Wenn Patientendaten im Darknet landen – warum das Praxistelefon zur Sicherheitslücke wird

Du hast deine Praxissoftware abgesichert, ein Passwort-Management eingeführt und dich mit der KBV-IT-Sicherheitsrichtlinie auseinandergesetzt. Trotzdem gibt es eine Datenschnittstelle in deiner Praxis, die täglich dutzende sensible Patienteninformationen verarbeitet – und die vermutlich noch nie auf DSGVO-Konformität geprüft wurde: dein Telefon. Während Cyberangriffe auf Arztpraxen drastisch zunehmen und Patientendaten im Darknet für bis zu 2.000 Euro pro Datensatz gehandelt werden, übersehen viele Praxisinhaber genau diesen Kanal. Höchste Zeit, das zu ändern.

Arztpraxen im Visier: Die Bedrohungslage ist real

Die Zahlen sprechen eine deutliche Sprache: 22 % aller weltweit bekannten Ransomware-Angriffe betreffen den Gesundheitssektor – damit ist er die am häufigsten attackierte Branche überhaupt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentierte allein 2025 636 Ransomware-Angriffe auf den Gesundheitssektor in Deutschland. In der DACH-Region stiegen die Cyberangriffe im selben Jahr um 124 %, wobei Deutschland mit über 82 % aller registrierten Vorfälle das Hauptziel darstellt.

Was viele Praxisinhaber unterschätzen: Auch kleine Einheiten sind betroffen. Im Februar 2025 erbeuteten Hacker beim MVZ Herz-Lungen-Praxis Hamburg-Bergedorf 12.000 Patientendatensätze durch einen Angriff auf das Praxisverwaltungssystem. Bei der Unimed-Datenpanne waren über 100.000 Patienten betroffen, darunter 30.000 aus dem Universitätsklinikum Köln – weil der Angriff auf einen Abrechnungsdienstleister erfolgte, nicht direkt auf die Kliniken selbst.

Warum gerade Arztpraxen?

Patientendaten sind im Darknet deutlich wertvoller als Kreditkartendaten. Sie enthalten nicht nur persönliche Informationen, sondern auch Diagnosen, Behandlungsverläufe und Versicherungsdaten – ein Komplettpaket für Identitätsdiebstahl und Erpressung. Gleichzeitig kombinieren viele Praxen hochsensible Daten mit einer vergleichsweise schwachen IT-Infrastruktur. Keine eigene IT-Abteilung, knappe Zeitressourcen, wachsende Anforderungen durch KBV-Richtlinien, NIS2 und den EU AI Act – da bleibt die systematische Absicherung oft auf der Strecke.

Die Dunkelziffer ist hoch

Seit Inkrafttreten der DSGVO wurden rund 850 Datenpannen durch Fehlversendungen von Patientenunterlagen bei Aufsichtsbehörden gemeldet. Die tatsächliche Zahl nicht gemeldeter Vorfälle liegt nach Einschätzung der Behörden jedoch deutlich höher. Gründe dafür: Angst vor Konsequenzen, fehlende Kapazitäten im Praxisalltag und mangelndes Bewusstsein für die Meldepflicht.

Das übersehene Risiko: Dein Praxistelefon

Während die meisten Praxen ihre Aufmerksamkeit auf die Absicherung der Praxisverwaltungssoftware richten, bleibt eine zentrale Schnittstelle oft völlig unbeachtet: das Telefon. Dabei werden hier täglich patientenbezogene Informationen aufgenommen, notiert und weiterverarbeitet – Namen, Geburtsdaten, Symptome, Terminwünsche.

Wo die Compliance-Lücke entsteht

Viele Praxen nutzen mittlerweile cloud-basierte Transkriptions- oder KI-Diktierdienste, um Gesprächsnotizen effizient zu erstellen. Das Problem: Oft fehlt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, es gibt keine dokumentierten Löschfristen, und die Server stehen teilweise außerhalb der EU. Ein AVV ist bei jeder Übertragung von Patientendaten an externe Dienstleister jedoch Pflicht – fehlt er, liegt bereits eine Datenschutzverletzung vor, unabhängig davon, ob tatsächlich Daten abgeflossen sind.

Hinzu kommt § 203 StGB, der Bruch des Arztgeheimnisses. Die Weitergabe von Patientendaten an cloud-basierte KI-Dienste ohne ausreichende Absicherung kann als Verletzung von Privatgeheimnissen gewertet werden – ein Straftatbestand, der neben der DSGVO greift.

Auch ohne KI: Das Telefon bleibt eine unsichere Schnittstelle

Selbst wenn du keine KI-gestützte Gesprächsaufzeichnung nutzt, ist das Telefon ein Schwachpunkt. Gesprächsinhalte werden unstrukturiert auf Zetteln notiert, intern per E-Mail weitergeleitet oder in nicht verschlüsselten Systemen festgehalten. Die KBV und Datenschutzaufsichtsbehörden prüfen 2026 verstärkt, wie Praxen mit solchen Daten umgehen – besonders beim Einsatz von KI.

Typische Missverständnisse, die dich angreifbar machen

• „Hacker greifen doch keine kleinen Praxen an." Falsch. Gerade weil kleine Praxen wertvolle Daten mit schwacher IT-Infrastruktur kombinieren, sind sie attraktive Ziele.
• „Mein PVS-Anbieter kümmert sich um den Datenschutz." Nur teilweise. Der Anbieter haftet für sein System. Du haftest persönlich für alle zusätzlichen Tools – etwa KI-Diktierhilfen oder Telefonaufzeichnungen in der Cloud.
• „Wir machen keine KI-Aufnahmen am Telefon, also sind wir safe." Auch ohne KI ist das Telefon eine Datenschnittstelle, die strukturiert und abgesichert werden muss.
• „Datenpannen passieren nur bei großen Krankenhäusern." Die Vorfälle bei kleineren Praxen und durch Angriffe auf Drittanbieter zeigen: Auch du bist im Visier.

Entlastung und Compliance – kein Widerspruch

Die gute Nachricht: Du musst nicht zwischen Effizienz und Datenschutz wählen. Mit dem richtigen System wird das Telefon nicht nur zur entlastenden Schnittstelle, sondern gleichzeitig zur sichersten Datenschnittstelle deiner Praxis.

Eine DSGVO-konforme KI-Rezeption wie die von KINAQ Solutions läuft auf Servern in Deutschland, wird mit einem Auftragsverarbeitungsvertrag betrieben und erfüllt alle relevanten Compliance-Anforderungen. Sie strukturiert eingehende Anrufe, entlastet dein Team – und schließt genau die Lücke, die bisher kaum jemand auf dem Schirm hatte.

Was eine sichere Telefon-Lösung leisten muss

• Server-Standort in der EU – idealerweise in Deutschland
• AVV nach Art. 28 DSGVO als Pflichtbestandteil
• Dokumentierte Löschfristen und transparente Datenverarbeitung
• Keine Weitergabe an Drittanbieter ohne deine Kenntnis
• Verschlüsselte Übertragung und Speicherung

Das Telefon ist kein nachrangiger Kanal – es ist die erste Kontaktstelle deiner Patienten. Wer hier strukturiert und sicher arbeitet, gewinnt doppelt: weniger Stress im Alltag, weniger Risiko im Ernstfall.

Fazit: Das Telefon ist keine Nebensache

Cyberangriffe auf Arztpraxen nehmen zu, die Anforderungen an Datenschutz und IT-Sicherheit werden schärfer – und das Telefon bleibt die am wenigsten abgesicherte Datenschnittstelle in vielen Praxen. Wer hier nicht handelt, riskiert nicht nur Bußgelder und Reputationsschäden, sondern auch strafrechtliche Konsequenzen durch Verletzung des Arztgeheimnisses.

Die Lösung muss nicht kompliziert sein. Es braucht keine komplette IT-Umstellung, sondern ein System, das Entlastung und Compliance verbindet. Prüf einmal, wie du heute mit Telefondaten umgehst – und kläre in einem unverbindlichen Erstgespräch, ob deine Lösung wirklich sicher ist. Denn eines ist klar: Das Telefon ist keine Nebensache. Es ist die Datenschnittstelle, über die deine Praxis täglich sensible Informationen verarbeitet. Und es wird Zeit, sie genauso ernst zu nehmen wie dein Praxisverwaltungssystem.