Cyberangriffe auf KMU: Wie schütze ich meine Praxis?

Lesezeit: ca. 5 Minuten | Letzte Aktualisierung: 20. Juli 2026

Cyberangriffe treffen längst nicht mehr nur grosse Konzerne — kleine Arztpraxen, Apotheken und Pflegebetriebe stehen zunehmend im Visier von Kriminellen. Das Bundesamt für Cybersicherheit (BACS) hat dieses Thema im Juni 2026 zum Schwerpunkt gemacht und warnt ausdrücklich: KMU werden gezielt angegriffen, weil sie oft weniger geschützt sind als grosse Unternehmen. Wenn Sie eine Praxis oder einen ambulanten Gesundheitsbetrieb führen, betrifft Sie das direkt.

Betrifft mich das?

Kurze Antwort: Ja — unabhängig von Ihrer Praxisgrösse.

Das BACS (früher NCSC) richtet seine Warnung ausdrücklich an Schweizer KMU — also Betriebe mit weniger als 250 Mitarbeitenden. Dazu gehören:

  • Einzelarztpraxen und Gruppenpraxen
  • Apotheken
  • Spitex-Organisationen
  • Kleine und mittlere Pflegeheime

Wichtige Abgrenzung: Die gesetzliche Meldepflicht bei Cyberangriffen nach dem Informationssicherheitsgesetz (ISG) gilt für Betreiber kritischer Infrastrukturen — im Gesundheitsbereich betrifft das im Wesentlichen Spitäler auf kantonalen Spitallisten, nicht ambulante Einzelpraxen.

Für Ihre Arztpraxis oder Apotheke gilt dennoch: Das neue Datenschutzgesetz (nDSG, gilt seit September 2023) verpflichtet Sie, Patientendaten angemessen zu schützen. Eine Datenpanne muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden, wenn sie voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt.

Für rechtliche Beratung zu Ihrer konkreten Situation wenden Sie sich an einen Anwalt oder an den EDÖB.

Was ist zu tun?

Das BACS empfiehlt KMU konkret, mit einem Notfallkonzept zu starten. Das klingt aufwendig, ist aber handhabbar — auch ohne IT-Abteilung. Hier die wichtigsten Schritte:

1. Den eigenen Ist-Zustand kennen

Bevor Sie irgendetwas installieren oder einkaufen: Überlegen Sie, welche digitalen Daten in Ihrer Praxis vorhanden sind. Wo liegen Patientendossiers? Welche Geräte sind mit dem Internet verbunden? Wer hat Zugang zu welchen Systemen?

2. Die häufigsten Angriffswege verstehen

Laut BACS treffen KMU vor allem drei Bedrohungen:

  • Phishing: Gefälschte E-Mails, die Passwörter oder Zugangsdaten stehlen. Oft sehen sie aus wie Nachrichten von der Krankenkasse, einem Lieferanten oder sogar von Mitarbeitenden.
  • Ransomware: Schadsoftware, die Ihre Dateien verschlüsselt und Lösegeld fordert. Für eine Praxis kann das bedeuten: kein Zugriff auf Patientendaten, keine Terminverwaltung, kein Betrieb.
  • Social Engineering: Kriminelle geben sich am Telefon oder per E-Mail als IT-Support, Behörde oder Lieferant aus, um vertrauliche Informationen zu erhalten.

3. Sofortmassnahmen umsetzen

Diese Schritte kosten wenig Zeit, bieten aber grossen Schutz:

  • Backups anlegen und testen: Sichern Sie Patientendaten täglich — und prüfen Sie regelmässig, ob die Wiederherstellung funktioniert. Ein Backup, das im Notfall nicht funktioniert, nützt nichts.
  • Updates nicht aufschieben: Halten Sie Betriebssystem, Praxissoftware und Router stets aktuell. Viele Angriffe nutzen bekannte Sicherheitslücken, für die es längst Updates gibt.
  • Starke Passwörter und Zwei-Faktor-Authentifizierung (2FA): Verwenden Sie für jeden Dienst ein eigenes, langes Passwort. Aktivieren Sie 2FA überall, wo es möglich ist — insbesondere für E-Mail und Praxissoftware.
  • Zugriffsrechte beschränken: Nicht jede MPA braucht Zugriff auf alle Patientendaten. Vergeben Sie Rechte nur so weit wie nötig.

4. Einen Notfallplan erstellen

Was tun, wenn es trotzdem passiert? Das BACS stellt ein Notfallkonzept-Modell für KMU bereit. Ihr Notfallplan sollte mindestens folgende Punkte enthalten:

  • Wen rufen Sie an, wenn Systeme ausfallen? (IT-Dienstleister, BACS-Hotline)
  • Wie informieren Sie Patientinnen und Patienten, wenn Daten betroffen sein könnten?
  • Wie melden Sie eine Datenpanne dem EDÖB?

Hinweis: Das BACS führt am 2. und 9. September 2026 zwei kostenlose Online-Brownbag-Lunches für KMU durch, um das Notfallkonzept-Modell vorzustellen. Die Anmeldung lohnt sich — auch für Praxisinhabende ohne IT-Kenntnisse. Weitere Informationen finden Sie auf der BACS-Website.

Checkliste: Cyberangriffe KMU Schutz — das Wichtigste auf einen Blick

  • [ ] Übersicht erstellen: Welche Geräte und Systeme sind in der Praxis im Einsatz?
  • [ ] Tägliche Datensicherung einrichten und monatlich auf Wiederherstellbarkeit testen
  • [ ] Software-Updates für alle Geräte automatisch aktivieren oder wöchentlich prüfen
  • [ ] Passwort-Manager einführen; für alle Konten eigene, starke Passwörter vergeben
  • [ ] Zwei-Faktor-Authentifizierung für E-Mail, Praxissoftware und Cloud-Dienste aktivieren
  • [ ] Zugriffsrechte überprüfen: Hat jede Person nur so viel Zugang wie nötig?
  • [ ] Team sensibilisieren: MPA und Mitarbeitende über Phishing-E-Mails informieren — z.B. an einer kurzen Teambesprechung
  • [ ] Notfallkontakte notieren: IT-Dienstleister, BACS-Meldestelle (Tel. 058 465 53 14 ), EDÖB
  • [ ] Notfallplan schriftlich festhalten: Was passiert bei einem Ausfall oder Datenverlust?
  • [ ] BACS-Brownbag-Lunch vom 2. oder 9. September 2026 besuchen (kostenlos, online)
  • [ ] Meldepflicht nDSG prüfen: Bei Datenpannen mit hohem Risiko Meldung an EDÖB prüfen

Tool-Tipp: ISMShield Micro für Ihre Praxis

Wenn Sie nicht wissen, wo Sie anfangen sollen, hilft ISMShield Micro — entwickelt für kleine Gesundheitsbetriebe ohne eigene IT-Abteilung.

Das Tool führt Sie Schritt für Schritt durch eine strukturierte Selbsteinschätzung: Wo stehen Sie beim Datenschutz? Welche technischen Grundmassnahmen fehlen noch? Was ist bei einem Cyberangriff zu tun?

Sie erhalten keine abstrakte Checkliste, sondern konkrete Massnahmen — zugeschnitten auf Ihre Praxis, Apotheke oder Spitex-Organisation.

👉 Mehr erfahren und starten auf /praxis/micro/starten/

Weitere Ratgeber zu nDSG, Datenpannen und Praxissicherheit finden Sie im ISMShield-Ratgeber für Gesundheitsbetriebe.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für Fragen zur konkreten Rechtslage wenden Sie sich an einen Anwalt oder direkt an den EDÖB.

Quellen: BACS/NCSC Sensibilisierung KMU, 03.06.2026 | nDSG auf Fedlex | EDÖB

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →
Weitere Ratgeber-Artikel