§390-Checkliste: Pflichtmaßnahmen für Ihre Praxis zum Abhaken

Die IT-Sicherheitsrichtlinie nach §390 SGB V (vormals §75b), übersetzt in verständliche Punkte. Gehen Sie die Liste Gruppe für Gruppe durch und haken Sie ab, was bereits erfüllt ist. Die Kürzel (z. B. A1-14) entsprechen den Maßnahmen-Nummern der Richtlinie.

Checkliste drucken / als PDF sichern

Zum §390-Check

Teil A · Anlage 1: Pflicht für alle Praxen

Basis-Anforderungen, unabhängig von der Praxisgröße.

1. Personal, Organisation & Verantwortlichkeiten

Geregelte Einarbeitung neuer Mitarbeitender inkl. IT-Sicherheit & Datenschutz (A1-01)
Geregeltes Verfahren beim Weggang: Schlüssel/Geräte zurück, Zugänge sperren, Passwörter ändern (A1-02)
Regeln für Fremdpersonal: Beaufsichtigung in sensiblen Bereichen, minimale Zugriffsrechte (A1-03)
Vertraulichkeitsvereinbarung mit externem Personal, schriftlich vor Datenzugriff (A1-04)
Aufgaben, Zuständigkeiten und Berechtigungen dokumentiert („Wer darf was im System") (A1-05)
Regelmäßige Schulung des Personals zur eingesetzten Technik, mind. 1× jährlich (A1-06)
Vertrauenswürdigkeit neuer Mitarbeitender geprüft (Zeugnisse/Referenzen) (A1-07)

2. Sensibilisierung & Schulung

Praxisleitung ist für Sicherheitsfragen sensibilisiert und unterstützt Schulungen aktiv (A1-08)
Gesamtes Personal in den sicheren Umgang mit IT und TI eingewiesen (A1-09)
Pflichtschulung IT-Sicherheit & Datenschutz für alle, mind. 1× jährlich (A1-10)

3. Updates (Patch- & Änderungsmanagement)

Updates zeitnah installieren, automatische Updates wo möglich aktiviert (A1-14)
Verantwortliche Person für Updates benannt (intern oder Dienstleister) (A1-15)
Veraltete Soft-/Hardware ohne Sicherheitsupdates identifiziert (A1-16)
Nicht mehr versorgte Komponenten ausgemustert oder separiert betrieben (A1-17)

4. Endgeräte, Zugriffsschutz & Datensicherung

Datensicherung vor unbefugtem Zugriff geschützt (verschlossen aufbewahrt, verschlüsselt) (A1-22)
Art der Datensicherung festgelegt; Cloud nur mit C5-Testat bei Gesundheitsdaten (A1-23)
Verantwortliche Person für Backups benannt, inkl. Vertretung; Protokoll mit Zeitstempel (A1-24)
Wiederherstellung regelmäßig getestet, möglichst einmal pro Quartal (A1-25)
Eigene Benutzerkonten je Person, rollenbasierte Rechte, automatische Bildschirmsperre (A1-26)

5. E-Mail-Sicherheit

E-Mail-Clients sicher konfiguriert: Anhänge geprüft, aktive Inhalte deaktiviert, TLS (A1-40)
Umgang mit Spam geregelt: Filter aktiv, keine Links in verdächtigen Mails (A1-41)
Unverschlüsseltes Fax vermieden, sensible Inhalte über KIM versendet

6. Mobilgeräte

Bildschirmsperre/Sperrcode auf allen mobilen Geräten aktiv
Geräteverschlüsselung auf Smartphone/Tablet/Notebook aktiviert
Verfahren bei Verlust/Diebstahl festgelegt (Sperren, Fernlöschen, Zugänge ändern)
Klare Regel zu privaten Geräten (BYOD) vorhanden
Nur vertrauenswürdige Apps aus offiziellen Quellen, veraltete Geräte ausgemustert

7. Internet & mobile Datenträger

Browser sicher konfiguriert (aktuell, HTTPS, keine unnötigen Plugins)
Aktueller Virenschutz mit automatischen Updates auf allen relevanten Geräten
Umgang mit USB-Sticks/externen Datenträgern geregelt (keine unbekannten Sticks)

8. Cloud-Anwendungen

Bei Gesundheitsdaten in der Cloud: Anbieter mit aktuellem C5-Testat (A1-50)
Patientendaten vor Cloud-Übertragung verschlüsselt (A1-50)

9. Datenschutz (DSGVO-Schnittstelle)

Auftragsverarbeitungsvertrag (AVV) mit jedem IT-Dienstleister mit Datenzugriff
Technisch-organisatorische Maßnahmen (TOMs) dokumentiert
Verschwiegenheitserklärungen aller Mitarbeitenden vorhanden (§203 StGB, DSGVO)

Teil B · Anlage 2: zusätzlich ab 6 Personen

Praxen mit 6–20 Personen setzen Teil A und diese Punkte um.

Netzwerksegmentierung: Behandlungs-, Verwaltungsnetz und Gäste-WLAN getrennt
Zentrale Firewall regelt und protokolliert den Verkehr zwischen den Segmenten
Gäste-WLAN strikt getrennt, starke Verschlüsselung (mind. WPA2/WPA3), Passwort regelmäßig erneuert
Rollenbasiertes, dokumentiertes Berechtigungskonzept über die ganze Praxis
Zentrale Verwaltung der Endgeräte (einheitliche Konfiguration, Updates, Virenschutz)
Protokollierung/Monitoring des Netzwerkverkehrs, Auffälligkeiten werden bewertet
Strukturiertes Backup-Konzept für Mehrplatz-/Serverbetrieb inkl. dokumentierter Restore-Tests
Erweiterte E-Mail-Absicherung (Schutz möglichst schon am Mail-Server)
Verantwortlichkeiten für IT-Sicherheit organisatorisch verankert (inkl. Vertretung)

Teil C · Anlage 4: medizinische Großgeräte

Gilt größenunabhängig, sobald z. B. DVT oder 3D-Röntgen vorhanden ist.

Medizinische Großgeräte (z. B. DVT/3D-Röntgen) inventarisiert und der Richtlinie unterstellt
Separates Netzwerksegment für vernetzte Medizintechnik
Update-/Wartungsstand der Gerätesoftware mit dem Hersteller geklärt
Fernwartungszugänge der Hersteller abgesichert (nur bei Bedarf aktiv, protokolliert)

Teil C · Anlage 5: Telematikinfrastruktur (TI)

Gilt größenunabhängig für alle Praxen mit TI-Anbindung.

Personal in den sicheren Umgang mit der TI eingewiesen
Konnektor/TI-Anbindung aktuell (ECC-Zertifikate; Alternative TI-Gateway geprüft)
KIM als sicherer Kommunikationsweg im Einsatz statt unverschlüsseltem Fax
Kartenterminals/gSMC-KT rechtzeitig getauscht (Fristen beachten)
ePA & eRezept sicher und richtlinienkonform eingebunden

Mehrere Punkte offen? Das ist normal.

Genau dafür gibt es den §390-Praxis-Check: Wir gehen diese Liste gemeinsam durch, ermitteln Ihren Umsetzungsstand und Sie erhalten einen verständlichen Ampel-Report mit priorisierten nächsten Schritten. Verantwortlich für die Umsetzung bleibt die Praxisinhaberin bzw. der Praxisinhaber, ich setze die Maßnahmen mit Ihnen um und dokumentiere sie prüfsicher.

Quellen & Hinweis (Stand: Juli 2026)

Grundlage sind die IT-Sicherheitsrichtlinie nach §390 SGB V sowie die Veröffentlichungen von KZBV und BSI. Diese Checkliste dient der Orientierung, ersetzt weder den offiziellen Richtlinientext noch eine Rechts- oder Datenschutzberatung. Maßgeblich ist die jeweils gültige Fassung der Richtlinie.

Vom Abhaken zur Umsetzung.

Im kostenlosen Erstgespräch klären wir Ihren Stand, danach erhalten Sie den Ampel-Report mit klaren Prioritäten.

§390-Check anfragen