Passwort-Manager für Zahnarztpraxen in Kiel: Serviceportal und Karten

Serviceportal der KZV: Einmalcode beim persönlichen Zugang

Wer sich mit dem persönlichen Zugang ins Serviceportal der KZV Schleswig-Holstein einloggt, gibt nach Benutzername und Passwort einen sechsstelligen Einmalcode ein. Den erzeugt alle 30 Sekunden neu eine Authenticator-App oder ein kleines Gerät.

Eingerichtet wird das mit einem QR-Code, den die KZV per Anschreiben schickt. Laut den FAQ der KZV (Stand 15.03.2024) bleibt er dauerhaft gültig und lässt sich mit beliebig vielen Geräten einlesen. Wer das Anschreiben abfotografiert, hat den zweiten Faktor also auf Dauer. Bewahren Sie es verschlossen auf, hängen Sie es nicht als Datei an einen Eintrag einer Sammlung, und richten Sie den Code auf dem eigenen Handy der Inhaberin ein.

Die persönlichen Zugangsdaten erfragen die Praxisinhaber bei der KZV. Damit ruft die Inhaberin ihre Gutschriften bis zu fünf Monate vor dem Papierversand ab, sieht Fallhinweise und schickt den Honorarbescheid als PDF an ihr Steuerbüro. Auch den Praxisausweis bestellt sie nur mit diesem Zugang. Benutzername und Passwort gehören in ihren persönlichen Bereich, nicht in eine Sammlung, die Eigentümer und Administratoren immer mitsehen.

Teamzugang: bisher ohne zweiten Faktor

Für die Teamzugänge, über die eine Praxis ihre Abrechnung übermittelt, gilt die Zwei-Faktor-Regel nach Angabe der KZV bisher nicht. Dort schützt allein das Passwort. Ist die Praxis für die Expressauszahlung angemeldet, entscheidet, wer den Teamzugang nutzt, jeden Monat beim Datentransfer per Häkchen, ob die KZV 80 Prozent der ZE-Monatsabrechnung vorgezogen auszahlt, abzüglich 0,3 Prozent.

Legen Sie den Teamzugang deshalb in eine Sammlung nur für die Kolleginnen, die tatsächlich übertragen. Das Passwort erzeugen Sie mit dem Generator der Apps, lang und nur für dieses Portal, und ändern es, sobald eine Abrechnungskraft geht. Wann sich ein Code im Team teilen lässt, erklärt der Ratgeber 2FA im Team teilen.

Mehrere Praxisausweise: ein Eintrag je Karte

Laut KZV braucht eine Praxis in der Regel einen Praxisausweis (SMC-B) je Standort und für mobile Kartenterminals eine zusätzliche Karte. Hat sie mehrere, dokumentiert sie nach Ziffer 4.2 der KZV-Regeln (Stand November 2025) für jede Karte den Einsatzort, erkennbar an der Kartennummer (ICCSN). Den mobilen Kartenleser nimmt sie auf, die Besuchsorte nicht.

Im Tresor bekommt jede Karte einen eigenen Eintrag mit ICCSN und Einsatzort in der Notiz, die Dokumentation nach Ziffer 4.2 führt die Praxis trotzdem selbst. Die PIN der mobilen Karte liegt nur in der Sammlung derer, die Besuche begleiten: Nach Ziffer 5 bekommen Beschäftigte die PIN, soweit ihre Aufgaben es erfordern.

Die PUK darf nach Ziffer 4.1 nur an neue oder zusätzliche Kartenverantwortliche gehen. Sie bleibt im verschlossenen Brief, im Tresor steht nur, wo er liegt. Entzieht die Praxis jemandem das Nutzungsrecht, ändert eine Kartenverantwortliche nach Ziffer 6 die PIN. Mehr dazu auf der Seite Passwort-Manager für Zahnarztpraxen.

Kammerportal: Benutzername ist die hinterlegte E-Mail-Adresse

Im persönlichen Kundenportal der Zahnärztekammer ist der Benutzername laut Zahnärzteblatt 07/08 2025 die bei der Kammer hinterlegte E-Mail-Adresse, und an genau diese Adresse geht der Link für ein neues Passwort. Dort bestellt die Zahnärztin ihren eHBA, pflegt ihre Mitgliederdaten und findet den Bereich für Ausbildungsverträge.

Steht bei der Kammer die Adresse info@ der Praxis, kann jede Kollegin, die dieses Postfach liest, ein neues Passwort anfordern. Hinterlegen Sie deshalb für jede Zahnärztin ihre eigene Adresse, und legen Sie den Zugang in ihren persönlichen Bereich.

Gefälschter Bankbrief mit QR-Code

Am 4. August 2026 warnte die Kammer vor einem Brief im Aussehen einer Bank für Heilberufe, der eine angebliche Verifizierung per QR-Code verlangt und sonst mit der Abschaltung von App und Onlinebanking droht. Die Kammer rät, nicht zu scannen und keine Zugangsdaten oder TANs einzugeben.

Onlinebanking steht in keiner Sammlung, wer Zahlungen freigibt, hat einen eigenen Zugang mit Vollmacht (siehe Onlinebanking für Mitarbeiter). Bei allen anderen Konten schlägt die Browser-Erweiterung Zugangsdaten nur auf der gespeicherten Domain vor. Das hilft gegen nachgebaute Anmeldeseiten, eine Garantie ist es nicht.

Beispiel: zwei Inhaberinnen und eine Karte für Besuche

Ein erfundener Fall: Zwei Zahnärztinnen führen die Praxis gemeinsam, dazu kommen eine angestellte Zahnärztin, sechs ZFA, davon zwei in Ausbildung, und eine Abrechnungskraft in Teilzeit. Die angestellte Zahnärztin behandelt mit zwei ZFA auch Patienten in Pflegeheimen, mit einem mobilen Kartenterminal und eigenem Praxisausweis. Bisher steckten beide QR-Codes in derselben App auf dem Tablet am Empfang, und das Passwort des Teamzugangs klebte am Monitor der Abrechnung.

Heute erzeugt jede Inhaberin ihren Code nur auf dem eigenen Handy, die App auf dem Tablet haben sie gelöscht.

In den persönlichen Bereichen der Inhaberinnen liegen ihre Zugänge zum Serviceportal und zum Kammerportal, die beiden PUK-Briefe im Praxissafe. Eigentümerinnen der Organisation sind beide Inhaberinnen, nur sie laden ein und sperren Konten. Geht eine Auszubildende nach der Prüfung, sperrt eine von ihnen das Konto und ändert die PIN der Karte, die sie kannte, nach der Checkliste beim Weggang eines Mitarbeiters.

Was wir sehen und was im Vertrag steht

Ihre Passwörter können wir nicht lesen, die Inhalte sind Ende-zu-Ende-verschlüsselt. Für Namen, E-Mail-Adressen und Protokolle auf dem Server gibt es den Vertrag zur Auftragsverarbeitung. Auf Ihren Wunsch unterschreiben wir zusätzlich eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht. Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Alles Weitere besprechen wir im kostenlosen Erstgespräch (15 Minuten), per Video oder am Telefon.

Anlaufstellen für Zahnarztpraxen in Kiel