Sechs Situationen, die in jeder Praxis vorkommen — und was in der Schweiz konkret dagegen hilft. Mit einer Checkliste zum Ausdrucken und allen Quellen im Original.
Stand: 6. September 2026Lesezeit 8 MinutenFür Praxisinhaberinnen, Ärzte, MPA
Zusammenfassung des BSI-Kurzleitfadens «Cybersicher im Praxisalltag» (Juni 2026), übertragen auf Schweizer Recht und Schweizer Dienste. DocFox ist nicht Herausgeber dieser Empfehlungen und verkauft auf dieser Seite nichts.
Der BSI-Leitfaden ist auf deutsches Recht gerahmt. Die Massnahmen stimmen, die Bezugspunkte nicht. Hier stehen sie nebeneinander.
Deutschland — BSI-Leitfaden
Schweiz
IT-Sicherheitsrichtlinie nach § 390 SGB V — verbindlich und geprüft
Kein direktes Äquivalent. Das revidierte DSG verlangt in Art. 8 eine dem Risiko angemessene Datensicherheit, die Datenschutzverordnung nennt dazu verbindliche Mindestanforderungen; dazu das Berufsgeheimnis nach Art. 321 StGB. Konkret wird es erst in den Empfehlungen der FMH — dem IT-Grundschutz mit 11 Empfehlungen.
FMH- und Kantonalverbands-Vorlagen; kein zentraler, gleich vollständiger Satz
KIM — «Kommunikation im Medizinwesen»
HIN als De-facto-Standard für Praxis-zu-Praxis-Kommunikation
Telematikinfrastruktur
HIN-Netz und EPD-Stammgemeinschaften. Der Anschluss ans EPD ist für seit 2022 neu zugelassene Ärztinnen und Ärzte Pflicht (Art. 37 Abs. 3 KVG)
BSI als Fachstelle des Bundes
BACS für Cybersicherheit (bis 2023 NCSC), EDÖB für Datenschutz
In Deutschland sagt eine geprüfte Richtlinie, was zu tun ist. In der Schweiz sagen es ein abstraktes Gesetz und eine Empfehlung der FMH — was davon in der Praxis wirklich umgesetzt ist, prüft niemand ausser der Praxis selbst.
Aus dem Praxisalltag
Sechs Situationen, die jede Praxis kennt
Jede beginnt harmlos. Die Massnahme daneben kostet Minuten, nicht Budget.
01
Neue Kolleginnen und Kollegen starten
Der erste Arbeitstag beginnt im laufenden Betrieb: Das Telefon klingelt, an der Anmeldung stehen Patientinnen. Für die Einweisung bleibt kein Termin übrig.
Das Risiko: geteilte Zugänge, unbekannte Meldewege — und niemand merkt, wenn etwas schiefgeht.
Was hilft
Eigene Zugangsdaten für jede Person — keine Sammelkonten
Regeln und Meldewege in den ersten Tagen erklären, nicht «bei Gelegenheit»
Vertraulichkeitserklärung unterschrieben — vor dem ersten Zugriff
Dieselbe Checkliste auch für den Austritt
In der Schweiz: Das Berufsgeheimnis nach Art. 321 StGB gilt für Hilfspersonen mit.
02
Der Techniker kommt vorbei
Das Ultraschallgerät streikt, ein externer Techniker kommt kurzfristig. Er arbeitet allein im Behandlungszimmer, weil gerade Sprechstunde ist.
Das Risiko: unbeaufsichtigter Zugriff auf Systeme mit Patientendaten — und ein Zugang, der nach dem Einsatz offen bleibt.
Was hilft
Externe halten dieselben Regeln ein wie das Praxisteam
Schriftliche Vertraulichkeitsvereinbarung, bevor jemand Zugriff erhält
Rechte nur so weit, wie die Aufgabe es verlangt — Begleitung in sensiblen Bereichen
Zum Abschluss: Zugänge entziehen, Geräte zurück, Verschwiegenheit gilt weiter
In der Schweiz: Bearbeitet der Externe Patientendaten, braucht es einen Auftragsbearbeitungsvertrag (Art. 9 DSG) — und als Hilfsperson unterliegt er dem Berufsgeheimnis.
03
Verdächtige E-Mail im Postfach
Eine Mail bittet um die Aktualisierung der Zugangs- und Rechnungsdaten. Der Absender ist angeblich ein bekannter Dienstleister. Es ist Freitagnachmittag.
Das Risiko: Das Postfach ist das Einfallstor. Ein Klick genügt, und er passiert unter Zeitdruck.
Was hilft
Nie antworten, nie einem Link aus der Mail folgen
Rückruf über eine selbst herausgesuchte Nummer, nie über die in der Mail
Ein Meldeweg, der niemandem peinlich ist — Melden darf nie Ärger geben
Verdacht an report.ncsc.admin.ch melden
Achtung: Auch ein verschlüsseltes Postfach nimmt Ihnen diese Entscheidung nicht ab — warum, steht im nächsten Abschnitt.
04
Weitergabe sensibler Patientendaten
Ein Befund soll schnell zur Kollegin, ein Rezept in die Apotheke. Die normale Mail ist zwei Klicks entfernt, der sichere Weg vier.
Das Risiko: Ohne zusätzliche Sicherung ist eine E-Mail kein vertrauenswürdiger Übertragungsweg.
Was hilft
Übermittlung nur mit Einwilligung der Patientin oder des Patienten
Den vorgesehenen sicheren Weg nehmen — in der Schweiz meist HIN Mail; an Empfänger ausserhalb mit «Vertraulich» im Betreff
Empfängeradresse prüfen, bevor der Befund rausgeht
Und trotzdem: Verschlüsselt heisst nicht vertrauenswürdig. Das ist der häufigste Trugschluss.
05
Update wird verschoben — und vergessen
Die Sprechstunde beginnt gleich, auf dem Monitor erscheint der Hinweis auf ein Update des Praxisverwaltungssystems. Der Zeitpunkt ist ungünstig. Er ist es immer.
Das Risiko: Bekannte Sicherheitslücken bleiben offen, und genau die werden ausgenutzt.
Was hilft
Eine Person ist namentlich zuständig, eine zweite vertritt sie
Automatische Updates aktivieren, wo es geht
Festhalten, was wann geändert wurde
Geräte ohne Sicherheitsupdates rechtzeitig auf eine Ersatzliste setzen
In der Praxis: Das Update-Fenster fürs PVS mit dem Anbieter fest abmachen — sonst passt es nie.
06
Festplatte defekt oder Ransomware im System
Das Wartezimmer ist voll, die nächste Akte wird gebraucht — und das Praxisverwaltungssystem reagiert nicht mehr. Die Daten sind verschlüsselt.
Das Risiko: Jetzt entscheidet sich, ob die Sicherung wirklich funktioniert — geprüft hat es meist niemand.
Was hilft
Schriftlich festhalten, welche Daten gesichert werden — nicht «alles»
Täglich, mindestens wöchentlich — auf einen Datenträger, der danach getrennt wird
Verantwortliche Person und Vertretung benennen
Für den Ernstfall festlegen, wer den EDÖB benachrichtigt (Art. 24 DSG) und wer dem BACS meldet
Ein Backup, das nie zurückgespielt wurde, ist kein Backup.
Einmal im Quartal eine Rückspielprobe — vollständig und in vertretbarer Zeit.
Der häufigste Trugschluss
Was verschlüsselte E-Mail schützt — und was nicht
Was verschlüsselte E-Mail leistet
Verschlüsselte Übermittlung von Inhalt, Betreff und Anhang, überprüfte Identität der Teilnehmenden, Adressen, die nie ein zweites Mal vergeben werden — und auf Wunsch verschlüsselter Versand auch an Empfänger ausserhalb des Netzes. In der Schweiz ist HIN der verbreitetste dieser Kanäle. Das ist viel, und der Grund, warum wir HIN-Adressen verlangen.
Was es nicht leistet
Phishing greift nicht die Leitung an, sondern den Menschen. Der Angriff kommt meist über das gewöhnliche Praxispostfach daneben, über den Browser oder als Anruf — am sicheren Kanal vorbei, nicht durch ihn hindurch.
Verschlüsselung tut genau das, wofür sie gebaut ist: Vertraulichkeit und Identität. Den Klick nimmt sie niemandem ab.
Die grüne Zone ist geschützt. Der Angriff zielt auf alles, was daneben steht — und bedient dieselbe Person.
Der unbequeme Fall
Wird ein Praxisrechner gekapert, auf dem der sichere Mailkanal eingerichtet ist, gehen von dort aus korrekt verschlüsselte Mails an bekannte Kontakte — mit echter Absenderidentität. Die Verschlüsselung macht sie dann glaubwürdiger, nicht harmloser. Ein Zweitfaktor schützt das Konto; den offenen Rechner schützt er nicht.
Zwei Postfächer, ein Mensch
Die meisten Praxen betreiben neben dem sicheren Kanal ein gewöhnliches Postfach. Angriffe kommen über das zweite und zielen auf die Zugänge des ersten.
Was tatsächlich hilft
Den Zweitfaktor überall aktiv halten. Einen Passwortmanager. Einen Meldeweg ohne Vorwurf. Rückruf über eine selbst gesuchte Nummer. Eine Meldung ans BACS. Und eine Schulung, die das Team einmal im Jahr wirklich durchläuft.
Zum Abhaken
Achtzehn Punkte, die heute erledigt werden können
Selbst zusammengestellt für Schweizer Praxen. Kein Punkt braucht ein Budget, alle brauchen eine Entscheidung.
Menschen
Jede Person hat ein eigenes Konto — kein geteiltes «Praxis»-Login, auch nicht am Empfang.
Zweitfaktor überall, wo es ihn gibt: Mailkonto, sicherer Mailkanal (z. B. HIN), Fernwartung.
Ein Passwortmanager, ein Passwort pro Dienst — nie dasselbe zweimal.
Ein benannter Meldeweg — mit der ausgesprochenen Zusage, dass Melden nie Ärger gibt.
Vertraulichkeitserklärung unterschrieben — für Angestellte und Externe.
Das Team ist einmal im Jahr geschult — mit einer echten Phishing-Übung, nicht mit einem Merkblatt.
Geräte
Eine Person ist namentlich für Updates zuständig, eine zweite vertritt sie.
Automatische Updates aktiv; das PVS-Update-Fenster ist mit dem Anbieter abgemacht.
Es gibt eine Liste der Geräte ohne Sicherheitsupdates — mit Ersatzdatum, nicht mit «irgendwann».
Spam- und Phishing-Filter im normalen Postfach sind aktiv.
Externe arbeiten nicht unbeaufsichtigt; ihre Zugänge werden am Ende entzogen — mit Datum.
Virenschutz auf allen Geräten aktiv; die Signaturen aktualisieren sich täglich.
Daten
Es steht schriftlich, welche Daten gesichert werden. Nicht «alles».
Sicherung täglich, mindestens wöchentlich — auf einen Datenträger, der danach getrennt wird, und eine Kopie ausserhalb der Praxis.
Vor jedem Firmware- oder Systemupdate eine Sicherung.
Einmal im Quartal eine Rückspielprobe: vollständig und in vertretbarer Zeit. Die FMH verlangt mindestens jährlich.
Cloudspeicher nur mit geklärtem Serverstandort und Auftragsbearbeitungsvertrag. Patientendaten gehören nicht in iCloud, Google Drive oder ein OneDrive-Privatkonto.
Für den Ernstfall steht fest, wer den EDÖB benachrichtigt (Art. 24 DSG) und wer dem BACS meldet.
Dazu die Notfallkarte: eine Seite fürs Sekretariat mit den vier Nummern, die im Ernstfall gebraucht werden, und den drei Sofortmassnahmen. Ausfüllen, aufhängen — eine leere Zeile im Ernstfall ist der teuerste Teil dieser Karte.
Diese Seite fasst öffentlich zugängliche Leitfäden zusammen und verlinkt auf die Originale. Sie ist keine Rechtsberatung und ersetzt keine Sicherheitsprüfung. Die vom BSI verlinkte Backup-Anleitung führen wir bewusst nicht: sie beschreibt Sicherungen auf Privatgeräten über iCloud und Google-Konten — für Patientendaten ist das kein gangbarer Weg.
Wer Unterstützung will
Drei Anlaufstellen
Kostenlos zuerst. DocFox hat an keinem dieser Angebote etwas zu verdienen — sie stehen hier, weil sie das Thema dieser Seite abdecken.
1Gerät vom Netz trennen: Kabel ziehen, WLAN aus. Nicht ausschalten.
2Nichts löschen, nichts aufräumen, am betroffenen Gerät keine Passwörter ändern.
3Anrufen — die Nummern unten. Nie eine Nummer verwenden, die in der verdächtigen Nachricht steht.
Gerät anlassen statt ausschalten: So empfiehlt es das BACS, damit Spuren erhalten bleiben.
Anrufen — jetzt ausfüllen
Eine leere Zeile im Ernstfall ist der teuerste Teil dieser Karte.
IT-Dienstleister der Praxis
Anbieter des Praxisverwaltungssystems
Support des sicheren Mailkanals (z. B. HIN)
Praxisleitung / Stellvertretung
Melden: Vorfall an report.ncsc.admin.ch (BACS), Phishing-Mails zusätzlich an antiphishing.ch. Sind Patientendaten betroffen, prüfen Sie die Meldung an den EDÖB — Art. 24 DSG.
Ausfüllen, aufhängen, jährlich prüfen. Erläuterungen und Quellen: docfox.ch/sicherheit · Keine Rechtsberatung.
DocFox betreibt Praxisportale für Schweizer Arztpraxen — Schweizer Hosting, DSG-konform, mit HIN-Anbindung. Mehr zu DocFox
