Kurze Antwort: Ja. Und zwar nicht als optionaler Komfort, sondern weil ein Cyberangriff auf eine Arztpraxis gleichzeitig ein Datenschutzverstoß, eine potenzielle Straftat und ein Betriebsausfall ist – drei Krisen in einer. Keine andere Versicherung deckt diese Kombination ab.
Das Wichtigste in Kürze
- 10 Prozent aller Arztpraxen in Deutschland waren bereits mindestens einmal von einem IT-Sicherheitsvorfall betroffen. Angreifer zielen auf Arztpraxen, weil Patientendaten im Darknet ein Vielfaches einer gestohlenen Kreditkarte wert sind.
- Die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V gilt seit Oktober 2025 für alle niedergelassenen Vertragsärzte. Wer sie nicht einhält, riskiert KV-Honorarkürzungen und verliert im Schadenfall den Versicherungsschutz.
- Ein Ransomware-Angriff auf das Praxisverwaltungssystem kostet ohne Versicherung typischerweise 40.000 bis 100.000 Euro – und das noch ohne DSGVO-Bußgelder und Patientenklagen.
- Die Jahresprämie einer Einzelarztpraxis beginnt bei rund 600 Euro.
Warum sind Arztpraxen ein attraktives Ziel für Cyberkriminelle?
Gesundheitsdaten sind nach Art. 9 DSGVO die sensibelste Datenkategorie überhaupt. Was Angreifer in einer Arztpraxis erbeuten, lässt sich nicht wie eine Kreditkarte sperren: Diagnosen, Medikamentenpläne, psychische Erkrankungen, Operationsberichte, Familienkrankheitsgeschichten. Im Darknet bringt ein gestohlenes Krankenhauspatientenprofil ein Vielfaches einer gestohlenen Kreditkarte.
Und Arztpraxen sind für Angreifer leichtere Ziele als große Kliniken: wenig eigenes IT-Personal, ältere Systeme, Medizingeräte mit veralteten Betriebssystemen, die nicht gepatcht werden können, und Mitarbeiter ohne Sicherheitsschulungen. Das BSI hat festgestellt, dass Praxen meistens nicht durch gezielte Attacken getroffen werden, sondern durch opportunistische Massenangriffe, die automatisiert Schwachstellen ausnutzen.
Typische Angriffsvektoren auf Arztpraxen:
- Ransomware, die das Praxisverwaltungssystem komplett verschlüsselt
- Phishing-Mails an Praxismitarbeiter, die Zugangsdaten abfangen
- Schwachstellen in Medizingeräten mit veralteten Betriebssystemen wie Windows 7 oder XP
- Angriffe über die Telematikinfrastruktur: KIM, eRezept, eAU und die elektronische Patientenakte schaffen neue Angriffsflächen
- Datenmissbrauch durch Mitarbeiter oder ehemalige Mitarbeiter
Was passiert konkret bei einem Ransomware-Angriff auf eine Praxis?
Ein anschauliches Bild macht deutlich, warum dieser Schadenstyp so gefährlich ist. Eine mittelgroße Hausarztpraxis wird angegriffen. Das Praxisverwaltungssystem ist verschlüsselt. Kein Patient kann empfangen werden, keine Abrechnungen können erstellt werden, keine Überweisungen ausgestellt werden. Laborwerte, Medikamentenpläne, Terminlisten – alles weg oder gesperrt.
Die Wiederherstellung dauert bei professionellem Eingreifen fünf bis vierzehn Werktage. Ohne Versicherung entstehen dabei typische Kosten von:
- IT-Forensik: 15.000 bis 30.000 Euro
- Datenwiederherstellung: 10.000 bis 40.000 Euro
- Betriebsunterbrechungsschaden: 5.000 bis 25.000 Euro je nach Praxisgröße
Dazu kommen DSGVO-Bußgelder und mögliche Schadensersatzklagen betroffener Patienten. Die meisten Arztpraxen haben keine Liquiditätsreserven für diese Dimension.
Welche gesetzlichen Pflichten hat eine Arztpraxis bei einem Cyberangriff?
Das ist der entscheidende Punkt: Eine Arztpraxis steht unter einem mehrschichtigen Pflichtrahmen, den kein gewöhnliches Kleinunternehmen kennt.
KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V
Seit Oktober 2025 gilt die aktualisierte KBV-IT-Sicherheitsrichtlinie für alle niedergelassenen Vertragsärzte, Vertragspsychotherapeuten und Vertragszahnärzte ohne Übergangsfrist. Sie schreibt konkrete technische Mindestanforderungen vor, abgestuft nach Praxisgröße:
| Praxisgröße | Kriterium | Anforderungsniveau |
| Kleine Praxis | 1 bis 5 Personen mit Datenverarbeitung | Virenschutz, Firewall, Backup, Patchmanagement |
| Mittlere Praxis | 6 bis 20 Personen | Erweitertes Sicherheitskonzept, Mitarbeiterregelungen |
| Große Praxis oder MVZ | Mehr als 20 Personen oder Großgeräte | Umfassendes ISMS, IT-Dokumentation, erweiterte Meldepflichten |
Neu seit Oktober 2025 sind verpflichtende und dokumentierte Mitarbeiterschulungen zu IT-Sicherheit und Phishing, Verschwiegenheitserklärungen für alle Mitarbeiter und Fremdpersonal, Backuptests statt nur Backups anlegen, und die Vorgabe, dass Cloud-Dienste mit Gesundheitsdaten nur bei BSI-zertifizierten Anbietern mit C5-Testat gespeichert werden dürfen.
Wer die Richtlinie nicht einhält, riskiert Bußgelder bis zu 100.000 Euro durch Datenschutzbehörden und Honorarkürzungen durch die Kassenärztliche Vereinigung. Und er verliert im Schadenfall den Versicherungsschutz – weil die Obliegenheiten der Cyberpolice deckungsgleich mit den gesetzlichen IT-Mindeststandards sind.
DSGVO: Gesundheitsdaten als Hochrisikokategorie
Patientendaten sind nach Art. 9 DSGVO besondere Kategorien personenbezogener Daten mit dem höchsten Schutzstatus. Bei einer Datenpanne gelten deshalb verschärfte Meldepflichten: Die zuständige Datenschutz-Aufsichtsbehörde muss innerhalb von 72 Stunden informiert werden. Wenn betroffene Patienten einem hohen Risiko ausgesetzt sind, müssen diese direkt benachrichtigt werden. Patienten können auf dieser Grundlage direkt Schadensersatz geltend machen.
Ärztliche Schweigepflicht: Das Paradoxon
Das ist die berufsrechtliche Dimension, die viele Ärzte unterschätzen. Nach einem Cyberangriff mit Datenleck hat der Arzt automatisch gegen seine Schweigepflicht verstoßen – nicht durch eigenes Handeln, aber durch den Angriff. Gleichzeitig kollidieren zwei Pflichten:
Die DSGVO verlangt die Meldung der Datenpanne an die Behörde. § 203 StGB verbietet die Offenbarung von Patientengeheimnissen. Schweigt der Arzt, drohen DSGVO-Bußgelder. Meldet er, riskiert er strafrechtliche Konsequenzen wegen Verletzung des Berufsgeheimnisses.
Die herrschende Meinung löst diesen Konflikt so: Die gesetzliche DSGVO-Meldepflicht begründet eine Offenbarungsbefugnis im Sinne des § 203 StGB. Aber die praktische Umsetzung im Krisenfall erfordert sofortige rechtliche Begleitung – die genau eine hochwertige Cyberversicherung mit ihrer 24/7-Rechtsberatung im Schadenfall stellt.
Was zahlt welche Versicherung bei einem Cyberangriff?
Eine Arztpraxis hat typischerweise mehrere Policen. Keine davon deckt Cyberrisiken vollständig ab – außer der eigenständigen Cyberversicherung.
Berufshaftpflichtversicherung für Ärzte: Deckt Behandlungsfehler, nicht Cyberschäden. Kein Schutz bei Datenpannen oder Betriebsunterbrechung durch Ransomware.
Praxisinhalt- und Sachwertversicherung: Deckt physische Geräteschäden, nicht Datenverluste oder Betriebsunterbrechung durch Hackerangriff.
Rechtsschutzversicherung: Deckt einzelne Rechtsstreitigkeiten, nicht die umfassende Krisenreaktion nach einem Angriff.
Cyberversicherung: Deckt alle digitalen Schadensdimensionen gleichzeitig.
Was deckt eine Cyberversicherung für Arztpraxen konkret ab?
Eine Cyberversicherung für Arztpraxen muss mehr leisten als eine Standardpolice für KMU. Folgende Bausteine sind für Praxen zwingend erforderlich:
IT-Forensik und 24/7-Notfallhotline: Sofortiger Zugang zu Spezialisten, die den Angriff analysieren, Beweise sichern und den Praxisbetrieb schnellstmöglich wiederherstellen.
Praxisverwaltungssystem: Systeme wie MEDISTAR, TURBOMED oder CGM LIFE müssen explizit als versicherter Datenbestand gedeckt sein. Das ist nicht automatisch in jedem Tarif enthalten.
Cyber-Betriebsunterbrechung: Erstattet entgangene Honorare während der Wiederherstellungsphase und die Mehrkosten für manuelle Abrechnung. Wichtig: Karenzzeit und Haftzeit im Tarif prüfen.
DSGVO-Verfahrenskosten: Anwaltskosten im Bußgeldverfahren vor der Datenschutzbehörde. Das Bußgeld selbst ist versicherungsrechtlich umstritten, die Verfahrenskosten sind klarer Mehrwert.
Drittschaden und Patientenhaftpflicht: Schadensersatz gegenüber Patienten nach Art. 82 DSGVO – Abwehr und Befriedigung von Ansprüchen.
Krisenkommunikation: Korrekte Formulierung der Patientenbenachrichtigungen, die sowohl datenschutzrechtlich als auch berufsrechtlich sauber ist.
Telematikinfrastruktur: KIM und TI-Ausfall sollte als Klausel explizit eingeschlossen sein, da die Pflichtanbindung eine neue Angriffsfläche schafft.
Bei Fachpraxen mit bildgebenden Verfahren gilt ein besonderer Hinweis: Röntgenbilder und DICOM-Daten müssen explizit als versicherter Datenbestand genannt sein. Bei Radiologen oder Orthopäden können diese Daten Terabytes umfassen, die Wiederherstellungskosten schnell sechsstellig machen.
Was kostet eine Cyberversicherung für Arztpraxen?
Die Prämie hängt von Praxisgröße, Fachrichtung und IT-Reifegrad ab:
| Praxiskonstellation | Empfohlene Versicherungssumme | Jahresprämie |
| Hausarzt Einzelpraxis | 250.000 bis 500.000 Euro | 400 bis 800 Euro |
| Hausarzt mit erweiterter Diagnostik | 500.000 bis 1 Mio. Euro | 800 bis 1.400 Euro |
| Fachpraxis mit Endoskopie oder Röntgen | 1 bis 2 Mio. Euro | 1.400 bis 2.500 Euro |
| BAG oder kleines MVZ | 2 bis 3 Mio. Euro | 2.500 bis 4.500 Euro |
Praxen mit nachweisbarer KBV-Richtlinienkonformität erhalten typischerweise 10 bis 20 Prozent Beitragsvorteil bei Underwritern, die Heilberufe-Tarife führen. Das heißt: Wer seine IT-Sicherheit dokumentiert nachweist, zahlt weniger.
Welche Obliegenheiten muss eine Praxis erfüllen?
Das ist gleichzeitig die KBV-Compliance-Checkliste und die Versicherungsobliegenheits-Prüfung – beide verlangen nahezu identische Maßnahmen:
- Aktueller Virenschutz auf allen Endgeräten inklusive Empfangs-PC und Arzt-Workstations
- Firewall aktiv und konfiguriert
- Regelmäßige Backups mit getrennter Speicherung offline oder offsite und nachgewiesenem Wiederherstellungstest
- Sicherheitsupdates unverzüglich einspielen
- Multi-Faktor-Authentifizierung für Remote-Zugänge und privilegierte Konten
- Mitarbeiterschulungen zu Phishing, seit Oktober 2025 dokumentationspflichtig
- Verschwiegenheitserklärungen für alle Mitarbeiter und Fremdpersonal
- Cloud nur mit BSI C5-Testat
- Prozess für Mitarbeiteraustritt: Zugangsentzug, Passwortänderung, Schlüsselrückgabe
Wer diese Punkte nicht erfüllt, riskiert nach einem Cyberangriff die Leistungskürzung oder vollständige Leistungsverweigerung des Versicherers nach §§ 28–32 VVG.
Welche Versicherer bieten Heilberufe-Tarife an?
Nicht jeder KMU-Tarif ist für Arztpraxen geeignet. Empfehlenswert sind spezialisierte Heilberufe-Tarife von Hiscox, Markel, HDI, Allianz und AXA, die Praxisbesonderheiten wie PVS-Systeme, Telematikinfrastruktur und die spezifische DSGVO-Dimension von Gesundheitsdaten adressieren.
Der entscheidende Unterschied zwischen einem generischen KMU-Tarif und einem Heilberufe-Tarif liegt in den Deckungsformulierungen: Ein guter Heilberufe-Tarif nennt Patientendaten als benannte Datenkategorie, deckt die TI-Anbindung explizit und stellt sicher, dass die 24/7-Rechtsberatung im Schadenfall auch die berufsrechtliche Dimension nach § 203 StGB bedient.
Die Frage ist nicht ob, sondern wann ein Cyberangriff eine Arztpraxis trifft. Die Jahresprämie einer Einzelarztpraxis liegt unter den Kosten von zwei Stunden IT-Forensik nach einem Angriff.
