig überprüft.

Backups laufen automatisiert, versioniert und verschlüsselt, idealerweise nach einem Mehrkopienprinzip mit einer offline oder unveränderlichen Kopie. Regelmäßige Wiederherstellungstests sichern die Verfügbarkeit im Ernstfall. Ein strukturiertes Patch-Management bündelt Updates für Betriebssysteme, Praxissoftware und Sicherheitslösungen, dokumentiert Zeitpunkte, Verantwortliche und Ausnahmen. Protokollierung und Monitoring machen unzulässige Zugriffe sichtbar und ermöglichen eine nachvollziehbare forensische Analyse. In Summe schaffen diese Grundlagen ein widerstandsfähiges Praxisnetz und unterstützen die Nachweispflichten aus DSGVO und TI-Anforderungen [11].

Organisation, Verträge und Rechenschaftspflicht

Die DSGVO verlangt Rechenschaftspflicht von Praxisinhaberinnen und -inhabern. Dazu gehören ein Verzeichnis von Verarbeitungstätigkeiten, ein IT-Sicherheits- und Berechtigungskonzept, dokumentierte Schulungen und klare Regelungen mit Dienstleistern nach Artikel 28 DSGVO [5][10][11]. Jede externe Unterstützung, ob Systemhaus, Cloudanbieter oder Fernwartung, ist durch einen Auftragsverarbeitungsvertrag abzudecken, der technische und organisatorische Maßnahmen, Unterauftragsverhältnisse, Meldewege bei Sicherheitsvorfällen und Prüfungsrechte benennt. Für sensible Tätigkeiten empfiehlt sich eine Vorabprüfung der technischen Eignung und ein dokumentierter Freigabeprozess.

Risikoanalysen und Notfallpläne ergänzen die Dokumentation. Sie priorisieren Systeme, definieren Wiederanlaufziele, benennen Stellvertretungen und Kontaktwege. Ein Meldeprozess für Datenschutzverletzungen sorgt dafür, dass Vorfälle schnell erkannt, bewertet und an die richtigen Stellen gemeldet werden, wenn rechtlich geboten. In der Praxis mindert strukturierte Dokumentation Haftungsrisiken, erleichtert Audits und schafft Klarheit in Stresssituationen. Entscheidend ist der kontinuierliche Verbesserungsprozess: Ereignisse, Tests und Änderungen fließen in die Überarbeitung der Maßnahmen ein.

TI, Netzsegmentierung und sichere Kommunikation im Alltag

Mit der TI-Anbindung steigt die Bedeutung einer sauberen Netzarchitektur. Die IT-Sicherheitsrichtlinie nennt Netzsegmentierung als Mindeststandard; getrennte Zonen für Verwaltung, Behandlungsgeräte und Gästezugänge reduzieren die Angriffsfläche [5][13]. Hardware-Firewalls, sichere Routerkonfigurationen und getrennte VLANs verhindern, dass einzelne kompromittierte Endgeräte das gesamte Netz gefährden. Für die Kommunikation mit anderen Leistungserbringenden ist KIM der Standardkanal. Sensible Inhalte verlassen die Praxis nicht unverschlüsselt, und lokale Datenträger bleiben verschlüsselt [11].

Rollenbasierte Zugriffe stellen sicher, dass nur berechtigte Personen TI-Funktionen nutzen, etwa zum Abruf ärztlicher Verordnungen oder zur Übermittlung von Dokumenten. Zu den Betriebsaufgaben gehören regelmäßige Prüfungen der Zertifikate, PIN-Verwaltung für eHBA, Updates der Konnektor- oder TI-Gateway-Komponenten und die Dokumentation von Änderungen. Bei Störungen existiert ein Fallback: definierte Ausweichprozesse, um die Versorgung aufrechtzuerhalten, ohne Datenschutzprinzipien zu verletzen. Diese Routine senkt Ausfallzeiten und verbessert die Planbarkeit im Praxisbetrieb.

NIS2 und große Einrichtungen: Wann zusätzliche Pflichten greifen

Neue Vorgaben zur Cybersicherheit in Deutschland im Zuge der NIS2-Umsetzung können auch große ambulante Einrichtungen betreffen. Praxen und Medizinische Versorgungszentren mit mindestens 50 Mitarbeitenden oder mindestens 10 Millionen Euro Jahresumsatz können unter den Anwendungsbereich fallen und müssen dann zusätzliche Sicherheits- und Meldepflichten erfüllen [14]. Für Ergotherapiepraxen mit entsprechender Größe bedeutet das eine erweiterte Governance: formalisierte Risikomanagementprozesse, strengere Berichtspflichten bei Sicherheitsvorfällen und regelmäßigere Wirksamkeitsprüfungen.

Auch wenn viele Ergotherapiepraxen unterhalb der Schwellen liegen, lohnt ein Blick auf NIS2-Anforderungen als Qualitätsmaßstab. Strukturiertes Asset-Management, Lieferkettenkontrollen, strengere Zugangs- und Änderungsprozesse sowie erweiterte Business-Continuity-Planung heben das Sicherheitsniveau. Wer frühzeitig Maßnahmen etabliert, kann bei Wachstum schneller skalieren und regulatorische Anforderungen ohne hektische Nachbesserungen erfüllen.

Häufige Fragen

Welche Daten gelten in der Ergotherapiepraxis als besonders schützenswert?

Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Ihre Verarbeitung verlangt erhöhte Schutzmaßnahmen nach Artikel 32 DSGVO, darunter technische und organisatorische Maßnahmen wie Verschlüsselung, Zugriffsbeschränkungen und Risikoanalysen. Praxisleitungen müssen zudem Rechenschaft über die Umsetzung ablegen und Prozesse dokumentieren [1][5].

Dürfen wir jede Cloud-Praxissoftware nutzen?

Nein. Für cloudbasierte Verarbeitung von Gesundheitsdaten sind nur Dienste zulässig, die ein gültiges BSI C5-Testat oder ein gleichwertiges Zertifikat haben. Diese Anforderung steht im Kontext besonderer Sicherheitsvorgaben für das Gesundheitswesen, die über § 393 SGB V adressiert werden. Zusätzlich sind Auftragsverarbeitungsverträge nach Artikel 28 DSGVO Pflicht [1][11].

Welche TI-Kosten werden 2025 und 2026 refinanziert?

Für 2025 sieht der GKV-Spitzenverband eine monatliche Grundpauschale von 207,93 Euro sowie eine Zuschlagspauschale je eHBA von 7,77 Euro vor. Die Refinanzierung gilt rückwirkend ab Juli 2024 mit Abrechnungsmöglichkeiten ab 2025. Ab dem 01.01.2026 werden für Ergotherapie TI-Pauschalen in gleicher Höhe wie in anderen Heilmittelsektoren gezahlt [2][8][12][15].

Was verlangt die IT-Sicherheitsrichtlinie konkret von Praxen?

Die Richtlinie gilt seit 1. April 2025 und ist bis 1. Oktober 2025 umzusetzen. Sie fordert verpflichtende IT-Sicherheitsschulungen, dokumentierte Mindeststandards wie Patch-Management, Zugriffskontrollen, Datensicherung, Netzsegmentierung und eine nachvollziehbare Dokumentation der Maßnahmen. Sie dient zunehmend als Referenz auch für therapeutische Praxen [5][13].

Treffen NIS2-Vorgaben auch Ergotherapiepraxen?

NIS2 kann große ambulante Einrichtungen betreffen. Praxen oder MVZ mit mindestens 50 Mitarbeitenden oder mindestens 10 Millionen Euro Jahresumsatz können in den Anwendungsbereich fallen und zusätzliche Sicherheits- und Meldepflichten erhalten. Kleinere Praxen sind in der Regel nicht betroffen, profitieren aber von den höheren Standards als Orientierung [14].

Fazit

Ergotherapiepraxen stehen 2026 vor klaren IT-Sicherheitsanforderungen: besondere DSGVO-Schutzpflichten, verbindliche Mindeststandards der IT-Sicherheitsrichtlinie und eine TI-Anbindung mit refinanzierbaren Kosten. Wer Cloud-Software nur zertifiziert nutzt, Verträge und Prozesse sauber dokumentiert, Schulungen etabliert und technische Basismaßnahmen konsequent umsetzt, reduziert Haftungs-, Ausfall- und Reputationsrisiken spürbar. So bleibt die Praxis digital handlungsfähig und erfüllt Nachweispflichten gegenüber Aufsicht und Kostenträgern.