Warum ist ein Backup ohne Rücksicherungstest keine Sicherung?
Kurz gesagt
Weil sich erst beim Zurückspielen zeigt, ob die Daten wirklich wiederherstellbar sind. Eine grüne Statusanzeige beweist nur, dass etwas gelaufen ist. Die KBV-Richtlinie nach § 390 SGB V sieht deshalb einen Test der Datensicherung vor, das BSI verlangt ihn im IT-Grundschutz regelmäßig. Ein datiertes Protokoll macht den Test nachweisbar.
Eine Datensicherung, die nie zurückgespielt wurde, ist keine Sicherung. Sie ist eine Annahme.
Warum täuscht die grüne Anzeige?
Viele Praxen haben ein Backup eingerichtet, und die Statusanzeige ist grün. Das fühlt sich nach Sicherheit an. Ob es tatsächlich eine ist, zeigt sich erst, wenn jemand versucht, die Daten wiederherzustellen. Das BSI beschreibt genau diese Gefährdung: Regelmäßige Sicherungen gewährleisten nicht automatisch, dass sich die Daten auch problemlos wiederherstellen lassen. Wird das nicht regelmäßig getestet, kann es sein, dass es nicht geht.
Was verlangt die IT-Sicherheitsrichtlinie der KBV?
Die Richtlinie nach § 390 SGB V regelt die Datensicherung in Anlage 1, die für jede Praxis gilt:
- Sämtliche relevanten Daten sind regelmäßig zu sichern.
- Die Datensicherung muss vor unbefugtem Zugriff geschützt werden.
- Es muss festgelegt werden, wie die Daten gesichert werden und wer dafür zuständig ist.
- Es sollte getestet werden, ob die gesicherten Daten funktionsfähig und vollständig vorhanden sind.
Die Anforderungen zu Schutz, Art, Zuständigkeit und Test sind mit der überarbeiteten Richtlinie hinzugekommen und gelten seit dem 1. Oktober 2025. Das BSI geht im IT-Grundschutz weiter: Dort muss regelmäßig getestet werden, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen.
Was prüft ein Rücksicherungstest konkret?
- Lässt sich die Sicherung überhaupt öffnen und auf ein Testsystem zurückspielen?
- Sind die Daten vollständig, geprüft an Stichproben: ein aktueller Eintrag von gestern, ein älteres Dokument, ein Scan?
- Arbeitet die Praxissoftware mit den zurückgespielten Daten?
- Wie lange hat die Wiederherstellung gedauert? Das BSI fragt ausdrücklich nach der angemessenen Zeit.
Warum gehört ein Protokoll dazu?
Die Richtlinie schreibt keine bestimmte Form vor. Verantwortlich für ihre Einhaltung ist aber der Praxisinhaber, und ein Test, der nirgends steht, lässt sich nicht belegen. Ein Protokoll mit Datum, geprüften Daten und Ergebnis ist das Dokument, das eine Prüfung, eine Versicherung oder ein Nachfolger sehen will. Bei iTechGenius wird die Sicherung vierteljährlich zurückgespielt, mit schriftlichem Protokoll.
Wer ist für die Sicherung zuständig?
Das muss nach der Richtlinie festgelegt sein. Es kann eine Person im Team sein oder ein Dienstleister. Entscheidend ist, dass es aufgeschrieben ist und dass es eine Vertretung gibt, wenn diese Person im Urlaub oder krank ist. Eine Sicherung, um die sich nur eine Person kümmert, hat dieselbe Schwachstelle wie ein Passwort, das nur eine Person kennt.
Was bedeutet ein Ausfall?
Steht die Technik, stehen die Behandlungen. Wer im Ernstfall feststellt, dass die Sicherung nicht trägt, stellt es an genau dem Tag fest, an dem alles davon abhängt. Das BSI nennt einen weiteren Grund, warum der Ernstfall oft schlimmer ausfällt als gedacht: Viele Erpressungsprogramme suchen gezielt nach Netzlaufwerken mit Schreibzugriff. Liegt die Sicherung dort ungeschützt, wird sie gleich mit verschlüsselt.
Was sollten Sie jetzt tun?
- Festlegen und aufschreiben, wie gesichert wird und wer zuständig ist.
- Prüfen, ob die Sicherung vor unbefugtem Zugriff und vor Überschreiben geschützt ist und räumlich getrennt vom gesicherten System liegt.
- Prüfen, ob sich die Sicherung tatsächlich zurückholen lässt, auf ein Testsystem, nicht über das laufende.
- Das Ergebnis mit Datum protokollieren.
- Den Test in einen festen Rhythmus legen.
Wo liegt die Grenze?
Ein erfolgreicher Test zeigt, dass die geprüften Daten zum geprüften Zeitpunkt wiederherstellbar waren. Er garantiert nicht, dass jede Sicherung danach genauso funktioniert. Deshalb der feste Rhythmus. Und keine Sicherungsvariante leistet alles: Zu jeder sagen wir vorher, was sie nicht abdeckt, etwa wie weit sie zurückreicht oder wie lange eine vollständige Wiederherstellung dauert.
Die Datensicherung ist nur ein Teil der Richtlinie. Die Schulung des Teams gehört ebenso dazu, siehe § 390 SGB V: Wie weisen Praxen die Schulungspflicht nach?. Vor einem Wechsel der Praxissoftware ist der Rücksicherungstest besonders wichtig, siehe Was passiert mit den Altdaten beim Wechsel?. Und wer eine Praxis übernimmt, sollte ihn Teil der Bestandsaufnahme vor der Übernahme sein lassen.
Wie wir den Rücksicherungstest in Praxen umsetzen und wie Sie ein Erstgespräch vereinbaren, steht auf der Seite IT für Arztpraxen.
Häufige Fragen
Muss eine Praxis ihre Datensicherung testen?
Die IT-Sicherheitsrichtlinie der KBV nach § 390 SGB V sieht vor, dass getestet werden sollte, ob die gesicherten Daten funktionsfähig und vollständig vorhanden sind. Verpflichtend sind die regelmäßige Sicherung, ihr Schutz vor unbefugtem Zugriff und die Festlegung, wie gesichert wird und wer zuständig ist. Im IT-Grundschutz des BSI ist der regelmäßige Test eine Basis-Anforderung.
Wie oft sollte die Sicherung zurückgespielt werden?
Die KBV-Richtlinie nennt keinen festen Abstand, das BSI verlangt einen regelmäßigen Test. Entscheidend ist, dass der Rhythmus festgelegt, aufgeschrieben und eingehalten wird. Bei iTechGenius wird die Sicherung vierteljährlich zurückgespielt, und jedes Mal entsteht ein schriftliches Protokoll mit Datum und Ergebnis.
Was gehört in ein Wiederherstellungsprotokoll?
Mindestens das Datum, welche Daten zurückgespielt wurden, auf welches System, wer den Test durchgeführt hat und ob die Daten vollständig und lesbar waren. Hilfreich ist zusätzlich die Dauer der Wiederherstellung. Das BSI fragt ausdrücklich, ob Daten in angemessener Zeit zurückgespielt werden können.
Reicht ein Backup auf einer Netzwerkfestplatte?
Nur, wenn sie geschützt ist. Nach dem BSI suchen viele Erpressungsprogramme nach Netzlaufwerken mit Schreibzugriff und verschlüsseln auch die Sicherungen dort. Die Sicherung muss vor unbefugtem Zugriff und vor Überschreiben geschützt sein und räumlich getrennt vom gesicherten System aufbewahrt werden.
Passend für Ihr Umfeld
Was heißt das für Ihre Geräte?
Im Erstgespräch sehen wir uns an, was dieser Beitrag für Ihre Macs, iPhones und iPads konkret bedeutet. Sie bekommen eine klare Einschätzung, ohne dass Sie etwas bestellen müssen.
Erstgespräch vereinbaren
