Passwort-Manager für Arztpraxen in Dortmund: was die KVWL empfiehlt

KVWL in der Robert-Schimrigk-Straße, Ärztekammer in Münster

Die Kassenärztliche Vereinigung Westfalen-Lippe (KVWL) hat ihren Sitz in Dortmund, Robert-Schimrigk-Straße 4-6. Unter derselben Anschrift tagt der Zulassungsausschuss, an den Ärztinnen ihre Anträge auf Zulassung richten. Die Ärztekammer Westfalen-Lippe (ÄKWL) sitzt dagegen in Münster, Gartenstraße 210-214. In der Stadt hat sie den Verwaltungsbezirk Dortmund in der Kaiserstraße 179.

Die ÄKWL gibt den elektronischen Arztausweis heraus. Beantragen muss ihn die Ärztin laut Kammer persönlich und nicht über Dritte: Sie meldet sich im Kammerportal an, lässt sich per PostIdent identifizieren und bekommt Karte und PIN-Brief getrennt zugeschickt. Der Zugang zum Kammerportal, die PINs des Arztausweises und die LANR bleiben deshalb bei ihr. Sie stehen in keiner Sammlung und auch nicht in ihrem persönlichen Bereich im Tresor, denn wer in der Praxis Konten wiederherstellen darf, käme auch an diesen Bereich heran.

Hausärzte im Planungsbereich: 102,5 Prozent und acht freie Sitze

Die Übersicht der hausärztlichen Versorgung der KVWL (Stand 18.05.2026) führt für den Mittelbereich Dortmund 603.462 Einwohner und 349,85 Hausärzte. Gezählt wird nach Bedarfsplanung, also mit Anrechnungsfaktoren und nicht nach Köpfen. Der Versorgungsgrad liegt bei 102,5 Prozent, bis zur Sperrung sind noch 8,00 Niederlassungsmöglichkeiten offen.

Jede neue Ärztin bringt eigene Zugänge mit, die niemand im Team kennen darf, und braucht trotzdem am ersten Tag die gemeinsamen Zugänge der Praxis. Welche das in einer Arztpraxis typischerweise sind, steht auf der Seite Passwort-Manager für Arztpraxen.

Die KVWL nennt Passwort-Tresore als sichere Stelle für Verschlüsselungspasswörter

Neben ihrer Umsetzungshilfe zur IT-Sicherheitsrichtlinie veröffentlicht die KVWL auf ihrer Seite IT-Sicherheit grundlegende Empfehlungen, die laut KVWL gesetzlich nicht vorgeschrieben sind. Darin steht: unterschiedliche Passwörter für Betriebssystem, Praxisverwaltungssystem und jede Internetanwendung. Braucht die Festplattenverschlüsselung ein Passwort, soll es komplex sein und an einer sicheren Stelle liegen, als Beispiel nennt die KVWL Passwort-Tresor-Programme. Den Wiederherstellungsschlüssel behandeln Sie genauso, mehr dazu im Ratgeber BitLocker-Schlüssel in der Firma.

Zwei Anforderungen aus der Umsetzungshilfe zur IT-Sicherheitsrichtlinie betreffen Zugänge der Technik. Die PUK der SIM-Karten von Praxishandys soll nur der Kreis kennen, der für die Geräte zuständig ist. Und die Administrationsdaten der TI-Komponenten muss die Praxis auch ohne ihren Dienstleister kennen. Als Möglichkeiten nennt die KVWL einen Vertrag mit kurzer Reaktionszeit und Herausgabe am Vertragsende oder einen versiegelten Umschlag, dessen Öffnung die Praxis dem Dienstleister meldet. Eine Sammlung „Technik“, der die Inhaberin und der Dienstleister mit eigenem Konto zugewiesen sind, ist ein weiterer Weg. Ob er zu Ihrer Absprache mit dem Dienstleister passt, klären Sie mit ihm, Hinweise zum Wechsel stehen unter IT-Dienstleister wechseln.

Praxisausweis: eine Karte je Betriebsstätte und je mobilem Terminal

Für jede Betriebsstättennummer braucht die Praxis laut KVWL einen eigenen Praxisausweis (SMC-B), dazu einen für jedes mobile Kartenterminal, etwa für Hausbesuche. Karte und PIN/PUK-Brief kommen nacheinander, freigeschaltet wird die Karte im Onlineportal des Anbieters. Die Daten für eine Sperrung stehen im Antragsdokument, und eine Sperrung lässt sich nicht zurücknehmen.

Der Praxisausweis gehört zur Betriebsstätte, nicht zu einer Person. Eine Beschränkung der PUK auf einzelne Kartenverantwortliche nennt die KVWL nicht. Die Praxisleitung kann deshalb die PIN/PUK-Briefe aller Karten als Scan in einer Sammlung nur für sich ablegen, zusammen mit den Antragsdokumenten und dem Zugang zum Portal des Anbieters. Außer ihr kommt nur heran, wer Eigentümer oder Administrator der Organisation ist, deshalb bekommt diese Rollen niemand sonst.

Nach einem Verschlüsselungstrojaner: alle Logindaten neu

Der Notfallplan der KVWL für einen Befall mit Verschlüsselungstrojanern verbietet die Anmeldung als Administrator an verdächtigen Geräten. Die Wiederinbetriebnahme legt der Plan in die Hände des IT-Dienstleisters: erst alle Systeme prüfen und betroffene neu installieren, danach alle Logindaten ändern, von Router, Switches und VPN über Rechner und Praxisverwaltung bis zu E-Mail, Webseiten und Onlinebanking. Die Liste dafür liefern die Sammlungen im Tresor, und die Berechtigten ändern ihre Einträge erst an einem Gerät, das der Dienstleister geprüft oder neu installiert hat.

Bankzugänge ändert jede Person selbst, sie stehen ohnehin in keiner Sammlung (siehe Onlinebanking mit Mitarbeitern). Meldewege an die Landesdatenschutzbeauftragte und die Polizei im Land beschreibt die Seite Passwort-Manager in Nordrhein-Westfalen.

Beispiel: eine Hausarztpraxis mit EVA und frisch ausgebildeter Digi-Managerin

Ein erfundener Fall: eine Hausärztin als Inhaberin, eine angestellte Ärztin, eine Entlastende Versorgungsassistentin (EVA) für Hausbesuche und vier MFA. Eine der MFA hat die Fortbildung Digi-ManagerIn der KVWL abgeschlossen und kümmert sich seitdem um die Praxis-IT. Bisher stand eine Passwortliste in Excel auf dem Rechner am Empfang, die Administrationsdaten des Konnektors kannte nur der Dienstleister.

Heute ist die Inhaberin als Einzige Eigentümerin der Organisation und allein der Sammlung „Praxisleitung“ mit den beiden PIN/PUK-Briefen zugewiesen. Die Digi-Managerin verwaltet „Empfang“ und „Technik“ als Managerin mit Verwaltungsrecht, der Dienstleister hat als Benutzer ein eigenes Konto nur für „Technik“, ohne Aufpreis. Die EVA meldet sich auf dem Tablet für Hausbesuche mit ihrem eigenen Konto an.

Den Notfallzugang hat die Inhaberin der angestellten Ärztin eingeräumt. Übernimmt diese nach der vereinbarten Wartezeit das Konto, kommt sie als Eigentümerin an alle Sammlungen samt PIN/PUK-Briefen und kann danach selbst Konten wiederherstellen. Deshalb fiel die Wahl auf die Person, die die Praxis ohnehin vertritt (Notfallzugriff auf Firmenpasswörter). Geht eine MFA, sperrt die Inhaberin ihr Konto, und die Digi-Managerin ändert die Passwörter in „Empfang“, wie die Checkliste für den Weggang es beschreibt.

Vertrag, Verschwiegenheit und Erstgespräch

Den Tresor richten wir per Fernwartung auf einem Server ein, den Ihre Praxis bei netcup mietet. Die Inhalte sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung, eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Für das kostenlose Erstgespräch (15 Minuten) rufen wir an oder verabreden einen Videotermin.

Anlaufstellen für Arztpraxen in Dortmund