Passwort-Manager für Zahnarztpraxen: wer welche PIN kennen darf

Die Zugänge einer Zahnarztpraxis

Rezeption, Stuhlassistenz, Röntgenraum und Abrechnung melden sich an verschiedenen Systemen an. Manche Zugänge sind an eine Person gebunden, etwa der eZahnarztausweis. Andere gibt es nur einmal für die ganze Praxis, zum Beispiel das Konto beim Scanner-Hersteller. Für solche Konten hängt dann ein Zettel am Monitor, oder nur eine Kollegin kennt das Kennwort.

• Praxisverwaltung: Benutzer für Behandler, Assistenz und Verwaltung, dazu ein Administratorkonto für Rechte und Updates.
• Telematikinfrastruktur: Konnektor oder TI-Gateway, Kartenterminals, Praxisausweis (SMC-B) mit PIN und PUK, dazu die eZahnarztausweise der Zahnärztinnen und Zahnärzte.
• Kassenzahnärztliche Vereinigung: das Online-Portal Ihrer KZV für Abrechnung, Honorarunterlagen und Fallkommentare.
• Bildgebung und Geräte: Röntgen- und Bildsoftware, Servicezugänge der Gerätehersteller, Intraoralscanner.
• Dentallabor: Portale für Aufträge und für den Austausch digitaler Abformungen.
• Praxisbetrieb: Online-Terminvergabe, Bestellportale für Material, Telefonanlage, Website, E-Mail.

Die IT-Sicherheitsrichtlinie der KZBV und Ihre Zugänge

Nach § 390 SGB V legen die Kassenärztlichen Bundesvereinigungen fest, welche Anforderungen an die IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung gelten. Für Zahnarztpraxen ist das die Richtlinie der Kassenzahnärztlichen Bundesvereinigung, Version 1.1. Sie trat im Juli 2025 in Kraft, die neuen und geänderten Anforderungen gelten seit dem 02.01.2026. Verantwortlich ist der Praxisinhaber, er darf die Umsetzung aber delegieren.

Welche Anlagen gelten, richtet sich nach der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind: bis fünf Personen die Anlagen 1 und 5, von 6 bis 20 zusätzlich Anlage 2, darüber auch Anlage 3. Für den Umgang mit Passwörtern sind diese Punkte aus Anlage 1 wichtig:

• Nr. 2: Zugangsdaten, die eine ausscheidende Person kannte oder genutzt hat, müssen geändert oder vernichtet werden.
• Nr. 5: Die Praxis sollte dokumentieren, welche Berechtigungen und Zugänge sie den Mitarbeitenden bereitstellt.
• Nr. 26: In der Praxissoftware sollte die Praxis Benutzer und Rollen einrichten, auch für die Nutzung von Sicherheitskarten wie dem eZahnarztausweis durch deren Inhaber.

In ihrer Übersicht zu den Neuerungen (Stand Juli 2025) schreibt die KZBV: Jeder Mitarbeitende muss eigene Zugangsdaten erhalten, soweit das System es erlaubt, das Teilen von Benutzerkonten und Passwörtern sollte unbedingt vermieden werden. In der Praxisverwaltung bekommt deshalb jede Person einen eigenen Benutzer, die Assistenz teilt sich kein Kennwort. In den Tresor gehören die Zugänge, die es nur einmal gibt. Dort sieht die Praxisleitung bei jeder Sammlung, wer sie öffnen darf.

Anlage 4 betrifft medizinische Großgeräte, darunter nennt die Richtlinie ausdrücklich das Dental-MRT. Dort muss die Praxis vom Hersteller gesetzte Passwörter wechseln, den Wechsel dokumentieren und das neue Passwort sicher hinterlegen. Für bildgebende Systeme bis zum Röntgengerät für Panoramaaufnahmen warnt die KZBV in ihrer Praxisinformation vor weiter genutzten Standardpasswörtern. Den Wortlaut finden Sie in der Richtlinie der KZBV (PDF). Ob Ihre Praxis alles erfüllt, beurteilt dieser Text nicht, er ist keine Rechtsberatung.

eZahnarztausweis und Praxisausweis: zwei sehr verschiedene PINs

Mit dem eZahnarztausweis und seiner sechs- bis achtstelligen PIN unterschreibt die Zahnärztin elektronisch, etwa E-Rezepte oder Anträge im elektronischen Beantragungs- und Genehmigungsverfahren (EBZ). Laut KZBV darf ausschließlich die Inhaberin auf den Ausweis zugreifen, weil sich mit der qualifizierten Signatur in ihrem Namen auch Verträge und Käufe autorisieren ließen. Zahnmedizinische Fachangestellte dürfen E-Rezepte vorbereiten und ausfüllen, die Signatur ist ihnen in der Regel nicht erlaubt. Diese PIN gehört deshalb in keine Sammlung des Teams. Wer viel signiert, nutzt die Komfortsignatur: Nach einer PIN-Eingabe am Morgen lassen sich bis zu 250 Dokumente ohne erneute Eingabe unterschreiben.

Beim Praxisausweis ist es anders. Ihn gibt die KZV aus, er gehört der Praxis. In den Regeln der KZV Schleswig-Holstein, Stand November 2025, steht zum Beispiel: Die Praxis darf Beschäftigten das Nutzungsrecht einräumen, soweit ihre Aufgaben es erfordern, etwa durch Bekanntgabe der PIN. An Unberechtigte darf die PIN nicht gehen. Die PUK, mit der eine gesperrte PIN entsperrt oder neu vergeben wird, darf nur an neue Kartenverantwortliche weitergegeben werden. Entzieht die Praxis einer Person das Nutzungsrecht, ändert sie die PIN.

Im Tresor legen Sie die PIN des Praxisausweises in eine Sammlung für die Personen, die sie für ihre Arbeit brauchen. Die PUK gehört nicht hinein, auch nicht in eine eigene Sammlung: Eigentümer und Administratoren der Organisation sehen jede Sammlung, ebenso wer per Notfallzugang ein Eigentümerkonto übernimmt. Der PIN/PUK-Brief bleibt deshalb verschlossen bei den Kartenverantwortlichen, im Tresor steht nur, wo er liegt. Dieselbe Grenze für die PUK steht in allen KZV-Regelwerken, die wir gelesen haben, unter anderem Nordrhein, Westfalen-Lippe, Bayern, Hessen und Sachsen.

Das KZV-Portal: persönlicher Zugang und Praxiszugang

Manche KZVen trennen im Online-Portal zwischen dem Zugang der Zahnärztin und einem Zugang für das Team, zum Beispiel Berlin und Schleswig-Holstein. Bei der KZV Berlin darf der persönliche Zugang nicht durch Dritte genutzt werden. Für das Personal beantragt die Zahnärztin einen eigenen Praxiszugang, entweder nur zum Einreichen der Abrechnung oder mit Vollzugriff auf Honorarkonto und Belege. Die KZV Schleswig-Holstein bietet einen Teamzugang an, über den seit März 2026 auch die Fallkommentare abrufbar sind. Die Zahnarztgutschriften sieht dort weiterhin nur, wer mit dem persönlichen Zugang angemeldet ist.

Für den Tresor bedeutet das: Der Praxis- oder Teamzugang kommt in die Sammlung der Abrechnung, der persönliche Zugang bleibt bei der Zahnärztin. Fragt das Portal beim Anmelden einen Bestätigungscode aus einer Authenticator-App ab, kann der geheime Schlüssel beim Eintrag liegen, und jede berechtigte Kollegin ruft den Code selbst ab. Wie das funktioniert und wo die Grenzen liegen, erklärt der Ratgeber Bestätigungscodes für mehrere Mitarbeiter. Am Tresor selbst gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Sammlungen für Behandlung, Verwaltung, Labor und Technik

Für das Praxiskonto gibt es keinen Eintrag im Tresor. Wer Überweisungen erledigt, lässt sich von der Bank einen eigenen Zugang mit Vollmacht einrichten, mehr dazu unter Onlinebanking für Mitarbeiter.

Lädt Ihr Intraoralscanner die Abformungen in ein Portal des Herstellers, aus dem das Labor sie abholt, halten Sie im Tresor beim Eintrag fest, auf welche E-Mail-Adresse es läuft und wer es in der Praxis verwaltet. Dann hängt es nicht an der einen Kollegin, die den Scanner eingerichtet hat.

Röntgenbilder, Scans und Befunde legen Sie nicht im Tresor ab, auch nicht als Dateianhang. Patientendaten gehören in die Praxisverwaltung, in den Tresor nur Zugangsdaten, Lizenzschlüssel und Wiederherstellungscodes.

Beispiel: Gemeinschaftspraxis mit Praxislabor

Eine erfundene Gemeinschaftspraxis: zwei Zahnärztinnen als Partnerinnen, ein angestellter Zahnarzt, sechs ZFA, eine Kollegin für Abrechnung in Teilzeit und ein Zahntechniker im eigenen Praxislabor. Bis vor einem Jahr gab es eine dritte Partnerin. Elf Personen arbeiten ständig mit der Datenverarbeitung, damit ist es nach der Richtlinie eine mittlere Praxis.

Die PIN des Praxisausweises kannten alle sechs ZFA, die PUK lag im Briefumschlag im Rezeptionsschrank. Als die dritte Partnerin ausschied, blieb der Praxisausweis in der Praxis, denn beim Wechsel eines Gesellschafters ist nach den Regeln der KZV Schleswig-Holstein in der Regel kein neuer Ausweis nötig. Niemand konnte aber sagen, wer außer ihr noch Zugang zur PUK hatte.

Heute steht die PIN in der Sammlung „TI“ für vier ZFA. Den PIN/PUK-Brief haben die Partnerinnen in den Praxissafe gelegt, in „Kartenverantwortung“ steht nur, wo er liegt. Der Zahntechniker sieht nur „Labor und Scans“. Die drei eZahnarztausweise tauchen im Tresor nicht auf. Beide Partnerinnen sind Eigentümerinnen der Organisation im Tresor. Für den Fall, dass eine länger ausfällt, haben beide dem angestellten Zahnarzt als Vertretung einen Notfallzugang eingeräumt, den Ablauf haben wir bei der Einrichtung festgelegt. Nach einer Übernahme sähe er alle Sammlungen und könnte Konten wiederherstellen. An die PUK käme er so nicht, weil sie nicht im Tresor liegt. Die IT-Firma der Praxis hat ein eigenes Konto, das nur die Sammlung „Röntgen und Geräte“ sieht. Mehr dazu im Ratgeber Notfallzugriff auf Firmenpasswörter.

Wenn jemand die Praxis verlässt

Geht eine ZFA, sperrt der Verantwortliche ihr Konto im Tresor und deaktiviert ihren Benutzer in der Praxisverwaltung. Kannte sie die PIN des Praxisausweises, ändern Sie die PIN. Danach folgen die Kennwörter der Sammlungen, die sie sehen konnte. Die übrigen Schritte stehen in der Checkliste für den Weggang eines Mitarbeiters.

Verlässt eine Zahnärztin die Praxis, nimmt sie ihren eZahnarztausweis und ihren persönlichen KZV-Zugang mit. Ein Praxiszugang der KZV Berlin gilt dagegen nur für die Abrechnungsnummer, für die er beantragt wurde. Ändert sich die Nummer, muss die Zahnärztin den Praxiszugang neu beantragen, und die Abrechnung ersetzt den alten Eintrag im Tresor.

Schweigepflicht, Betreiber und Kosten

Zahnärztinnen und Zahnärzte stehen in § 203 StGB unter den Berufen, die fremde Geheimnisse nicht unbefugt offenbaren dürfen. Für den Tresor zählt, was der Betreiber sehen kann: Die Apps auf den Geräten Ihres Teams verschlüsseln und entschlüsseln die Einträge, wir können sie nicht lesen. Bekannt sind uns nur Namen und E-Mail-Adressen der Nutzer und technische Protokolle. Ein Vertrag zur Auftragsverarbeitung gehört zum Angebot. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch.

Die Wartung kostet fest 16,99 € im Monat inkl. MwSt., egal wie viele Personen den Tresor nutzen, bei 12 Monaten Mindestlaufzeit und mit Einrichtung. Den Server mietet die Praxis bei netcup, ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Das Backup-Paket kostet 7,99 € im Monat inkl. MwSt., ohne dieses Paket sichern wir den Tresor nicht, die Praxis exportiert ihn dann selbst. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt. pro angefangener Viertelstunde. Für Arztpraxen gibt es eine eigene Seite zum Passwort-Manager für Arztpraxen. Ihre Praxis besprechen wir gern am Telefon oder per Video im kostenlosen Erstgespräch (15 Minuten).

Anlaufstellen