Passwort-Manager für Apotheken: SMC-B-PIN im Team, HBA-PIN privat

Die Zugänge einer Apotheke vom HV-Tisch bis zum Rechenzentrum

Am HV-Tisch, im Backoffice und im Büro der Inhaberin melden sich Approbierte, PTA und PKA an Systemen an, die selten einer allein betreut. Typisch für eine öffentliche Apotheke:

• Warenwirtschaft: eine Kennung je Person für Kasse, Rezeptbearbeitung und Bestellung, dazu das Administratorkonto für Rechte und Updates.
• Telematikinfrastruktur: Verwaltungsoberfläche des Konnektors, Kartenterminals, PIN und PUK der Institutionskarte (SMC-B), dazu die Heilberufsausweise der Approbierten.
• Einkauf: Bestellportale der Großhändler, mit denen die Apotheke arbeitet, und Konten für Direktbestellungen bei Herstellern.
• Abrechnung und Kammer: das Portal des Apothekenrechenzentrums und das Portal der Kammer für Kartenanträge.
• Kundschaft: Vorbestellungen über App oder Website, Planung des Botendienstes, Telefonanlage, E-Mail, bei Versanderlaubnis auch der Webshop.

Die Kennung in der Warenwirtschaft bleibt bei der jeweiligen Person, damit sich jede Abgabe einer Person zuordnen lässt. In den Tresor gehören die Zugänge, die es nur einmal für die Apotheke oder die Betriebsstätte gibt.

SMC-B und Heilberufsausweis: Karte der Apotheke, Karte der Approbierten

Mit der SMC-B weist sich die Apotheke in der Telematikinfrastruktur aus, zusammen mit Konnektor und Kartenterminal. Herausgeberin der Karten ist die Landesapothekerkammer, in Nordrhein die Apothekerkammer Nordrhein. Beantragen kann die Apotheke die SMC-B dort nur, wenn die Inhaberin einen gültigen Heilberufsausweis (HBA) hat. Für den Zugang zu den Fachanwendungen muss ein HBA-Inhaber die SMC-B zuvor legitimiert haben, schreibt die Kammer.

Der HBA trägt die qualifizierte elektronische Signatur. Korrigiert oder ergänzt die Apotheke ein E-Rezept, signiert das nach einer Anleitung der gematik (Stand Dezember 2021) die Apothekerin oder der Pharmazieingenieur, die für die Abgabe verantwortlich sind. Dazu stecken sie ihren Ausweis ins Kartenterminal und geben ihre PIN ein. Diese PIN kennt nur die Person, auf die der Ausweis ausgestellt ist. Sie steht in keinem Eintrag, auf den PTA oder PKA zugreifen, und auch nicht in der Sammlung der Inhaberin.

Die PIN der SMC-B gehört zur Apotheke. Das Kartenterminal fragt sie zum Beispiel nach einem Neustart der Software ab. Kennt sie nur eine Person, steht der Abruf von E-Rezepten still, sobald diese Person fehlt.

PIN und PUK der SMC-B: was die Kammer rät

Die Apothekerkammer Nordrhein warnt in ihren Antworten zur Telematik vor einer unwiederbringlich gesperrten SMC-B: Belieferung und Abrechnung von E-Rezepten leiden dann stark, und die Bearbeitung einer neuen Karte kann 14 Tage oder länger dauern. Die Kammer rät, den Umgang mit PIN und PUK in der Apotheke zu regeln. Sie nennt sorgfältige Archivierung, festgelegte Anwendungsfälle und eine gesicherte Eingabe, als Beispiel ein Vier-Augen-Prinzip. Vorbeugend lässt sich eine Reserve-SMC-B beantragen.

Im Tresor kann das so aussehen: Die PIN steht in einer Sammlung für die Personen, die sie eingeben dürfen. Die PUK liegt in einer zweiten Sammlung, die nur die Inhaberin und die Verantwortlichen der Betriebsstätte öffnen. Wer welche Sammlung sieht, legen Sie beim Einladen fest. Ein Vier-Augen-Prinzip beim Eingeben kann ein Tresor nicht erzwingen, das bleibt eine Regel in Ihrer Apotheke. Sie legen aber fest, dass zwei Personen die PUK sehen und nicht die halbe Belegschaft.

Filialverbund: Sammlungen je Betriebsstätte

Nach § 2 Abs. 5 ApoG führt die Inhaberin die Hauptapotheke persönlich. Für jede Filialapotheke benennt sie einen oder zwei Apotheker als Verantwortliche, bei zwei Verantwortlichen grenzt sie deren Zuständigkeiten ab und dokumentiert das. Bis zu drei Filialen sind nach § 1 Abs. 2 ApoG möglich. Für jede Apothekenbetriebsstätte braucht es nach Angaben der Apothekerkammer Nordrhein einen Konnektor mit eigener SMC-B, also auch eigene PIN und PUK.

Daraus ergibt sich die Aufteilung: Was alle Häuser gemeinsam nutzen, liegt einmal im Tresor. Was an einer Betriebsstätte hängt, bekommt eine eigene Sammlung, die die Verantwortlichen dort sehen.

Das Onlinebanking steht in keiner Sammlung und auch nicht im persönlichen Bereich. Wer Zahlungen erledigt, bekommt bei der Bank einen eigenen Zugang mit Vollmacht, wie im Ratgeber Onlinebanking für Mitarbeiter beschrieben.

Zeigt ein Großhandelsportal beim Anmelden einen Code aus einer Authenticator-App an, kann der Schlüssel dafür beim Eintrag liegen, und jede berechtigte PKA ruft den Code selbst ab. Kommt der Code per SMS, bleibt er am Telefon mit dieser Nummer. Mehr dazu im Ratgeber 2FA im Team teilen. Für den Tresor selbst gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Notdienst mit einer approbierten Person im Haus

Welche Apotheke wann Notdienst hat, legen die Apothekerkammern in ihren Richtlinien zur Dienstbereitschaft fest, etwa über Notdienstkreise. So steht es im Faktenblatt der ABDA vom Juni 2026.

Ist nachts nur eine approbierte Kraft im Haus, vielleicht aus einer anderen Filiale, braucht sie ihren eigenen HBA und ihre Kennung in der Warenwirtschaft. Dazu kommen die Bestellung beim Großhandel für den nächsten Morgen und die PIN der SMC-B dieses Hauses, falls das Kartenterminal danach fragt. Gibt die Inhaberin ihr für die Notdienstnächte die Sammlungen dieser Betriebsstätte frei, muss sie niemanden wecken. Fällt die Inhaberin selbst aus, greift der Notfallzugang, den wir bei der Einrichtung mit Ihnen festlegen. Den Ablauf beschreibt der Ratgeber Notfallzugriff auf Firmenpasswörter.

Beispiel: Hauptapotheke mit zwei Filialen und Heimversorgung

Ein erfundener Verbund: Die Inhaberin führt die Hauptapotheke, zwei Filialen leiten je eine angestellte Apothekerin als Verantwortliche. Eine Filiale versorgt zusätzlich mehrere Pflegeheime. Insgesamt arbeiten dort sechs Approbierte, elf PTA, vier PKA und zwei Boten.

Nach einem Update in der Heimfiliale fragte das Kartenterminal die PIN der SMC-B ab. Die Verantwortliche war im Urlaub, die PIN stand auf einem Zettel im Tresorschrank, der nach einer PIN-Änderung nicht mehr stimmte. Die PUK lag im Aktenordner der Hauptapotheke, zwölf Kilometer entfernt.

Heute hat jede Betriebsstätte zwei Sammlungen, „TI“ und „Kartenreserve“. Die Sammlung „TI“ der Heimfiliale sehen die Verantwortliche, die zweite Apothekerin dort und die Inhaberin, die „Kartenreserve“ nur die Verantwortliche und die Inhaberin. Die PKA aller drei Häuser teilen sich „Einkauf“, die Boten sehen nur die Planung des Botendienstes. Jede der 23 Personen hat ein eigenes Konto mit eigenem Master-Passwort, eingeladen von der Inhaberin. Wie Zugänge ohne Zettel und Messenger im Team weitergegeben werden, beschreibt der Ratgeber Passwörter im Team teilen.

Personalwechsel und neue Filialleitung

Hört eine PTA auf, sperrt die Inhaberin ihr Konto im Tresor und deaktiviert die Kennung in der Warenwirtschaft. Kannte die PTA die PIN einer SMC-B, ändert die Verantwortliche diese PIN, danach die Passwörter der übrigen Sammlungen, die sie sehen konnte. Die Reihenfolge steht in der Checkliste, wenn ein Mitarbeiter geht.

Geht eine Apothekerin, die eine Filiale verantwortet, nimmt sie ihren HBA mit. Die Benennung einer neuen Verantwortlichen zeigt die Inhaberin der Behörde nach § 2 Abs. 5 ApoG mindestens zwei Wochen vorher an, bei einem unvorhergesehenen Wechsel unverzüglich. Im Tresor bekommt die Nachfolgerin dieselben Sammlungen, die Vorgängerin verliert sie mit dem Sperren ihres Kontos.

Schweigepflicht und Rezeptdaten

Apothekerinnen und Apotheker stehen in § 203 Abs. 1 Nr. 1 StGB unter den Berufen, für die das unbefugte Offenbaren fremder Geheimnisse strafbar ist. Rezepte, Medikationspläne und Kundendaten der Heimversorgung bleiben deshalb in der Warenwirtschaft und kommen nicht in den Tresor, auch nicht als Dateianhang.

Die Einträge im Tresor sind Ende-zu-Ende-verschlüsselt und werden erst auf den Geräten Ihres Teams lesbar. Wir können sie nicht öffnen und sehen nur Namen und E-Mail-Adressen der Nutzer sowie technische Protokolle. Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Rechtsberatung ist dieser Text nicht.

Kosten für Apotheke und Filialen

Ob eine Apotheke allein oder ein Verbund mit drei Filialen den Tresor nutzt, der Preis bleibt gleich: Wartung 16,99 € im Monat inkl. MwSt. ohne Grenze bei der Zahl der Nutzer, Einrichtung inklusive, 12 Monate Mindestlaufzeit. Dazu kommt der Server, den die Apotheke selbst bei netcup mietet, ab 3,69 € im Monat inkl. MwSt. Das Angebot richtet sich nur an Unternehmer. Eine Sicherung gibt es mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne dieses Paket sichern wir nichts, dann exportiert die Apotheke den Tresor selbst. Hilfe im Alltag berechnen wir mit 74,99 € je Stunde inkl. MwSt., abgerechnet je angefangene Viertelstunde.

Wie Arztpraxen mit Praxisausweis und HBA umgehen, steht auf der Seite Passwort-Manager für Arztpraxen. Versorgt Ihre Apotheke ambulante Dienste, finden diese ihre Seite unter Pflegedienste. Ihre Fragen besprechen wir am Telefon oder per Video im kostenlosen Erstgespräch (15 Minuten).

Anlaufstellen