Passwort-Manager für Arztpraxen in Stuttgart: Praxiskennung und Tresor

285 Hausarztpraxen im Mittelbereich, 2020 waren es 330

Die Zahlen stammen aus der Antwort des Sozialministeriums auf eine Kleine Anfrage im Landtag vom September 2025 (Drucksache 17/9365). Gezählt wird im Mittelbereich Stuttgart, dem Planungsbereich für Hausärzte. Zu ihm gehören neben der Stadt fünf angrenzende Städte.

Nach Angaben der Kassenärztlichen Vereinigung im selben Papier sind etwa 40 Prozent der Hausärztinnen und Hausärzte in der Stadt älter als 60, rund 50 Hausarztsitze waren frei. Wo aus Einzelpraxen Praxen mit Angestellten und MVZ werden, arbeiten mehr Leute an denselben Portalen, und nach jedem Abschied muss jemand die Passwörter ändern.

Praxiskennung statt geteiltem Mitgliederzugang

Seit September 2026 legen Praxisinhaber im Mitgliederportal der Kassenärztlichen Vereinigung Baden-Württemberg (KVBW, Albstadtweg 11) für ihre Mitarbeiterinnen eigene Kennungen an. Mit der Berechtigung „Praxispersonal“ reicht eine MFA zum Beispiel Dateien ein, meldet Termine an die Terminservicestelle, trägt Vertreter und Abwesenheiten ein oder ändert Sprechstundenzeiten. Die KVBW schreibt dazu ausdrücklich, dass der Inhaber seinen persönlichen Mitgliederzugang so nicht mehr weitergeben muss. Die Kennwörter dieser Kennungen setzt die Praxis selbst zurück. Einmalkennwörter vergibt die KVBW dagegen nur an Mitglieder, nicht an deren Praxisteams.

Daraus folgt eine saubere Trennung. Benutzerkennung und Kennwort des Inhabers kommen nicht in den Tresor, auch nicht in seinen persönlichen Bereich, denn wer in der Praxis Konten wiederherstellen darf, käme dort hinein. Ihre eigene Praxiskennung legt jede MFA in ihrem persönlichen Bereich ab. Dass Eigentümer und Administratoren der Organisation über die Kontowiederherstellung auch daran kämen, stört nicht, denn der Inhaber kann diese Kennwörter im Mitgliederportal ohnehin neu setzen.

Für den Zugang über KV-Ident Plus mit VPN-Software und Token rät die KVBW, vor jeder Anmeldung die Adresse im Browser mit der offiziellen zu vergleichen, weil es täuschend echte gefälschte Seiten gibt. Bei den Zugängen, die im Tresor liegen, hilft die Browser-Erweiterung: Sie schlägt Zugangsdaten nur auf der Domain vor, für die sie gespeichert sind. Eine Garantie gegen nachgebaute Seiten ist das nicht.

Kammer, Arztausweis und Praxisausweis

Die Landesärztekammer Baden-Württemberg sitzt in der Jahnstraße 40, die für die Stadt zuständige Bezirksärztekammer Nordwürttemberg in der Jahnstraße 5. Über die Seite der Landesärztekammer beantragen Ärztinnen den elektronischen Heilberufsausweis beim Kartenhersteller ihrer Wahl, mit PostIdent. Mit dem getrennt verschickten PIN-Brief setzt die Ärztin ihre persönliche PIN. Teilen darf man einen Arztausweis laut KVBW nicht, jede Ärztin einer Praxis braucht einen eigenen. Seine PIN gehört deshalb nicht in den Tresor, auch nicht in den persönlichen Bereich der Ärztin, denn den können Eigentümer und Administratoren der Organisation über die Kontowiederherstellung öffnen.

Anders der Praxisausweis (SMC-B): Er gehört der Praxis, das Team arbeitet täglich mit ihm. Beantragt wird er im Mitgliederportal, erst wenn ein Arztausweis vorhanden ist. Die PIN kommt in einem eigenen Brief, gebraucht wird sie am Tag der Installation, und die KVBW schreibt dazu nur, ihn sicher aufzubewahren. Ein Scan des PIN-Briefs kann deshalb in eine Sammlung, die nur die Praxisleitung sieht. Wer es strenger halten will, lässt den Brief im Safe der Praxis und notiert im Tresor nur Anbieter, Ablaufdatum und wo der Brief liegt. Die Karte läuft je nach Anbieter zwei bis fünf Jahre, abgelaufene Karten sperrt die Praxis im Kundenportal des Anbieters und zerschneidet sie.

Das Notfallblatt der KVBW mit Lücken zum Ausfüllen

Für einen Cyberangriff hat die KVBW im März 2022 ein zweiseitiges Blatt „IT-Notfallmanagement“ herausgegeben. Es verlangt, die Arbeit am System einzustellen, betroffene Rechner auszuschalten, Notfallkontakte anzurufen und alles zu dokumentieren. Die Telefonnummern von IT-Dienstleister und Datenschutzbeauftragtem trägt die Praxis selbst in leere Zeilen ein. Zur Vorbeugung nennt es unter anderem eine Passwortrichtlinie mit Passwortlänge.

Der Tresor liegt nicht im Praxisnetz, sondern auf einem Server, den die Praxis bei netcup mietet. Sind die Praxisrechner aus, öffnet die Praxisleitung ihn in der App auf dem Handy und findet Kundennummer und Vertrag des IT-Dienstleisters sowie die Liste der Zugänge, die nach dem Vorfall neue Passwörter brauchen. Den Tresor selbst sichert das Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne Paket sichern wir nicht, dann exportiert die Praxis selbst verschlüsselt. Mehr dazu im Ratgeber IT-Notfallplan für Zugänge, die Stellen des Landes stehen auf der Seite Passwort-Manager in Baden-Württemberg.

Beispiel: Einzelpraxis mit zwei angestellten Allgemeinmedizinerinnen

Ein erfundener Fall: Ein Hausarzt, 63, führt seine Praxis allein, hat aber zwei Fachärztinnen für Allgemeinmedizin angestellt, dazu eine Praxismanagerin und fünf MFA. Bis September 2026 nutzten die MFA seine Benutzerkennung im Mitgliederportal, das Kennwort klebte am Abrechnungsrechner.

Heute hat jede MFA eine eigene Praxiskennung, der Inhaber hat sein Kennwort geändert und behält es für sich. Im Tresor sehen alle MFA die Sammlung „Empfang“ mit Telefonanlage, Faxdienst und Online-Terminkalender. „Abrechnung“ mit Laborportal und Verwaltungszugang der Praxissoftware öffnen die Praxismanagerin und zwei MFA. Der IT-Dienstleister hat ein eigenes Konto nur für „Technik“, ohne Aufpreis, mit der Rolle Benutzer. Eigentümer der Organisation ist allein der Inhaber, Administratoren gibt es keine. So kommt nur er über die Verwaltungsansicht an alle Sammlungen, und nur er darf Konten wiederherstellen.

Er ist Eigentümer der Organisation und räumt der Praxismanagerin einen Notfallzugang ein. Übernimmt sie im Ernstfall nach der Wartezeit sein Konto, sieht sie alle Sammlungen, auch „Praxisleitung“ mit Lohnbüro, Wartungsverträgen und dem Scan des PIN-Briefs für den Praxisausweis, und sie kann dann selbst Konten wiederherstellen. Weil sein KV-Zugang und die PIN seines Arztausweises gar nicht im Tresor liegen, steht dort nur, was sie in seiner Abwesenheit erledigen soll. Den Ablauf legen wir bei der Einrichtung fest, siehe Notfallzugriff auf Firmenpasswörter. Onlinebanking steht in keiner Sammlung (Onlinebanking für Mitarbeiter).

Geht eine MFA, kümmert sich der Inhaber im Mitgliederportal um ihre Praxiskennung und sperrt ihr Konto im Tresor. Die Passwörter, die sie kannte, ändert das Team, die übrigen Schritte stehen in der Checkliste, wenn ein Mitarbeiter geht.

Vertrag, Verschwiegenheit und Betreuung

Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Die Inhalte des Tresors sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Typische Zugänge einer Praxis zeigt die Seite Passwort-Manager für Arztpraxen. Eingerichtet wird per Fernwartung aus Dresden, das kostenlose Erstgespräch (15 Minuten) führen wir am Telefon oder per Video.

Anlaufstellen für Arztpraxen in Stuttgart