Was Praxisinhaberinnen und Praxisinhaber konkret umsetzen müssen: ein Leitfaden auf Basis der FMH-Empfehlungen und des revidierten Datenschutzgesetzes (revDSG).
Zum Abhaken: Alle 11 Punkte als FMH-IT-Grundschutz-Checkliste (PDF, kostenlos).
Fazit
Die FMH hat 11 Minimalanforderungen zum IT-Grundschutz für Arztpraxen formuliert. Formell sind es Empfehlungen. Weil Patientendaten nach dem revidierten Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023) besonders schützenswert sind, kommt eine Praxis aber kaum um sie herum. Verantwortlich ist die Praxisinhaberin oder der Praxisinhaber persönlich. Am einfachsten gelingt die Umsetzung mit einem IT-Partner, der die FMH-Dokumente D1, D2 und D3 kennt und die Massnahmen sauber dokumentiert.
Auf einen Blick:
- Grundlage: FMH-Empfehlungen zum IT-Grundschutz (Dokumente D1, D2 und D3)
- Gesetzlich: revDSG, seit 1. September 2023 in Kraft. Patientendaten sind besonders schützenswert
- Verantwortung: Die Praxisinhaberin oder der Praxisinhaber persönlich, nicht delegierbar an den IT-Dienstleister
- Empfehlung: Externer IT-Partner mit nachweisbarer Praxis-Erfahrung und dokumentierten Massnahmen
- Realität: Ransomware ist für Praxen die grösste Bedrohung, Angriffe auf das Gesundheitswesen machen regelmässig Schlagzeilen
Warum dieses Thema heute kritisch ist
«Hacker veröffentlichen erneut sensible Schweizer Gesundheitsdaten»: Solche Schlagzeilen liest man inzwischen regelmässig. Arzt- und Zahnarztpraxen sind für Kriminelle interessant, weil sie sehr sensible Daten haben und oft schlechter geschützt sind als Spitäler oder Versicherungen.
Compu-Trade betreut seit über 20 Jahren Praxen im Gesundheitswesen, heute mehr als 50 in der Deutschschweiz: Hausärzte, Zahnärzte, Spezialärzte, Physiotherapien und andere Gesundheitsberufe. Unsere Erfahrung: Die FMH-Anforderungen klingen abstrakt, lassen sich aber gut umsetzen, wenn man sie Schritt für Schritt angeht.
Wir gehen hier alle 11 Punkte der FMH durch. Zu jedem erklären wir, warum er wichtig ist und wie wir ihn in unseren Praxen umsetzen.
Die drei FMH-Dokumente: D1, D2 und D3
Die FMH hat ihre Empfehlungen zum IT-Grundschutz in drei Dokumenten strukturiert:
- D1: Grafische Übersicht der wichtigsten Schutzbereiche, gut zum Aufhängen im Sekretariat
- D2: Die 11 Minimalanforderungen, Grundlage dieses Artikels
- D3: Technische Massnahmen für ICT-Dienstleister, die Arbeitsgrundlage des IT-Partners
Die folgenden 11 Punkte folgen der Reihenfolge und den Titeln in D2 (Fassung 2023). Zu jedem Punkt erklären wir:
- Was die FMH konkret fordert
- Warum die Anforderung sinnvoll ist (Bedrohungslage)
- Wie in der Praxis: wie die Umsetzung in einer typischen Schweizer Arztpraxis aussieht
Die 11 FMH-Anforderungen im Detail
1. Verantwortlichkeiten bestimmen und Vorgaben erlassen
Was: Wer ist in der Praxis für Datenschutz zuständig, wer für die IT? Welche Regeln gelten für Patientendaten, private Geräte und Passwörter?
Warum: Wenn niemand zuständig ist, fühlt sich auch niemand verantwortlich. Kommt eine verdächtige Mail, weiss keiner, wen er informieren soll. Ausserdem verlangt das revDSG dokumentierte Abläufe.
Wie in der Praxis: Wir helfen Praxen, eine einseitige IT-Sicherheitsrichtlinie nach Rollen zu erstellen (Inhaber, MPA, Lernende). Sie wird einmal pro Jahr überarbeitet und vom ganzen Team unterschrieben.
2. ICT-Mittel in ein Inventar aufnehmen
Was: Alle Geräte, Programme, Lizenzen und Zugänge der Praxis gehören in ein Inventar. Darin steht auch, wo Patientendaten liegen und wie schützenswert sie sind.
Warum: Was man nicht kennt, kann man nicht schützen. Ein vergessener alter PC im Labor oder ein Cloud-Zugang, den niemand mehr nutzt, bekommt keine Updates und wird zur Lücke.
Wie in der Praxis: Bei der Übernahme einer Praxis erfassen wir alle Geräte und Zugänge und führen das Inventar danach laufend nach. Es gehört zur Dokumentation in CT Praxis-Care.
3. Zugriffsschutz regulieren und Benutzerrechte verwalten
Was: Jede Person sieht nur die Daten, die sie für ihre Arbeit braucht («need to know»). Dazu gehören eigene Konten, starke Passwörter und, wo möglich, eine Zwei-Faktor-Anmeldung, vor allem für E-Mail, Praxissoftware und Cloud.
Warum: Das Datenschutzgesetz verlangt, dass nur Berechtigte Patientendaten sehen. Und schwache oder mehrfach verwendete Passwörter gehören zu den häufigsten Einfallstoren: Ein einziges geknacktes Passwort kann den Weg in alle Systeme öffnen.
Wie in der Praxis: Jede Person bekommt ein eigenes Konto. Rechte vergeben wir nach Rolle, zum Beispiel sieht die Ärztin alles, die MPA die Agenda und Lernende nur Stammdaten. Bei Austritten wird das Konto sofort gesperrt, nicht nur das Passwort geändert. Dazu richten wir einen Passwort-Manager ein (z. B. Bitwarden oder 1Password) und aktivieren die Zwei-Faktor-Anmeldung. Wo es geht, ersetzen Passkeys oder Fingerabdruck das Passwort.
4. Praxismitarbeitende für Datensicherheit sensibilisieren
Was: Regelmässige Schulungen zu Phishing-Mails, Passwörtern, USB-Sticks und zum Umgang mit Patientendaten.
Warum: Ein grosser Teil der erfolgreichen Angriffe beginnt mit einer Phishing-Mail. Die beste Firewall nützt nichts, wenn jemand im Stress auf einen falschen Link klickt.
Wie in der Praxis: Für unsere Praxiskunden bieten wir eine jährliche Schulung von 60 Minuten direkt in der Praxis an, mit echten Phishing-Beispielen aus dem Schweizer Gesundheitswesen. Ab und zu verschicken wir zur Übung auch eine harmlose Test-Phishing-Mail, ohne jemanden blosszustellen.
5. Endgeräte vor Schadsoftware schützen
Was: Ein aktueller, professioneller Virenschutz auf allen Geräten. Gemeint ist nicht der Windows-Standard, sondern eine zentral verwaltete Business-Lösung mit Echtzeitschutz und Ransomware-Erkennung.
Warum: Ransomware verschlüsselt sämtliche Patientendaten und verlangt Lösegeld. Ein erfolgreicher Angriff legt eine Praxis tagelang lahm.
Wie in der Praxis: Wir setzen Bitdefender ein, zentral verwaltet und automatisch aktualisiert. Wir sehen, ob der Schutz auf jedem Gerät läuft, und verlängern die Lizenzen für die Praxis.
6. Netzwerk schützen
Was: Eine Firewall am Internetanschluss und getrennte Netze für Praxis-Computer, Patienten-WLAN und Medizingeräte. Zugriffe von aussen (Homeoffice, Fernwartung) nur über VPN.
Warum: Patienten-WLAN, Netzwerkdrucker oder der Smart-TV im Wartezimmer können zum Einfallstor werden. Hängt alles im gleichen Netz, gefährdet ein einziges infiziertes Gerät die ganze Praxis.
Wie in der Praxis: Typischerweise installieren wir eine Firewall von Zyxel oder Sophos mit getrennten VLANs: eines für die Praxis-Computer, eines für Medizingeräte (die oft keine Updates erhalten) und eines für Gäste. Unsere Empfehlung: In der Arztpraxis auf ein Gäste-WLAN ganz verzichten.
7. ICT-Umgebung konfigurieren und warten
Was: Betriebssysteme, Praxissoftware, Browser und alle anderen Programme regelmässig aktualisieren und die Geräte sicher einstellen, inklusive Verschlüsselung der Festplatten.
Warum: Die meisten Angriffe nutzen bekannte Lücken, für die es längst ein Update gäbe. Und ein unverschlüsselter Laptop, der im Zug liegen bleibt, ist eine Datenpanne.
Wie in der Praxis: Wir aktivieren auf allen Geräten die Verschlüsselung (BitLocker bei Windows, FileVault beim Mac) und überwachen die Updates. Zusätzlich empfehlen wir zwei Wartungstermine pro Jahr, an denen ein Techniker in die Praxis kommt.
8. Digitale Daten sicher ablegen
Was: Tägliche, automatische Sicherung der Patientendaten nach der 3-2-1-Regel: drei Kopien auf zwei verschiedenen Medien, eine davon ausser Haus. Die Wiederherstellung wird mindestens einmal im Jahr getestet.
Warum: Nach einem Ransomware-Angriff sind die Daten verschlüsselt. Ohne Backup bleibt nur, Lösegeld zu zahlen oder alles neu aufzubauen. Auch ein Wasserschaden im Serverraum ist ohne Backup fatal.
Wie in der Praxis: Wir kombinieren ein lokales Synology-NAS mit Hyper Backup für die schnelle Wiederherstellung mit einem verschlüsselten Cloud-Backup in einem Schweizer Rechenzentrum. Und wir testen die Wiederherstellung, denn ein Backup, das nie getestet wurde, ist kein Backup.
9. Digitale Daten sicher austauschen
Was: Patientendaten werden nur verschlüsselt verschickt, ob an Labor, Krankenkasse oder Zuweiser.
Warum: Eine normale E-Mail mit Befund kann unterwegs mitgelesen werden. Ein USB-Stick geht schnell verloren.
Wie in der Praxis: Wir richten HIN-Mail oder eine gleichwertige Lösung ein. USB-Sticks für Patientendaten schaffen wir ab. Daten gehen über sichere Verbindungen oder direkt über die Praxissoftware.
10. Vorkehrungen für Sicherheitsvorfälle treffen
Was: Was tun, wenn die Praxis-IT am Morgen nicht startet? Wen rufen Sie an? Welche Termine müssen verschoben werden, und wie erreichen Sie die Patienten ohne Praxissoftware?
Warum: Im Ernstfall zählt jede Minute. Ein vorbereiteter Notfallplan begrenzt den Schaden und nimmt Ihnen in einer stressigen Lage die wichtigsten Entscheide ab.
Wie in der Praxis: Für jede Praxis erstellen wir ein Notfallblatt auf Papier, das im Sekretariat hängt: Telefonnummern, erste Schritte, Vorlage für eine SMS an Patienten, Tagesplan von Hand. Einmal pro Jahr spielen wir «Strom weg» oder «Server weg» gemeinsam durch.
11. Externe Dienstleister beauftragen und überwachen
Was: Jede externe Firma, die Patientendaten sehen könnte (IT-Dienstleister, Softwarehersteller, Cloud-Anbieter, Wartungsfirmen), wird schriftlich zu Vertraulichkeit und Datenschutz verpflichtet und kontrolliert.
Warum: Wird der IT-Dienstleister gehackt, können auch Ihre Praxisdaten betroffen sein. Verantwortlich bleibt rechtlich die Praxis. Ein Auftragsbearbeitungsvertrag regelt die Pflichten.
Wie in der Praxis: Alle unsere Praxiskunden erhalten einen Auftragsbearbeitungsvertrag, der die FMH-Anforderungen abdeckt. Wir legen offen, welche Unterauftragnehmer (z. B. Cloud-Anbieter) Zugang haben könnten und welche Massnahmen dort gelten.
Aus der Praxis: Ein Cyberangriff, der glimpflich ausging
Im vergangenen Jahr rief uns eine Gemeinschaftspraxis um acht Uhr morgens an: «Wir können die Patientendaten nicht öffnen, und auf dem Bildschirm stehen merkwürdige Texte.» Es war Ransomware. Die Angreifer waren über eine Phishing-Mail hereingekommen und hatten die zentrale Praxisdatenbank verschlüsselt.
Was der Praxis den Tag gerettet hat:
- Unser nächtliches Cloud-Backup vom Vortag war intakt und nicht infiziert.
- Dank aktueller Updates breitete sich der Angriff nicht auf weitere Geräte aus. Betroffen war nur der zentrale Server.
- Der Notfallplan lag bereit: Innerhalb von zwei Stunden waren die Tagestermine telefonisch umorganisiert.
- Die Datenwiederherstellung dauerte einen halben Tag. Am Nachmittag konnte die Praxis wieder normal arbeiten.
Kein Lösegeld bezahlt, keine Patientendaten abgeflossen. Die Meldung an den EDÖB war deshalb eine Formsache. Die Praxis hat Anzeige bei der Polizei erstattet. Für uns zeigt der Fall: Die FMH-Anforderungen sind kein Papierkram, sie schützen den Praxisbetrieb ganz konkret.
Die 5 häufigsten Fehler in Schweizer Arztpraxen
In über 50 betreuten Praxen sehen wir immer wieder dieselben Probleme:
- Geteilte Passwörter: Das WLAN-Passwort, das auch Patienten bekommen, ist gleichzeitig das Login für die Praxissoftware. Das kommt öfter vor, als man denkt.
- Veraltete Windows-Versionen auf medizinischen Geräten. Hersteller liefern Ultraschall- oder Röntgengeräte oft mit Windows 7 oder älter. Diese gehören in ein separates Netz.
- «Backup» auf einer USB-Festplatte, die dauerhaft am Server hängt. Bei Ransomware wird auch das «Backup» mit-verschlüsselt.
- Praxis-E-Mails über privates Hotmail oder GMX. Datenschutzrechtlich heikel und technisch unsicher.
- Keine schriftliche Dokumentation der IT-Massnahmen. Im Audit oder im Schadenfall fehlt der Nachweis, was umgesetzt wurde.
Was kostet die FMH-konforme IT-Sicherheit?
Gute IT-Sicherheit für eine Praxis kostet mehr als ein paar hundert Franken, liegt aber auch nicht im fünfstelligen Bereich. Richtwerte aus unserer Kundschaft:
| Praxisgrösse | Monatlicher Richtwert (inkl. Lizenzen, Support, Monitoring) |
| Einzelpraxis (1–2 Arbeitsplätze) | CHF 200–400 |
| Kleinere Praxis (3–5 Arbeitsplätze) | CHF 400–700 |
| Gemeinschaftspraxis (6–10 Arbeitsplätze) | CHF 700–1’200 |
| Grössere Praxis / kleines Ärztezentrum (10+ Arbeitsplätze) | Ab CHF 1’200 |
Zum Vergleich: Die Wiederherstellung nach einem Ransomware-Angriff kostet eine kleinere Praxis nach unserer Erfahrung zwischen CHF 20’000 und 80’000, ohne Imageschaden und Ausfallzeit.
Häufige Fragen zur IT-Sicherheit in der Arztpraxis
Fazit: Sicherheit ist machbar
Auf den ersten Blick wirken die 11 FMH-Anforderungen abschreckend: elf Punkte, dazu revDSG und Notfallplanung. Sind sie aber einmal sauber umgesetzt und dokumentiert, läuft die IT-Sicherheit weitgehend im Hintergrund. Sie können sich um Ihre Patienten kümmern und wissen, dass die wichtigsten Risiken abgedeckt sind.
Wichtig ist ein Partner, der nicht nur Computer repariert, sondern Praxen kennt: Praxissoftware, Medizingeräte, FMH-Dokumente, revDSG und die typischen Angriffe im Gesundheitswesen.
Compu-Trade: IT für Praxen seit über 20 Jahren
Wir betreuen über 50 Praxen in der Deutschschweiz, vom Hausarzt über Zahnarzt und Spezialärzte bis zur Physiotherapie. Unsere Standorte sind in Hettiswil und Burgdorf.
Das Erstgespräch ist für Praxen kostenlos und unverbindlich. Den ausführlichen FMH-IT-Grundschutz-Check bieten wir pauschal für CHF 985.– an. Termin: 034 411 11 33 oder info@compu-trade.ch
Hinweis: Dieser Artikel basiert auf den FMH-Empfehlungen zum IT-Grundschutz (Dokumente D1, D2 und D3, Fassung 2023) und auf dem revidierten Schweizer Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023). Fachlich überprüft im Oktober 2026. Die Kostenrichtwerte und Erfahrungswerte stammen aus unseren eigenen Projekten und können je nach Praxis abweichen.
Häufige Fragen
Sind die FMH-Anforderungen gesetzlich verpflichtend?
Die FMH-Anforderungen selbst sind Empfehlungen und formell nicht bindend. Das revDSG verlangt aber «angemessene technische und organisatorische Massnahmen» für besonders schützenswerte Daten. Wer die FMH-Empfehlungen nicht umsetzt, hat im Schadenfall deshalb schlechte Karten.
Kann ich die IT-Sicherheit selbst machen oder brauche ich einen Spezialisten?
Passwortregeln und die Schulung des Teams kann die Praxis selbst organisieren. Für Firewall, Backup, Updates und Verschlüsselung braucht es Fachwissen, technisch und zum Gesundheitswesen. Ein IT-Partner ohne Praxiserfahrung kennt viele Eigenheiten nicht, etwa die Anbindung der Praxissoftware oder Medizingeräte mit alten Betriebssystemen.
Wie finde ich heraus, ob meine aktuelle IT FMH-konform ist?
Mit einem strukturierten Check. Bei unserem FMH-IT-Grundschutz-Check (pauschal CHF 985.–) gehen wir die 11 Punkte vor Ort einzeln durch. Sie erhalten einen schriftlichen Bericht: was erfüllt ist, was teilweise und wo Handlungsbedarf besteht, nach Dringlichkeit sortiert.
Was passiert bei einer Datenpanne?
Das revDSG verlangt eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) «so rasch als möglich», wenn ein hohes Risiko für die Betroffenen besteht. Bei einer Straftat wie einer Erpressung mit Ransomware sollten Sie zudem die Polizei einschalten.
Wie oft sollten die Massnahmen überprüft werden?
Mindestens einmal im Jahr mit einer dokumentierten Überprüfung, dazu bei jeder Veränderung (neue Mitarbeitende, neue Software, neue Geräte). Mit unseren Praxiskunden gehen wir einmal im Jahr alle Massnahmen durch, frischen die Schulung auf und testen den Notfallplan.
Spielt die Grösse der Praxis eine Rolle?
Ja, aber anders als viele denken. Kleine Praxen sind nicht weniger gefährdet, oft sogar eher, weil sie als schlechter geschützt gelten. Die FMH-Anforderungen gelten für jede Praxis. Die Umsetzung ist in einer Einzelpraxis aber einfacher und günstiger als in einem Ärztezentrum mit 20 Mitarbeitenden.