Passwort-Manager für Arztpraxen in Köln: VA-Konten und Praxistresor

1.370 Arztpraxen im Unternehmensregister 2024

Das Statistische Jahrbuch der Stadt Köln 2025 zählt für das Jahr 2024 insgesamt 415 Praxen für Allgemeinmedizin und 955 Facharztpraxen. Die Zahlen kommen aus dem Unternehmensregister des Landesbetriebs IT.NRW und zählen Betriebe, also Praxen und nicht einzelne Ärztinnen. 2015 standen dort noch 438 und 1.013 Praxen.

Knapp 70 Prozent der Praxen sind damit Facharztpraxen. Welche Zugänge eine Praxis allgemein hat, von der Praxisverwaltung bis zum Laborportal, steht auf der Seite Passwort-Manager für Arztpraxen.

KV Nordrhein und Ärztekammer an der Butzweilerhofallee

Die Kassenärztliche Vereinigung Nordrhein hat ihren Sitz in Düsseldorf. In Köln betreibt sie an der Butzweilerhofallee 7 ein Service- und Beratungszentrum, dort arbeitet auch die Kreisstelle Stadt Köln. Unter derselben Adresse hat die Ärztekammer Nordrhein ihr Servicezentrum mit der Kreisstelle für die Stadt.

Die IT-Beratung der KV spricht mit Ärztinnen, Psychotherapeuten und Praxispersonal einzeln, am Telefon, per Video oder persönlich in Köln, Düsseldorf oder Aachen. Zu den Themen gehören Schadsoftware, Schutz vor Datenverlust und die IT-Sicherheitsrichtlinie, die die Kassenärztlichen Bundesvereinigungen nach § 390 SGB V festlegen. Den Termin bucht die Praxis im KVNO-Portal unter „Beratung“, die KV rät, mindestens 90 Minuten einzuplanen.

Außerdem bietet die IT-Beratung kostenlose Online-Veranstaltungen an, darunter „Datenschutz und Datensicherheit in der Praxis“ mit Themen wie Datenpannen, Notfallkonzept und Backup. Die aktuellen Termine stehen im Veranstaltungskalender der KV. Für eine Teilnahmebescheinigung meldet sich jede Person einzeln an und nimmt mit eigenem Gerät teil.

Aus MFA wird VA: eigene Konten im KVNO-Portal

Bis zum Sommer 2026 konnte jedes Arzt-Konto im KVNO-Portal genau ein MFA-Konto haben. Mit der Praxisinformation vom 09.07.2026 führte die KV die Verwaltungsassistenz ein: Ärztinnen und Geschäftsführer von MVZ legen mehrere nicht-ärztliche Mitarbeiterinnen an, jede mit eigenen Berechtigungen. Ein VA-Konto kann für mehrere Arzt-Konten arbeiten, die Mitarbeiterin wechselt dafür im Portal den Kontext.

Laut Anleitung der KV gibt die Ärztin die E-Mail-Adresse der Mitarbeiterin ein und wählt die Rechte aus. Die Mitarbeiterin bestätigt ihre Adresse, vergibt ihr Passwort selbst und nimmt die Rechte an. Wieder entziehen kann angenommene Rechte nur das Konto der Ärztin oder der Geschäftsführung.

Das VA-Passwort kennt also nur die Mitarbeiterin. Sie legt es in ihren persönlichen Tresor, in eine gemeinsame Sammlung gehört es nicht. Ist sie krank, arbeitet eine Kollegin mit ihrem eigenen VA-Konto weiter, sofern die Ärztin ihr dieselben Rechte gegeben hat.

Arzt-Konto, eToken und Arztausweis bleiben bei der Ärztin

Ihr eigenes Konto registriert die Ärztin mit ihrer lebenslangen Arztnummer. Zugangsdaten und vertragliche Unterlagen schickt die KV nur an den Vertragsarztsitz. Wer die Abrechnung über das Internet einreicht statt über KV-SafeNet oder die TI, braucht dazu einen eToken. Die KV gibt je Benutzername genau einen aus, fest mit ihm verknüpft, und spricht vom persönlichen eToken. Er erzeugt ein achtstelliges Einmal-Passwort.

Dass die KV auch das Passwort des Arzt-Kontos ausdrücklich persönlich nennt, haben wir auf ihren Seiten nicht gefunden. In eine Sammlung gehört es trotzdem nicht, für das Team gibt es die VA-Konten. Legt die Ärztin es in ihren persönlichen Tresor, sollte sie eines wissen: Wer in der Praxis Konten wiederherstellen darf, kommt damit auch an diesen Bereich (mehr dazu unter Master-Passwort).

Beim elektronischen Arztausweis ist die Lage eindeutig. Den Antrag nimmt die Ärztekammer Nordrhein nur über ihr Mitgliederportal an, die Identifizierung macht die Ärztin persönlich, etwa per PostIdent. Karte und Brief mit Transport-PINs und PUK kommen aus Sicherheitsgründen getrennt, um ein paar Tage versetzt. Geht der Brief vor der Aktivierung verloren, lässt sich sein Inhalt laut Kammer nicht rekonstruieren, und die Ärztin muss einen neuen Ausweis beantragen. Signatur-PIN und Karten-PIN gehören allein der Ärztin. Sie stehen nirgends im Tresor der Praxis, auch nicht im persönlichen Bereich, weil wer Konten wiederherstellen darf, auch dorthin käme.

Beispiel: eine HNO-Gemeinschaftspraxis stellt auf VA-Konten um

Ein erfundener Fall: zwei HNO-Ärztinnen in einer Berufsausübungsgemeinschaft, ein angestellter Facharzt, eine Praxismanagerin und sechs MFA. Das einzige MFA-Konto hing am Konto der Seniorpartnerin. Praxismanagerin und Abrechnungskraft nutzten es beide, das Passwort stand in einer Excel-Datei auf dem Empfangsrechner. Warum solche Listen riskant sind, beschreibt der Ratgeber Passwörter in Excel.

Jetzt bekommen beide ein eigenes VA-Konto, und die zweite Partnerin gibt der Praxismanagerin ebenfalls Rechte. Das gemeinsam genutzte MFA-Konto löscht die Seniorpartnerin im Portal, die Excel-Datei löscht die Praxis.

Im Tresor gibt es drei Sammlungen. „Empfang“ mit Online-Terminbuchung, Faxdienst und Praxis-Postfach sehen alle MFA. „Abrechnung“ mit Laborportal und dem Zugang zur privatärztlichen Verrechnungsstelle öffnen Praxismanagerin und Abrechnungskraft. „Technik“ mit Router und Verwaltung des Praxisverwaltungssystems sehen die Partnerinnen und der IT-Dienstleister, der ein eigenes Konto ohne Aufpreis bekommt. Beide Partnerinnen sind Eigentümerinnen der Organisation und allen drei Sammlungen zugewiesen.

Geht die Abrechnungskraft, entzieht ihr die Seniorpartnerin die Rechte im KVNO-Portal, sperrt ihr Konto im Tresor und ändert die Passwörter in „Empfang“ und „Abrechnung“. Die weiteren Schritte stehen in der Checkliste für den Weggang eines Mitarbeiters.

Aufsicht, Vertrag und Verschwiegenheit

Für Arztpraxen in Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW) zuständig, Datenpannen meldet die Praxis über deren Webformular. Was die LDI dazu schreibt und welche Stellen im Land bei Angriffen helfen, steht auf der Seite Passwort-Manager in Nordrhein-Westfalen.

Ihre Passwörter können wir nicht lesen, die Inhalte des Tresors sind Ende-zu-Ende-verschlüsselt. Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung, eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Den Zuschnitt für Ihre Praxis besprechen wir am Telefon oder per Video im kostenlosen Erstgespräch (15 Minuten).

Anlaufstellen für Arztpraxen in Köln