Patientendaten sind kein gewöhnliches Backup-Problem

Arzt- und Zahnarztpraxen sowie Labore verarbeiten täglich besonders sensible Daten: Patientenakten, Befunde, Röntgenbilder, Labordaten, Abrechnungsunterlagen. Diese Daten unterliegen strengen gesetzlichen Anforderungen — und das hat direkte Konsequenzen für das Backup:

  • DSGVO und BDSG: Patientendaten sind besonders schützenswerte Kategorien personenbezogener Daten. Eine Verletzung des Schutzes dieser Daten muss der zuständigen Aufsichtsbehörde gemeldet werden — ohne unangemessene Verzögerung, spätestens innerhalb von 72 Stunden (Art. 33 DSGVO).
  • § 203 StGB: Ärzte und Zahnärzte unterliegen der Schweigepflicht. Diese gilt auch für die digitale Infrastruktur. Unbefugter Zugriff auf Patientendaten — auch durch Dritte, etwa im Rahmen eines Cyberangriffs — kann strafrechtlich relevant sein.
  • Aufbewahrungspflichten: Patientenakten müssen in der Regel zehn Jahre aufbewahrt werden, in bestimmten Fällen länger. Ein Datenverlust ist damit nicht nur ein operatives Problem, sondern ein Compliance-Verstoß.

Kurz: In einer Praxis ist ein Backup-Ausfall kein IT-Problem. Es ist ein Problem für die Praxisleitung, die Patienten und im Zweifel für die Staatsanwaltschaft.

Was in der Praxis wirklich passiert

Ransomware-Angriffe auf Arztpraxen und medizinische Einrichtungen haben in den letzten Jahren deutlich zugenommen. Das Muster ist immer ähnlich: Die Schadsoftware verschlüsselt alle erreichbaren Daten — inklusive verbundener Backup-Laufwerke. Am nächsten Morgen ist die Praxis nicht arbeitsfähig.

Konkret bedeutet das:

  • Die Patientenverwaltung ist nicht erreichbar — Termine können nicht eingesehen oder vergeben werden
  • Befunde und Anamnesen sind nicht abrufbar — die Behandlung muss unter erheblichem Aufwand aus dem Gedächtnis oder auf Papier rekonstruiert werden
  • Labordaten und Röntgenbilder sind verloren oder gesperrt
  • Die Abrechnung mit KZV, KV oder Krankenkassen liegt still

Selbst wenn ein Backup existiert: Wenn die Wiederherstellung Stunden oder Tage dauert, ist der Schaden bereits erheblich.

Der anerkannte Mindeststandard: die 3-2-1-1-0-Regel

In der IT-Sicherheit hat sich ein Rahmenwerk etabliert, das heute als Mindeststandard gilt — auch für Praxen:

  • 3 Kopien der Daten insgesamt
  • 2 verschiedene Speichermedien oder -orte (z. B. lokales NAS und Cloud)
  • 1 Kopie außerhalb der Praxis (off-site)
  • 1 Kopie offline oder unveränderlich — also nicht erreichbar für Ransomware
  • 0 ungetestete Backups — ein Backup, das im Ernstfall nicht funktioniert, ist kein Backup

Die letzte Ziffer ist entscheidend und wird am häufigsten vernachlässigt: Ein Backup muss regelmäßig auf Wiederherstellbarkeit geprüft werden. Nicht die Existenz des Backups zählt, sondern die Fähigkeit, die Praxis damit wieder zum Laufen zu bringen.

Warum „die Regel befolgen" trotzdem nicht ausreicht

Ein Backup-Konzept ist nur so stark wie sein schwächstes Glied. Ein Beispiel: Eine Praxis sichert täglich auf ein lokales NAS und synchronisiert zusätzlich in die Cloud. Klingt solide. Aber die Cloud ist dauerhaft als Netzlaufwerk eingebunden. Bei einem Ransomware-Angriff werden alle verbundenen Laufwerke verschlüsselt — inklusive der Cloud-Synchronisation. Das Backup existiert formal, schützt aber nicht.

Oder: Die Backups laufen seit Monaten fehlerfrei durch — bis zum Tag des Ausfalls, an dem sich herausstellt, dass die Praxisverwaltungssoftware nicht aus dem Backup wiederherstellbar ist, weil eine systemkritische Konfigurationsdatei nie gesichert wurde.

Kein einzelner Schritt im Konzept darf der schwache Punkt sein. Das bedeutet:

  • Die Technik muss passen — richtige Software, richtige Medien, richtige Verschlüsselung der Backup-Daten selbst
  • Der Prozess muss zuverlässig und automatisiert laufen — und überwacht werden
  • Die Wiederherstellung muss getestet sein — mit realen Daten, unter realen Bedingungen
  • Das Konzept muss zur Praxis passen — Größe, eingesetzte Software, Compliance-Anforderungen, Budget

Kein universelles Rezept

Was für eine Einzelpraxis ausreicht, passt nicht zu einem MVZ mit mehreren Standorten. Was für eine Allgemeinarztpraxis genügt, reicht für ein zahntechnisches Labor mit großen Bilddateien und spezifischen Aufbewahrungspflichten nicht aus.

Zwei Kenngrößen helfen bei der Einordnung:

  • RTO (Recovery Time Objective): Wie lange darf die Praxis nach einem Ausfall nicht arbeitsfähig sein? Minuten? Stunden? Ein ganzer Tag?
  • RPO (Recovery Point Objective): Wie viel Datenverlust ist akzeptabel? Darf maximal eine Stunde verloren gehen, oder reicht ein tägliches Backup?

Diese Fragen klingen technisch, sind aber Managemententscheidungen — und sie bestimmen, wie aufwendig und kostenintensiv das Backup-Konzept sein muss.

Was jetzt zu tun ist

Wenn Sie nicht mit Sicherheit sagen können, dass Ihr aktuelles Backup die oben genannten Anforderungen erfüllt — und dass eine vollständige Wiederherstellung in einem definierten Zeitfenster nachweislich funktioniert — besteht Handlungsbedarf.

Wenden Sie sich an einen IT-Dienstleister Ihres Vertrauens, der Erfahrung mit dem Datenschutz im Gesundheitswesen hat, und stellen Sie ihm konkret diese Fragen:

  1. Wie viele unabhängige Kopien meiner Daten existieren, und wo befinden sie sich?
  2. Ist mindestens eine Kopie so gesichert, dass ein laufender Ransomware-Angriff sie nicht erreichen kann?
  3. Wann wurde die vollständige Wiederherstellung zuletzt getestet — und mit welchem Ergebnis?
  4. Sind die Backup-Daten selbst verschlüsselt und vor unbefugtem Zugriff geschützt?
  5. Entspricht das Konzept den Anforderungen aus DSGVO, BDSG und den geltenden ärztlichen Berufspflichten?

Wer diese Fragen nicht klar beantworten kann, sollte das ändern — bevor ein Angriff, ein Hardwareausfall oder eine Prüfung durch die Aufsichtsbehörde es erzwingt.