Cyberangriff oder IT-Ausfall: ein Notfallplan für Ihre Praxis

1. Zuständigkeiten vor dem Vorfall festlegen

Die KBV empfiehlt, das Vorgehen bei IT-Sicherheitsvorfällen im Team vorzubereiten. Legen Sie fest, wer den Vorfall koordiniert und wer diese Person vertritt. Eine Kontaktliste sollte auch bei ausgefallenem Praxisserver erreichbar sein. Bewahren Sie eine aktuelle Papierfassung an einem dem Team bekannten, geschützten Ort auf.

Stimmen Sie mit dem IT-Dienstleister ab, welche Unterstützung tatsächlich vereinbart ist und wie die Eskalation außerhalb regulärer Zeiten funktioniert. So bleibt im Ernstfall klar, wer welche Entscheidungen treffen darf.

2. Beobachtungen melden und Maßnahmen koordinieren

Informieren Sie bei einem verdächtigen Vorgang umgehend Praxisleitung und IT-Dienstleister. Notieren Sie Zeitpunkt, betroffenes Gerät, angezeigte Meldungen und bereits ausgeführte Schritte. Die KBV rät, Beobachtungen zu dokumentieren und technische Maßnahmen nach Anweisung durchzuführen.

3. Einen begrenzten Praxisbetrieb vorbereiten

Die KBV stellt seit Oktober 2026 Materialien zur Krisenvorsorge bereit und behandelt dabei auch analoge Alternativen für digitale Abläufe. Überlegen Sie vorab, welche Tätigkeiten bei einem Ausfall noch sicher möglich sind. Die medizinische Leitung entscheidet, welche Versorgung unter den konkreten Bedingungen verantwortbar bleibt.

Private Messenger oder private E-Mail-Konten sollten nicht spontan zum Ersatz für freigegebene Kommunikationswege werden. Planen Sie geeignete Ausweichwege einschließlich der dafür nötigen Berechtigungen vorher.

4. Backups und Wiederherstellung praktisch prüfen

Das BSI empfiehlt im Maßnahmenkatalog Ransomware ein Datensicherungskonzept mit geschützten, getrennten Sicherungskopien. Eine ständig erreichbare Sicherung kann bei einem Angriff ebenfalls betroffen sein. Klären Sie daher mit Ihrem IT-Dienstleister, welche Kopien vor einem Zugriff aus dem Produktivnetz geschützt sind.

Vereinbaren Sie regelmäßige Wiederherstellungstests. Dabei sollte nachvollziehbar sein, welche Daten und Einstellungen zurückgesichert wurden, wie lange dies dauerte und ob die Praxissoftware anschließend nutzbar war. Vor einer Wiederherstellung ist fachlich zu prüfen, ob die Sicherung selbst Schadsoftware enthalten könnte. Ein Backup schützt außerdem nicht vor den Folgen bereits abgeflossener Daten.

5. Datenschutzmeldungen und andere Pflichten prüfen

Eine Datenschutzverletzung kann auch vorliegen, wenn personenbezogene Daten verloren gehen, unzulässig verändert werden oder nicht mehr verfügbar sind. Ein nachgewiesener Datendiebstahl ist nicht die einzige denkbare Konstellation. Dokumentieren Sie Sachverhalt, Datenarten, betroffene Personen, mögliche Folgen und Schutzmaßnahmen.

Nach Artikel 33 DSGVO ist eine meldepflichtige Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsicht zu melden. Die Meldung entfällt, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Menschen besteht. Auch die Entscheidung gegen eine Meldung muss nachvollziehbar dokumentiert werden. Bei voraussichtlich hohem Risiko ist zusätzlich die Benachrichtigung nach Artikel 34 DSGVO einschließlich ihrer Ausnahmen zu prüfen.

6. Wiederanlauf freigeben und aus dem Vorfall lernen

Vereinbaren Sie, wer nach der technischen Prüfung die Rückkehr zum regulären Betrieb freigibt. Halten Sie verbleibende Einschränkungen und notwendige Nacharbeiten fest. Besprechen Sie anschließend im Team, welche Informationen gefehlt haben und welche Abläufe angepasst werden müssen. Eine kurze Übung mit einem angenommenen Serverausfall zeigt häufig schon vorher, ob Kontakte, Papierunterlagen und Vertretungen funktionieren.