Von allen Neuerungen der Fassung 2025 fällt eine besonders auf: Die Anforderungen an das Personal sind deutlich gewachsen. Technik kann man einkaufen, ein geschultes Team nicht. Deshalb ist dieser Block der Teil der Richtlinie, den keine Praxis an ihren IT-Dienstleister abgeben kann. Hier steht, was genau gefordert ist und wie Sie es mit vertretbarem Aufwand nachweisbar umsetzen.
Drei Begriffe, drei Anforderungen
Die Richtlinie unterscheidet sauber zwischen drei Dingen, die im Alltag oft in einen Topf geworfen werden. Wer das trennt, versteht sofort, warum eine einzige Schulung im Jahr nicht alles abdeckt. Nummer, Anlass und Anforderung stehen in dieser Übersicht:
- Nr. 1 Einarbeitung beim Eintritt Neue Mitarbeitende werden über bestehende Regelungen, Handlungsanweisungen und Verfahrensweisen informiert.
- Nr. 9 Einweisung vor der Arbeit an den Systemen Alle Mitarbeitenden und externen Benutzenden werden in den sicheren Umgang mit der IT eingewiesen, soweit für ihre Arbeit relevant.
- Nr. 10 Schulung wiederkehrend Alle Mitarbeitenden werden entsprechend ihren Aufgaben zu Informationssicherheit geschult.
Grafik mit KI erstellt
Dazu kommen zwei Anforderungen, die leicht übersehen werden: Nr. 6 verlangt die Qualifikation des Personals in Bezug auf die eingesetzte Technik, und Nr. 8 richtet sich an die Praxisleitung selbst.
Der Wortlaut der Anforderungen
Damit Sie die Unterschiede in der Formulierung sehen, hier die vier zentralen Stellen sinngemäß, aber nah am Text:
- Nr. 6, Qualifikation des Personals: Mitarbeitende müssen regelmäßig geschult beziehungsweise weitergebildet werden, insbesondere in Bezug auf die eingesetzte Technik. Es müssen betriebliche Regelungen vorhanden sein, die sicherstellen, dass die Mitarbeitenden auf einem aktuellen Kenntnisstand sind.
- Nr. 8, Sensibilisierung der Praxisleitung: Die Praxisleitung muss ausreichend für Sicherheitsfragen sensibilisiert werden. Sicherheitskampagnen oder andere Schulungsmaßnahmen müssen von der Praxisleitung unterstützt werden.
- Nr. 9, Einweisung in den sicheren Umgang mit IT: Alle Mitarbeitenden und externen Benutzenden müssen eingewiesen und sensibilisiert werden, soweit dies für ihre Arbeitszusammenhänge relevant ist.
- Nr. 10, Durchführung von Sensibilisierungen und Schulungen: Alle Mitarbeitenden sollten entsprechend ihren Aufgaben und Verantwortlichkeiten zu Informationssicherheitsthemen geschult werden.
Warum der Unterschied zwischen muss und sollte hier wichtig ist
Einweisung (Nr. 9) und Qualifikation (Nr. 6) sind als Muss formuliert, die eigentliche Sicherheitsschulung (Nr. 10) als Soll. Wer Nr. 10 nicht umsetzt, sollte das also begründen und festhalten können. In der Praxis ist die Unterscheidung meist theoretisch: Eine Einweisung in den sicheren Umgang mit IT ohne jede Schulung zu Phishing und Passwörtern wäre kaum haltbar.
Wen es betrifft
Nr. 9 spricht von allen Mitarbeitenden und externen Benutzenden. Das ist bewusst weit gefasst. Betroffen sind damit auch:
- Rezeption, Abrechnung und Verwaltung, nicht nur das Behandlungsteam
- Auszubildende, Aushilfen und Teilzeitkräfte
- die Praxisleitung selbst, über Nr. 8
- externe Personen mit Zugriff auf Ihre Systeme, soweit es für ihre Arbeit relevant ist
Der Zusatz „soweit dies für ihre Arbeitszusammenhänge relevant ist“ ist Ihre Steuerungsmöglichkeit: Eine Kraft, die nur an der Rezeption Termine einträgt, braucht keine Einweisung in die Serverwartung. Was für wen relevant ist, entscheidet die Praxis, und genau das gehört dokumentiert.
Wie oft geschult werden muss
Diese Frage bekomme ich am häufigsten, und die Antwort ist wichtig: Die Richtlinie nennt keinen festen Zeitraum. Es steht dort „regelmäßig“ (Nr. 6), nicht „jährlich“. Wer Ihnen eine Frist von zwölf Monaten als gesetzliche Pflicht verkauft, geht über den Text hinaus.
Einen konkreten Turnus nennt die Praxisinformation der KZBV als Umsetzungshinweis: Mindestens einmal im Jahr sollten Schulungen zu den eingesetzten Systemen und Anwendungen durchgeführt werden, und jeder Mitarbeitende sollte mindestens einmal jährlich eine dediziert auf IT-Sicherheit und Datenschutz fokussierte Schulung besuchen. Das ist eine Empfehlung der KZBV, keine Anforderung der Richtlinie, aber sie ist ein sehr brauchbarer Maßstab.
Mein Vorschlag für die Praxis: ein fester jährlicher Termin für das ganze Team, zusätzlich eine Einweisung bei jedem Eintritt und immer dann, wenn sich etwas Wesentliches ändert, etwa ein neues Praxisverwaltungssystem oder ein Wechsel in die Cloud.
Welche Inhalte gehören dazu
Die Richtlinie schreibt keine Themenliste vor. Die KZBV empfiehlt, einen Einweisungsleitfaden für alle Mitarbeitenden zu erstellen, und nennt darin unter anderem diese Punkte. Sie deckt sich gut mit dem, was in Praxen tatsächlich schiefgeht:
- Durchführung von Sicherheitsupdates und Datensicherungen
- sicherer Umgang mit Passwörtern, keine gemeinsamen Benutzerkonten
- Umgang mit E-Mails: Anhänge, Links, Spam, der Sekundencheck vor dem Klick
- Verfahrensanweisungen bei Notfällen und Datenschutzvorfällen, also wer wird wann informiert
- Sperren des Arbeitsplatzes beim Verlassen
- Regeln für mobile Geräte und Wechseldatenträger, soweit in der Praxis genutzt
Ein solcher Leitfaden ist ein lebendes Dokument. Er darf wachsen, sollte aber ein Stand-Datum tragen und regelmäßig geprüft werden.
Was in die Dokumentation gehört
Eine Schulung, die stattgefunden hat, aber nicht belegt ist, hilft Ihnen im Zweifel nicht. Gleichzeitig muss der Nachweis nicht aufwendig sein. Es genügt eine Liste pro Termin mit:
- Datum und Dauer
- Thema oder Inhaltsübersicht, zum Beispiel der verwendete Leitfaden
- Teilnehmende mit Unterschrift oder digitaler Bestätigung
- wer geschult hat, intern oder extern
- geplanter nächster Termin
Für neue Mitarbeitende empfiehlt die KZBV zusätzlich eine Einarbeitungs-Checkliste und eine Kontrolle nach etwa drei Monaten, ob die Sicherheitsvorgaben bekannt sind und eingehalten werden. Wichtig ist außerdem, dass jede Person eigene Zugangsdaten erhält, soweit die Systeme das erlauben. Gemeinsame Konten sind der häufigste Befund in kleinen Praxen und berühren gleich mehrere Anforderungen, unter anderem Nr. 26.
Zusatz für Großpraxen
Praxen mit über 20 ständig mit der Datenverarbeitung betrauten Personen erfüllen zusätzlich Anlage 3. Deren Nr. 1 verlangt, dass Lernerfolge zielgruppenbezogen gemessen und ausgewertet werden und die Ergebnisse in die Verbesserung des Schulungsangebots einfließen. Praktisch heißt das: vorab festgelegte Lernziele, kurze Wissensabfragen, Feedback der Teilnehmenden und eine Übersicht, wer welche Schulung mit welchem Ergebnis besucht hat.
Umsetzung ohne großes Budget
Die Richtlinie verlangt nicht, dass Sie externe Schulungen einkaufen. Die KZBV weist ausdrücklich darauf hin, dass Schulungen auch intern von der Praxisleitung oder erfahrenen Mitarbeitenden durchgeführt werden können, alternativ kann ein Budget für externe Fortbildungen bereitgestellt werden. Ein realistischer Weg für eine kleine Praxis:
- Einweisungsleitfaden schreiben, zwei bis drei Seiten genügen für den Anfang
- einen Termin im Team ansetzen, 45 bis 60 Minuten, Leitfaden gemeinsam durchgehen, Fragen klären
- Teilnahme dokumentieren und den nächsten Termin gleich eintragen
- Leitfaden bei jeder Änderung der IT anpassen
Wenn Sie das nicht selbst machen wollen oder wenn Ihr Team lieber jemandem von außen zuhört, übernehme ich die Schulung als Baustein der Umsetzungsbegleitung, vor Ort oder per Videokonferenz.
Vier typische Fehler
- Nur das Behandlungsteam schulen. Nr. 9 nennt alle Mitarbeitenden und externen Benutzenden.
- Die Praxisleitung auslassen. Nr. 8 richtet sich ausdrücklich an sie, und ohne Rückhalt von oben bleibt jede Maßnahme zahnlos.
- Einmal schulen und ablegen. Die Richtlinie verlangt Regelmäßigkeit und einen kontinuierlichen Verbesserungsprozess mit jährlicher Evaluation.
- Nichts dokumentieren. Ohne Nachweis ist die Anforderung im Zweifel nicht erfüllt, selbst wenn alle Beteiligten es besser wissen.
Quellen
Dieser Beitrag gibt den Stand vom 16.09.2026 wieder und ersetzt keine rechtliche Beratung. Maßgeblich ist immer die jeweils geltende Fassung der Richtlinie.
Der Selbstcheck zeigt in fünf Minuten, welche Anlagen für Ihre Praxis gelten und wo es offene Punkte gibt. Kostenlos und ohne Verpflichtung.