Passwort-Manager für Arztpraxen in Hamburg: Portal, Karten, Team

3.150 Ärztinnen und Ärzte in eigener Niederlassung

Zur Ärztekammer Hamburg in der Weidestraße 122 b gehörten am 31.12.2025 genau 19.953 Ärztinnen und Ärzte, so steht es in der Ärztestatistik der Bundesärztekammer für die Kammer. 15.484 von ihnen waren berufstätig, 5.928 ambulant. Niedergelassen waren 3.150, die übrigen 2.778 arbeiteten ambulant ohne eigene Niederlassung.

In vielen Praxen arbeiten also Ärztinnen, die nicht Inhaberin sind und irgendwann wieder gehen. Mit ihnen wechseln die Zugänge, die sie kannten. Welche Zugänge eine Praxis typischerweise hat und welche persönlich bleiben, steht auf der Seite Passwort-Manager für Arztpraxen.

Online-Portal der KV: SNK oder WebNet, und eigene Konten für MFA

Die Kassenärztliche Vereinigung Hamburg in der Humboldtstraße 56 bietet ihr Online-Portal auf zwei Wegen an. Über das Sichere Netz der KVen (SNK) kommt die Praxis mit Konnektor oder KV-SafeNet-Router hinein. WebNet unter ekvhh.de geht von jedem Rechner mit Internet, dort aber nur für Abrechnungen und eDokumentationen. Benutzername und Passwort schickt die KV nach der Registrierung per Post.

Ihre eigenen Zugangsdaten muss die Ärztin nicht an die MFA weitergeben. Nach einer Anleitung der KV legt sie unter „Einstellungen“ und „Mitarbeiterverwaltung“ für jede Mitarbeiterin ein Konto an, dessen Benutzername immer mit „MA-“ beginnt. Das Passwort braucht mindestens acht Zeichen mit Ziffer, Großbuchstabe und Sonderzeichen. Rechte vergibt die Ärztin je Aufgabe, bei mehreren Betriebsstätten auch je Betriebsstättennummer.

Jede MFA ändert das Startpasswort ihres MA-Kontos und legt es in ihrem persönlichen Bereich des Tresors ab, den nur sie sieht. Warum eigene Konten besser sind als ein gemeinsames, erklärt der Ratgeber Passwörter im Team teilen.

Bevollmächtigte in MVZ und Gemeinschaftspraxen

Für MVZ, Praxen in der Rechtsform einer GbR und Institutsermächtigungen hat die KV ein eigenes Formular. Damit beantragt die Geschäftsführung persönliche Zugangsdaten für eine bevollmächtigte Person, die dann die Honorarbescheide der Honorareinheit und ihrer Betriebsstätten einsehen kann. Scheidet diese Person aus dem Arbeitsverhältnis aus, muss die Praxis den Zugang laut Formular abmelden oder sperren lassen.

Halten Sie in einer Notiz in der Sammlung „Praxisleitung“ fest, wer einen solchen Zugang hat und für welche Betriebsstätten. Beim Abschied einer Mitarbeiterin wissen Sie dann sofort, ob ein Abmeldeformular an die KV gehen muss. Die KV schreibt auf ihrer Seite zur Sicherheit in der TI außerdem, dass beim Ausscheiden einer Person zum Beispiel die Passwörter zu ändern sind, die ihr bekannt waren.

Praxisausweis und Arztausweis: was KV und Kammer schreiben

Den Praxisausweis (SMC-B) bestellt die Praxis laut KV nur über das Portal eines zugelassenen Anbieters, je Betriebsstättennummer einen eigenen. Der PIN/PUK-Brief kommt getrennt von der Karte, binnen vier Wochen nach Erhalt schaltet die Praxis die Karte frei. Endet die Betriebsstättennummer, sperrt die Praxis die Karte erst, wenn sie ihre letzte Honorarabrechnung im Online-Portal eingesehen hat, denn danach kommt sie über die TI nicht mehr ins SNK.

Der Praxisausweis ist laut KV der Einrichtung zugeordnet, nicht einer einzelnen Person. Den eingescannten PIN/PUK-Brief können Sie deshalb in eine Sammlung legen, die nur die Praxisleitung öffnet.

Beim elektronischen Arztausweis ist es anders. Er hat zwei PINs mit mindestens sechs Stellen, eine für die qualifizierte Signatur und eine für die übrigen Funktionen, und die Signatur soll die Ärztin nach Darstellung der KV keinem Dritten ermöglichen. Diese PINs gehören nicht in den Tresor, auch nicht in den persönlichen Bereich: Wer in der Praxis ein vergessenes Master-Passwort zurücksetzen darf, kommt damit auch in das Konto der Ärztin.

Ausgestellt wird der Arztausweis von der Ärztekammer, beantragt wird er nach ihrer Seite zum Arztausweis zurzeit direkt bei einem Vertrauensdiensteanbieter. Ausweise der Generation 2.0 dürfen laut Kammer seit dem 1. Juli 2026 nicht mehr eingesetzt werden.

Was die Datenschutz-Aufsicht aus den Praxen berichtet

Zuständig für die Praxen ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. Hamburg und Umland war eine der beiden TI-Modellregionen, in denen Praxen die elektronische Patientenakte ab dem 15. Januar 2025 testeten. Im Tätigkeitsbericht 2025 schildert die Behörde, dass der Chaos Computer Club zum bundesweiten Start im April 2025 eine Sicherheitslücke zeigte, die die gematik vorerst schloss. Den dafür nötigen Praxisausweis hatte der Club bekommen, weil ein Praxisbetreiber seinen Ausweis unzulässig angeboten hatte.

Außerdem bekam die Behörde 2025 Hinweise auf Arztpraxen, in denen ein KI-Telefonassistent die Anrufe annimmt. Verantwortlich ist nach ihrer Darstellung regelmäßig die Praxis, die dazu einen Vertrag zur Auftragsverarbeitung mit dem Anbieter schließt und in aller Regel vorher eine Datenschutz-Folgenabschätzung machen muss. Das ist eine Zusammenfassung, keine Rechtsberatung. Den Zugang zur Verwaltung eines solchen Dienstes legen Sie in eine Sammlung, die nur sieht, wer dort Einstellungen ändern soll.

Beispiel: orthopädische Gemeinschaftspraxis mit Zweigpraxis

Ein erfundener Fall: zwei Orthopäden als GbR mit Haupt- und Nebenbetriebsstätte, eine angestellte Fachärztin, eine Praxismanagerin und sieben MFA an beiden Standorten. Bisher meldeten sich die MFA mit den Portaldaten des älteren Partners an. Das Passwort stand auf einer Karteikarte am Empfang.

Heute hat jede MFA ein eigenes MA-Konto, mit Rechten nur für die Betriebsstätte, an der sie arbeitet, und der Partner hat sein Portalpasswort geändert. Die Praxismanagerin sieht die Honorarbescheide über einen Bevollmächtigten-Zugang. Im Tresor gibt es je Standort eine Sammlung „Empfang“, der auch die Praxismanagerin mit Bearbeitungsrecht zugewiesen ist, dazu „Abrechnung“ für die Praxismanagerin und zwei MFA. In „Praxisleitung“ für beide Partner liegen die PIN/PUK-Briefe beider Praxisausweise und die Notiz zu den Bevollmächtigten. Eigentümer der Organisation sind nur die beiden Partner, einen Administrator gibt es nicht.

Kündigt eine MFA, sperrt einer der Partner ihr Konto im Tresor, und die Praxismanagerin ändert die Passwörter in den Sammlungen, die die MFA sehen konnte. Das MA-Konto im Portal entfernt der Partner, der es angelegt hat. Ginge die Praxismanagerin selbst, schickten die Partner zusätzlich das Abmeldeformular für ihren Bevollmächtigten-Zugang an die KV. Was beim Abschied sonst noch ansteht, steht in unserer Checkliste für ausscheidende Mitarbeiter.

Schweigepflicht und Vertrag

Die Inhalte des Tresors sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Alles Weitere klären wir am Telefon oder per Video im kostenlosen Erstgespräch (15 Minuten).

Anlaufstellen für Arztpraxen in Hamburg