Cyberversicherung für Arztpraxen

1. Warum Cyberrisiko für Arztpraxen kein IT-Thema mehr ist

1.1 Gesundheitsdaten als Angriffsziel

Gesundheitsdaten gelten rechtlich und praktisch als besonders sensibel. Wer sie besitzt, weiß sehr viel über einen Menschen. Für Angreifer sind solche Datenpakete interessant, weil sie sich im Zweifel gut verkaufen oder zur Erpressung nutzen lassen. Arztpraxen sitzen auf diesen Daten, haben aber selten eine eigene IT-Abteilung. Genau diese Kombination macht sie verwundbar.

Hinzu kommt: In der Hausarztpraxis läuft heute alles digital. Terminplanung, Karteikarten, Laboranbindung, E-Rezept, Abrechnung mit Kassenärztlicher Vereinigung und privaten Kostenträgern – ohne funktionierende Praxissoftware steht der Betrieb. Ein Cyberangriff ist deshalb nicht nur ein Datenschutzproblem, sondern vor allem ein Betriebsproblem.

1.2 Rechtliche Verantwortung der Praxisinhaber

Als Praxisinhaber tragen Sie die Verantwortung für die Verarbeitung der Patientendaten. Die DSGVO verlangt technische und organisatorische Maßnahmen, um diese Daten zu schützen. Kommt es zu einer Datenpanne, haben Sie Meldepflichten gegenüber Aufsichtsbehörden und Betroffenen, und es können Schadenersatzansprüche entstehen. Auch ohne böse Absicht kann ein einziger Vorfall einen erheblichen finanziellen und zeitlichen Aufwand verursachen.

Eine Cyberversicherung ersetzt keine gesetzlich vorgeschriebenen Schutzmaßnahmen. Sie ist auch kein Freifahrtschein. Sie setzt im Gegenteil voraus, dass bestimmte Mindeststandards eingehalten werden, und fängt dann die Schäden auf, die trotz dieser Maßnahmen auftreten. Man kann sie sich wie einen Fallschirm vorstellen, der erst dann eine Rolle spielt, wenn Sie schon vom Flugzeug gesprungen sind.

2. Typische Schaden-Szenarien in der Hausarztpraxis

2.1 Ransomware – verschlüsselte Praxis

Das häufigste Szenario ist eine Ransomware-Attacke. Ein Mitarbeiter öffnet eine präparierte E-Mail, klickt auf einen Link oder eine vermeintliche Laborbestätigung, und im Hintergrund beginnt ein Verschlüsselungstrojaner zu arbeiten. Nach einiger Zeit sind Server, Praxissoftware und Datenbank verschlüsselt, auf den Bildschirmen erscheint eine Lösegeldforderung. Ohne funktionierende Backups ist die Praxis praktisch handlungsunfähig.

In diesem Fall geht es nicht nur um neue Hardware oder Softwarelizenzen. Sie brauchen Forensiker, die den Angriff analysieren, Systeme bereinigen und Daten wiederherstellen. Parallel müssen Sie prüfen, ob Patientendaten abgeflossen sind und ob eine Meldepflicht gegenüber der Aufsicht und den Patienten besteht. Die Zeit, in der Sie nicht arbeiten können, kostet Umsatz. Ohne Cyberversicherung tragen Sie diese Last allein.

2.2 Datenpanne – Verlust von Patientendaten

Ein weiteres Szenario ist der Verlust oder Diebstahl von Daten. Das kann ein gestohlener Laptop sein, ein verlorener USB-Stick, ein kompromittierter Fernzugang, eine fehlkonfigurierte Cloud oder ein interner Fehler bei der Rechtevergabe. Entscheidend ist, dass Unbefugte Zugriff auf Patientendaten erhalten.

In solchen Fällen geht es um die Frage, ob und wen Sie informieren müssen, wie Sie den Vorfall dokumentieren, wie Sie mit Patienten und Behörden kommunizieren und ob Patienten Schadenersatz fordern können. Eine Cyberversicherung übernimmt typischerweise die Kosten für anwaltliche Beratung, Krisenkommunikation und Datenforensik sowie unter Umständen auch Schadenersatzansprüche, soweit diese versicherbar sind.

2.3 Social Engineering und Zahlungsbetrug

Gerade kleinere Praxen sind anfällig für gut gemachte Betrugsversuche. Angreifer geben sich als IT-Dienstleister, Labor, Bank oder KV aus, lassen sich Zugangsdaten geben oder veranlassen Überweisungen auf falsche Konten. Solche Angriffe laufen oft über Telefon und E-Mail, nicht über technische Schwachstellen.

Nicht jede Cyberpolice deckt Social-Engineering-Schäden automatisch mit ab. Teilweise sind spezielle Bausteine für Zahlungsbetrug oder Vertrauensschäden notwendig. Für die Praxis ist es wichtig zu wissen, ob ausschließlich technische Angriffe versichert sind oder auch Täuschungsmanöver, bei denen Mitarbeiter ausgetrickst werden.

3. Was leistet eine Cyberversicherung konkret?

3.1 Incident Response und IT-Forensik

Der wichtigste Baustein einer Cyberversicherung ist die Soforthilfe im Schadenfall. Viele Versicherer arbeiten mit spezialisierten IT-Dienstleistern zusammen, die im Ernstfall rund um die Uhr erreichbar sind. Sie übernehmen die Erstdiagnose, grenzen den Vorfall ein, isolieren betroffene Systeme und unterstützen bei der Wiederherstellung.

Für die Praxis bedeutet das: Sie müssen nicht selbst in der akuten Stresssituation IT-Forensiker suchen, Konditionen verhandeln und Abläufe koordinieren. Die Kosten für diese Dienstleister werden im Rahmen der vertraglich vereinbarten Versicherungssumme von der Cyberversicherung getragen, solange die versicherten Gefahren erfüllt sind.

3.2 Wiederherstellung von Daten und Systemen

Ein zweiter zentraler Baustein ist die Wiederherstellung von Daten und Systemen. Dazu gehören das Einspielen von Backups, die Rekonstruktion von Datenbanken, die Neuinstallation von Praxissoftware, die Bereinigung von Schadsoftware und die Wiederherstellung der Arbeitsfähigkeit.

Je nach Police können auch Mehrkosten versichert sein, die entstehen, wenn Sie eine provisorische IT-Infrastruktur aufbauen, um zumindest eingeschränkt arbeiten zu können. Dazu zählen etwa die Anmietung von Ersatzhardware, das Einrichten von Übergangslösungen oder die Nutzung von Notfallsoftware, bis die regulären Systeme wieder stabil laufen.

3.3 Betriebsunterbrechung nach einem Cyberereignis

Einige Cyberversicherungen enthalten eine eigene Betriebsunterbrechungskomponente, die speziell auf Cyberereignisse zugeschnitten ist. Sie funktioniert ähnlich wie die Ertragsausfallversicherung in der Praxisinhaltsversicherung, bezieht sich aber auf Unterbrechungen, die auf einen Cyberangriff, eine Datenpanne oder eine sonstige versicherte Cybergefahr zurückgehen.

Typischerweise werden fortlaufende Kosten und entgangener Gewinn für einen definierten Zeitraum ersetzt, zum Beispiel für drei, sechs oder zwölf Monate. In der Praxis reicht oft schon eine ein- bis zweiwöchige vollständige Arbeitsunfähigkeit oder ein massiver Leistungsabfall, um ertragsseitig ein Loch zu reißen, das die jährliche Cyberprämie deutlich übersteigt.

3.4 Haftung, DSGVO-Schadensersatz und Bußgelder

Kommt es zu einem Datenabfluss, können Patienten Schadenersatz fordern. Grundlage dafür ist das Datenschutzrecht, insbesondere die DSGVO. Eine Cyberversicherung kann die Kosten für die Abwehr unberechtigter Forderungen, die anwaltliche Beratung und – soweit rechtlich möglich – auch die Befriedigung begründeter Ansprüche übernehmen. Wichtig ist, dass hier genau zwischen Bußgeldern und Schadenersatzansprüchen unterschieden wird.

DSGVO-Bußgelder werden von Aufsichtsbehörden verhängt und sind in Deutschland aus rechtlichen Gründen in vielen Konzepten ausdrücklich vom Versicherungsschutz ausgeschlossen oder nur „soweit gesetzlich zulässig“ vorgesehen. Darauf sollte man sich nicht verlassen. Was aber in vielen Tarifen abgesichert werden kann, sind die Verteidigungskosten im Bußgeldverfahren, die anwaltliche Unterstützung und die Schadenersatzforderungen der betroffenen Patienten, soweit diese auf fahrlässigen Pflichtverletzungen beruhen.

3.5 Benachrichtigung, Krisenkommunikation und PR

Ein oft unterschätzter Kostenblock sind die Informationspflichten und die Kommunikation nach einem Vorfall. Je nach Fallkonstellation müssen Sie Aufsichtsbehörden, die Kassenärztliche Vereinigung und betroffene Patienten informieren. Das kann mehrere hundert oder tausend Schreiben bedeuten, die inhaltlich korrekt und rechtssicher formuliert sein müssen.

Viele Cyberpolicen übernehmen die Kosten für spezialisierte Dienstleister, die die Benachrichtigung technisch und organisatorisch abwickeln. In komplexeren Fällen kann auch eine PR-Betreuung sinnvoll sein, um das Vertrauen der Patienten nicht dauerhaft zu beschädigen. Solche Leistungen sind bei reinen Praxisinhalts- oder Haftpflichtversicherungen typischerweise nicht vorgesehen.

4. Abgrenzung zu Praxisinhalts- und Berufshaftpflichtversicherung

4.1 Praxisinhaltsversicherung: Sachschaden, nicht Cyberangriff

Die Praxisinhaltsversicherung zahlt, wenn ein physischer Schaden an Sachen eintritt: Feuer, Leitungswasser, Sturm, Hagel, Einbruchdiebstahl und – je nach Baustein – Elementargefahren. Ein abgebrannter Serverraum oder durch Wasserschaden zerstörte Rechner sind klassische Fälle für die Praxisinhaltsversicherung. Ein reiner Verschlüsselungsvorgang, bei dem die Hardware intakt bleibt, ist kein Sachschaden, sondern ein Cyberereignis.

Die Ertragsausfallversicherung knüpft an einen versicherten Sachschaden an. Wenn nur die Daten verschlüsselt oder gelöscht werden, ohne dass ein physischer Schaden vorliegt, greift dieser Baustein in vielen Verträgen nicht. Genau hier setzt die Cyber-Betriebsunterbrechung an, die Unterbrechungsschäden ohne physischen Sachschaden abdecken kann.

4.2 Berufshaftpflichtversicherung: Behandlungsfehler statt Datenpanne

Die Berufshaftpflichtversicherung schützt Sie vor Schadenersatzansprüchen wegen Behandlungsfehlern, Aufklärungsfehlern oder sonstigen beruflichen Pflichtverletzungen gegenüber Patienten. Sie ist nicht dafür gedacht, reine Datenschutzverletzungen oder IT-Betriebsprobleme abzudecken. Ein Anspruch wegen falscher Medikation gehört in die Berufshaftpflicht, ein Anspruch wegen unbefugter Offenlegung von Befunden gehört in den Bereich Cyber- und Datenschutzrisiken.

Einige Berufshaftpflichttarife enthalten kleinere Bausteine oder Nebenabdeckungen für datenschutzrechtliche Risiken. Diese sind aber in der Regel eng begrenzt und ersetzen keine eigenständige Cyberversicherung. Für eine realistische Betrachtung der Praxisrisiken müssen alle drei Bereiche – Berufshaftpflicht, Praxisinhalt und Cyber – zusammengedacht werden.

5. Typische Stolperfallen und Ausschlüsse

5.1 Mindestanforderungen an IT-Sicherheit

Cyberversicherer erwarten, dass bestimmte Grundmaßnahmen umgesetzt sind. Dazu gehören in der Regel aktuelle Virenschutzprogramme, Firewalls, regelmäßige Updates, Datensicherungen, Passwortregeln und getrennte Administratorzugänge. Wer diese Anforderungen ignoriert, riskiert im Schadenfall Leistungskürzungen oder -verweigerungen.

Für die Praxis bedeutet das: Die Cyberversicherung ersetzt nicht die Basisarbeit der IT-Sicherheit. Sie ergänzt sie. Die meisten Forderungen sind ohnehin notwendig, um die gesetzlichen Anforderungen an den Datenschutz zu erfüllen und die Praxisorganisation stabil zu halten. Ein strukturierter Blick auf Backuproutinen, Updateprozesse und Zugriffsrechte ist damit nicht nur aus Versicherungsgründen sinnvoll.

5.2 Bring Your Own Device und private Endgeräte

In vielen Praxen nutzen Mitarbeiter eigene Smartphones oder Tablets, um Praxis-E-Mails abzurufen oder auf Kalender zuzugreifen. Diese privaten Geräte sind aus Sicht des Angreifers ein dankbarer Einstiegspunkt, weil sie außerhalb des direkten Praxisnetzwerks liegen und oft weniger strikt gesichert sind.

Cyberpolicen gehen mit solchen Konstellationen unterschiedlich um. Wichtig ist, ob ausschließlich Geräte versichert sind, die der Praxis gehören, oder ob auch private Endgeräte erfasst werden, die beruflich genutzt werden. Ebenso ist relevant, ob verlorene oder gestohlene Geräte und die darauf gespeicherten Daten als versichertes Ereignis gelten. Hier lohnt sich ein genauer Blick, bevor man die Organisation auf BYOD aufbaut.

5.3 Social Engineering und Täuschung – nicht immer automatisch enthalten

Wie bereits beschrieben, sind Social-Engineering-Angriffe häufig und erfolgreich. Eine E-Mail, die vermeintlich von der Bank kommt, eine fingierte Anweisung der KV, eine gefälschte Nachricht des IT-Dienstleisters – all das kann dazu führen, dass Zugangsdaten übermittelt oder Überweisungen ausgelöst werden. Nicht jeder Cybervertrag sieht für solche Täuschungsschäden Schutz vor.

Teilweise sind Social-Engineering-Risiken nur mit kleinen Sublimits oder als Zusatzbaustein versichert. Gerade wenn Zahlungsprozesse in der Praxis oder im MVZ dezentral organisiert sind, sollte klar sein, ob und in welchem Umfang solche Schäden mitversichert sind. Ansonsten bleibt ein wesentliches Risiko ungeschützt.

5.4 Vorsätzliche Verstöße und bußgeldbewehrte Verbote

Versicherungen dürfen vorsätzlich herbeigeführte Schäden grundsätzlich nicht abdecken. Das gilt auch im Cyberbereich. Wenn bewusst gegen gesetzliche Vorgaben verstoßen wird, etwa indem Sicherheitsanforderungen ignoriert, Zugangsdaten offenliegen gelassen oder Systeme trotz bekannter kritischer Schwachstellen nicht aktualisiert werden, kann das im Ernstfall zu erheblichen Diskussionen führen.

Auch bei Bußgeldern gilt: Viele Cyberpolicen schließen diese ausdrücklich aus oder stellen sie unter den Vorbehalt der rechtlichen Zulässigkeit. Verlassen sollte man sich auf eine Bußgelddeckung nicht. Wichtig ist vielmehr, dass Verteidigungskosten, Beratung und Schadenersatzansprüche sauber geregelt sind. Die eigentliche Bußgeldvermeidung findet im Alltag durch sinnvolle Organisation statt, nicht durch die Police.

6. Beitragsspannen 2025/2026 – anonymisiert

6.1 Orientierungswerte für Allgemeinarztpraxen

Die Prämie einer Cyberversicherung hängt von mehreren Faktoren ab: Größe der Praxis, Jahresumsatz, Anzahl der Arbeitsplätze, IT-Organisation, vorhandene Schutzmaßnahmen und gewünschte Versicherungssummen. Hinzu kommt der Leistungsumfang, insbesondere die Frage, ob Betriebsunterbrechung, Social Engineering und höhere Haftpflichtsummen eingeschlossen sind.

Für eine typische Einzelpraxis in der Allgemeinmedizin mit einigen Arbeitsplätzen, einer üblichen Praxissoftware, Standardanbindung an die Telematikinfrastruktur, regelmäßigen Backups und einem soliden Grundschutz bewegen sich die Jahresbeiträge in der Praxis häufig ungefähr in einer Spanne von 400 € bis 1.200 € brutto. Größere Berufsausübungsgemeinschaften, MVZ-Strukturen oder Praxen mit aufwendiger IT und höherem Umsatz liegen entsprechend darüber.

6.2 Verhältnis zwischen Beitrag und potenzieller Schadenhöhe

Setzt man die Beiträge ins Verhältnis zu den potenziellen Schadenhöhen, bleibt die Cyberversicherung meist deutlich unter dem, was ein einziger größerer Vorfall kosten würde. Eine ernsthafte Ransomware-Attacke kann Forensikkosten, Wiederherstellungskosten, Ertragsausfall, Rechtsberatung und Kommunikationsaufwand in fünf- bis sechsstelliger Höhe verursachen. Hinzu kommt der Zeitaufwand der Praxisleitung und der Vertrauensverlust bei Patienten.

Die entscheidende Frage ist daher weniger, ob man sich die Cyberversicherung leisten kann, sondern ob man das Risiko tragen möchte, mehrere Wochen oder Monate im Extremfall nicht arbeitsfähig zu sein und die Kosten eines professionellen Incident-Response-Teams allein stemmen zu müssen.

7. Strategische Umsetzung in der Praxis

7.1 Erst Status der IT-Sicherheit klären, dann Versicherungssumme wählen

Aus Maklersicht beginnt eine sinnvolle Cyberberatung nicht bei der Versicherungssumme, sondern bei der Frage, wie Ihre IT aktuell aufgestellt ist. Wer ist Ihr IT-Dienstleister, wie laufen Backups, wie werden Updates organisiert, wie wird mit Passwörtern umgegangen, gibt es ein Berechtigungskonzept, wie wird mit privaten Geräten umgegangen – all das sind Fragen, die beantwortet sein müssen, bevor man über Summen und Deckungsbausteine spricht.

Auf Basis dieser Bestandsaufnahme lässt sich abschätzen, welche Schäden realistisch auftreten können und welche Bausteine im Vordergrund stehen sollten. Für viele Hausarztpraxen sind das Incident Response, Datenwiederherstellung, Betriebsunterbrechung und die Abdeckung typischer DSGVO-Schadensersatzrisiken. Social Engineering, höhere Haftsummen und Spezialbausteine können je nach Struktur hinzukommen.

7.2 Kombination mit Praxisinhalts- und Berufshaftpflichtversicherung

Cyber, Praxisinhalt und Berufshaftpflicht sollten nicht isoliert betrachtet werden. Entscheidend ist, dass es keine gefährlichen Lücken oder Überschneidungen gibt. Ein typisches Beispiel ist die Frage, ob die Betriebsunterbrechung nach einem IT-Ausfall über die Praxisinhaltsversicherung (Sachschaden) oder über die Cyberversicherung (Cyberereignis ohne Sachschaden) laufen soll. Beide Bausteine müssen so aufeinander abgestimmt sein, dass im Ernstfall nicht über Zuständigkeiten diskutiert wird.

Ebenso wichtig ist die saubere Abgrenzung zwischen medizinischer Haftung und Datenschutzhaftung. Die Berufshaftpflicht bleibt für den Behandlungsfehler zuständig, die Cyberversicherung für den Datenvorfall. Wer hier klare Strukturen schafft, verhindert, dass Ansprüche zwischen Sparten hin- und hergeschoben werden.

7.3 Regelmäßige Überprüfung und Sensibilisierung des Teams

Cyberrisiken ändern sich schnell. Neue Angriffsmethoden, neue Schwachstellen und neue Softwarelösungen bringen regelmäßig neue Gefahren mit sich. Eine Cyberversicherung ist deshalb kein Produkt, das einmal abgeschlossen und dann vergessen wird. Sie sollte gelegentlich mit Blick auf die Praxisentwicklung überprüft werden.

Parallel dazu ist die Sensibilisierung des Teams entscheidend. Viele Angriffe beginnen mit einer E-Mail oder einem Telefonat. Ein kurzer, regelmäßig wiederholter Hinweis im Team, woran man verdächtige Nachrichten erkennt, welche Anhänge man nicht öffnet und wie mit unerwarteten Zahlungsanweisungen umzugehen ist, reduziert das Risiko deutlich – und zahlt auf die Stabilität Ihres gesamten Absicherungskonzepts ein.