Cyber-Versicherung für Arztpraxen

Warum Patientendaten rechtlich eine Sonderrolle haben

Patientendaten zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Diagnosen, Befunde, Medikationspläne und psychotherapeutische Notizen unterliegen damit einem deutlich strengeren Schutzniveau als etwa eine Kundenadresse im Onlinehandel. Ein Zugriff durch Unbefugte ist praktisch immer meldepflichtig, weil bei Gesundheitsdaten regelmäßig ein hohes Risiko für die betroffenen Personen unterstellt wird. Hinzu kommt die ärztliche Schweigepflicht nach §203 StGB, die unabhängig von der DSGVO gilt und bei Verstoß strafrechtliche Konsequenzen für den Praxisinhaber nach sich ziehen kann, auch wenn der eigentliche Angriff von außen kam.

Für die Praxis bedeutet das eine doppelte Absicherungspflicht: technisch und organisatorisch angemessene Maßnahmen nach Art. 32 DSGVO, und gleichzeitig ein Nachweis, dass die Schweigepflicht auch im digitalen Praxisalltag beachtet wurde, etwa bei der Anbindung externer Abrechnungsdienstleister oder Cloud-Backups. Wird ein Praxisverwaltungssystem kompromittiert, sind in der Regel beide Pflichten gleichzeitig betroffen, was die Kosten für rechtliche Prüfung und Meldung deutlich erhöht.

Die Cyber-Versicherung für Arztpraxen setzt genau an dieser Schnittstelle an: Sie übernimmt die Kosten der Ersteinschätzung, ob eine meldepflichtige Datenpanne vorliegt, die Formulierung der Meldung an die Landesdatenschutzbehörde und die Kommunikation mit betroffenen Patienten, wenn eine Benachrichtigungspflicht besteht.

Meldepflicht binnen 72 Stunden: Ablauf im Ernstfall

Stellt die Praxis einen unbefugten Zugriff auf Patientendaten fest, beginnt die 72-Stunden-Frist nach Art. 33 DSGVO zur Meldung an die zuständige Landesdatenschutzbehörde. In der Praxis ist diese Frist knapp bemessen, weil zunächst geklärt werden muss, welche Daten betroffen sind, wie viele Patienten es betrifft und ob ein hohes Risiko vorliegt, das zusätzlich eine direkte Benachrichtigung der Patienten nach Art. 34 DSGVO erfordert. Ohne externe Unterstützung geraten Praxen hier häufig in Zeitdruck, weil parallel der laufende Praxisbetrieb weiterläuft.

Wichtig für die Einordnung: Versicherbar sind die Kosten rund um diesen Prozess, also IT-Forensik zur Feststellung des Umfangs, anwaltliche Bewertung der Meldepflicht, Formulierung und Versand der Meldung sowie die Benachrichtigung der Patienten. Das eigentliche DSGVO-Bußgeld, das die Aufsichtsbehörde im Nachgang gegen die Praxis verhängen kann, ist in Deutschland nach überwiegender Rechtsauffassung nicht versicherbar, da es einen ordnungsrechtlichen Sanktionscharakter hat. Anbieter kommunizieren das unterschiedlich klar, ein genauer Blick in die Bedingungen lohnt sich vor Vertragsabschluss.

Praxisverwaltungssystem, KIM und TI-Anbindung als Angriffsfläche

Das Praxisverwaltungssystem ist das zentrale Nervensystem jeder Praxis: Terminplanung, Abrechnung, Patientenakte und oft auch die Anbindung an Labore laufen darüber. Fällt es aus, steht in vielen Praxen der gesamte Betrieb still, weil es keinen praktikablen Rückfall auf Papier mehr gibt. Zusätzliche Angriffsfläche entsteht durch die Anbindung an die Telematikinfrastruktur (TI) und den Kommunikationsdienst KIM, über die eRezepte, eArztbriefe und andere sensible Inhalte ausgetauscht werden. Diese Schnittstellen sind gesetzlich vorgeschrieben, lassen sich aber nicht beliebig isolieren, was sie zu einem attraktiven Angriffspunkt macht.

Ein Ransomware-Angriff auf das Praxisverwaltungssystem hat deshalb meist zwei Kostenblöcke: die technische Wiederherstellung der Systeme und Daten, sowie den wirtschaftlichen Schaden durch ausgefallene Termine, die weder verschoben noch spontan nachgeholt werden können. Eine gute Cyber-Police deckt beides, wobei die Betriebsunterbrechungskomponente in vielen Einsteigertarifen niedriger gedeckelt ist als die reine Wiederherstellungskomponente. Praxen mit hohem Patientenaufkommen sollten diesen Deckungsbaustein gezielt prüfen.

Beispielhafte Schadenverläufe aus der Praxis

Orientierungswerte: Deckungsbausteine nach Praxisgröße

Die folgenden Werte dienen als grobe Einordnung. Die tatsächliche Prämie hängt von Praxisgröße, Fachrichtung, Anzahl gespeicherter Patientendaten und dem gewählten Selbstbehalt ab und kann zwischen Anbietern spürbar abweichen.

Checkliste vor dem Abschluss