IT-Sicherheit in der Ordination: vier Schwachstellen, die fast jede Praxis hat

Eine Ordination ist ein IT-Betrieb

Der Server steht im Abstellraum. Das Netzwerk hat vor Jahren jemand eingerichtet, der heute nicht mehr erreichbar ist. Das Backup läuft – vermutlich. So sieht es in vielen Ordinationen aus, und das ist kein Vorwurf. Eine Praxis ist ein medizinischer Betrieb, kein IT-Unternehmen. Trotzdem hängt beides zusammen: Wenn am Montagmorgen nichts geht, steht nicht die Technik still, sondern der Betrieb – mit einem vollen Wartezimmer.

Die vier Punkte in diesem Artikel sind die Stellen, an denen es in Ordinationen typischerweise klemmt. Nicht, weil jemand geschlampt hätte, sondern weil sich über Jahre niemand zuständig gefühlt hat.

Warum eine Ordination ein Sonderfall ist

Für Praxen gilt ein schärferer Maßstab als für andere kleine Betriebe – aus drei Gründen.

Gesundheitsdaten sind rechtlich besonders geschützt. Die Datenschutz-Grundverordnung führt sie in Artikel 9 als besondere Kategorie personenbezogener Daten. Für die Verarbeitung gelten strengere Voraussetzungen als etwa für Adressdaten im Handel.

Die ärztliche Verschwiegenheitspflicht kommt obendrauf. Sie besteht unabhängig vom Datenschutzrecht und richtet sich direkt an dich als Ärztin oder Arzt – nicht an eine IT-Abteilung.

Seit 1. Jänner 2026 ist die Ordination dauerhaft angebunden. Mit der verpflichtenden Nutzung von e-card-Infrastruktur und ELGA-Funktionen ist die Praxis fest ans Gesundheitsnetz angeschlossen. Das ist sinnvoll und war überfällig. Es bedeutet aber auch: Die Zeiten, in denen ein Ordinationsrechner im Zweifel einfach offline war, sind vorbei.

1. Ausfall heißt Stillstand

Steht der Server, steht die Ordination. Keine Karteien, keine Befunde, keine Terminliste, oft auch kein Kartenlesegerät. Jede Stunde kostet Termine, Nerven und Vertrauen.

Die Frage ist deshalb nicht, ob ein Ausfall verhindert werden kann – sondern wie lange er dauert. Was du dafür brauchst: eine Wartung, die nach Plan läuft statt nach Ausfall. Geräte, deren Alter jemand kennt. Und einen Ansprechpartner, der bei einem Problem nicht erst drei Hotlines durchtelefoniert, sondern zuständig ist.

Ein realistischer Prüfpunkt für den Alltag: Weißt du, wie lange es dauern würde, bis nach einem Serverausfall wieder gearbeitet werden kann? Wenn die Antwort „keine Ahnung" lautet, ist das die eigentliche Schwachstelle – nicht der Server.

2. Ein Netzwerk für alles

Ordinationssoftware, Röntgen, Drucker, die Handys des Teams und das Gäste-WLAN im Wartezimmer – häufig läuft all das über dieselbe Leitung und dasselbe Netz. Das heißt im Klartext: Wer im Wartezimmer sitzt, ist im selben Netzwerk wie deine Patientendaten.

Das ist selten Absicht. Netzwerke wachsen mit: Ein Gerät kommt dazu, ein Drucker wird angesteckt, für die Patienten wird schnell ein WLAN freigegeben. Nach ein paar Jahren weiß niemand mehr, was womit spricht.

Die Lösung ist unspektakulär und wirksam: eine saubere Trennung in getrennte Netze für Ordination, Personal und Gäste. Technisch ist das kein großer Aufwand, wenn man es einmal richtig macht. Der Nebeneffekt ist ein WLAN, das auch im hintersten Behandlungsraum funktioniert.

3. Das Backup läuft. Vermutlich.

Ein Backup, das nie zurückgespielt wurde, ist kein Backup. Es ist eine Hoffnung. Diesen Satz sagen wir oft, und er trifft in Ordinationen besonders zu – weil die Datenbank der Ordinationssoftware im laufenden Betrieb gesichert werden muss und dabei mehr schiefgehen kann als bei ein paar Office-Dateien.

Drei Fragen, die ein Backup beantworten muss:

• Läuft es automatisch, oder muss jemand daran denken?
• Liegt eine Kopie getrennt vom Hauptsystem – so, dass eine Verschlüsselung sie nicht mitnimmt?
• Wurde schon einmal getestet, ob sich die Daten tatsächlich zurückspielen lassen?

Der dritte Punkt ist der, an dem es in der Praxis scheitert. Ein Rückspieltest gehört idealerweise gemeinsam mit dem Anbieter deiner Ordinationssoftware gemacht – der kennt die Eigenheiten der Datenbank.

4. Niemand weiß, wer von außen hereinkommt

Fernwartungszugänge vom Softwarepartner. Ein Zugang für das Röntgengerät. Der Account einer Mitarbeiterin, die vor zwei Jahren gegangen ist. Ein Homeoffice-Zugriff, den mal jemand eingerichtet hat. Solche Zugänge entstehen einzeln und aus gutem Grund – und werden nie aufgeräumt.

Was hilft, ist eine simple Liste: Wer kommt von außen herein, wofür, und ist das noch aktuell? Alles, was von außen zugänglich ist, gehört zusätzlich mit einer Mehrfaktor-Anmeldung abgesichert. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.

Und Zugriffsrechte gehören an Personen, nicht an die Ordination. Ein gemeinsames Passwort, das alle kennen, ist im Ernstfall auch deshalb ein Problem, weil sich nicht mehr nachvollziehen lässt, wer was getan hat.

Wenn doch etwas passiert: die ersten 72 Stunden

Ein Ransomware-Vorfall ist datenschutzrechtlich eine Datenpanne. Damit greift Artikel 33 der Datenschutz-Grundverordnung: Die Meldung an die Datenschutzbehörde muss unverzüglich erfolgen, nach Möglichkeit binnen 72 Stunden ab dem Zeitpunkt, an dem dir der Vorfall bekannt wird.

Die Uhr läuft also ab dem Bemerken, nicht ab dem Angriff. Das ist der Grund, warum die Dokumentation ab der ersten Minute wichtig ist: Was ist passiert, wann ist es aufgefallen, welche Daten sind betroffen, wie viele Personen, was wurde unternommen. Diese Angaben braucht die Meldung.

Bei Gesundheitsdaten kommt in aller Regel hinzu, dass auch die betroffenen Patientinnen und Patienten informiert werden müssen – Artikel 34 verlangt das, wenn ein hohes Risiko für die Betroffenen besteht.

Wer das im Ernstfall zum ersten Mal liest, verliert Stunden. Deshalb gehört ein knapper Notfallplan an eine Stelle, an der er auch ohne funktionierenden Rechner erreichbar ist: Wen rufe ich an, wer meldet, wer spricht mit den Patientinnen und Patienten.

Wo du seriöse Unterlagen findest

Die Ärztekammer Tirol stellt im Downloadcenter Unterlagen zur IT-Sicherheit in Arztordinationen bereit – unter anderem die „12 Regeln zur Datensicherheit in den Ordinationen", ein Muster für ein IT-Sicherheitskonzept und eine Zusammenstellung der rechtlichen Grundlagen. Das ist trockene Lektüre, aber es ist die fachlich abgesicherte Grundlage für deine Standesvertretung.

Wenn du allgemeine Grundlagen für kleine Betriebe suchst, findest du sie in unserem Beitrag zu den wichtigsten IT-Sicherheits-Basics. Dieser Artikel hier ergänzt das um die Punkte, die nur Ordinationen betreffen.

Und wenn du gerade erst eröffnest: Was digital von Anfang an dazugehört – von der ELGA-Anbindung bis zum Technikvorlauf – steht in unserer Checkliste zur Praxiseröffnung in Tirol.

Gratis Cyber-Security-Check bei den Tiroler Ärztetagen

Wir sind am 25. und 26. September 2026 bei den Tiroler Ärztetagen an der UMIT in Hall. Dort bieten wir einen kostenlosen Cyber-Security-Check für Ordinationen an.

Wir sehen uns deine IT vor Ort an – rund 90 Minuten – und sagen dir ehrlich, wie sie dasteht. Geprüft werden Netzwerk und WLAN-Trennung, Backup und Wiederherstellung, Zugriffsrechte und Fernwartungszugänge, Firewall und Updates sowie der Umgang mit Patientendaten im Alltag. Du bekommst einen schriftlichen Befund, auch wenn du danach nichts bei uns beauftragst.

Die Anzahl der Termine ist begrenzt. Du erreichst uns am Stand – oder du meldest dich direkt bei uns, wenn du nicht vor Ort bist.