System-Härtung & Patch-Management in der Arztpraxis 2026

Auf einen Blick (TL;DR): «Härten» bedeutet, IT-Systeme bewusst so zu konfigurieren, dass möglichst wenig Angriffsfläche bleibt — unnötige Dienste aus, Verschlüsselung an, klare Update-Routine. Zusammen mit konsequentem Patch-Management ist das eine der wirksamsten und günstigsten Sicherheitsmassnahmen einer Arztpraxis. Die FMH verlangt dies in Empfehlung 7 ihres IT-Grundschutzes. Akut: Der Support für Windows 10 endete am 14. Oktober 2025 — solche End-of-Life-Systeme gehören geplant ersetzt.

> Hinweis: Dieser Beitrag erklärt die organisatorische und technische Seite der System-Härtung. Die konkrete Umsetzung gehört in die Hand eines qualifizierten IT-Partners; produktspezifische Schritte hängen von Ihren Geräten und Ihrer Praxissoftware ab.

Was bedeutet «Härten» — und warum es die Angriffsfläche verkleinert

Vergrössern

Geräte und Systeme werden ab Werk oft auf Komfort statt auf Sicherheit ausgeliefert: aktive Standarddienste, Gastkonten, automatische Programmstarts. Jede dieser Funktionen ist ein potenzielles Einfallstor. System-Härtung schaltet ab, was nicht gebraucht wird, und konfiguriert den Rest sicher. Das Ergebnis: weniger angreifbare Stellen, weniger Fehlerquellen, ein stabilerer Praxisbetrieb. Härtung ist damit eine angemessene technische Massnahme im Sinne des revidierten Datenschutzgesetzes (revDSG).

Updates und Patch-Management: zeitnah und automatisch

Die meisten erfolgreichen Angriffe nutzen bekannte, längst behebbare Sicherheitslücken. Entscheidend ist deshalb ein geregeltes Patch-Management:

End-of-Life-Systeme rechtzeitig ersetzen

Erhält ein System keine Sicherheitsupdates mehr, ist es dauerhaft verwundbar. Aktuelles Beispiel: Der Support für Windows 10 endete am 14. Oktober 2025. Solche Geräte sollten geplant ersetzt oder — wo unumgänglich — über kostenpflichtige, befristete Übergangsprogramme abgesichert und strikt isoliert werden. Ein vorausschauender Hardware-Lebenszyklus verhindert teure Notfallaktionen.

Konkrete Härtungsmassnahmen für Praxisgeräte

E-Mail-Server: gefährliche Dateitypen blockieren

Ein grosser Teil der Schadsoftware kommt per E-Mail-Anhang. Der E-Mail-Server bzw. das Mail-Gateway sollte riskante Dateitypen grundsätzlich blockieren — etwa .JS, .EXE, .VBS, .DOCM und weitere ausführbare oder makrofähige Formate. Das nimmt Druck von der Wachsamkeit der Mitarbeitenden, ersetzt sie aber nicht.

Medizingeräte: eigene Netzwerkzone statt ungeschützt im Praxisnetz

Labor-, Röntgen- oder Diagnostikgeräte laufen oft mit veralteter, nicht aktualisierbarer Software. Sie gehören deshalb in eine eigene, abgeschottete Netzwerkzone (VLAN), getrennt von Arbeitsplätzen und Praxissoftware — siehe Firewall & Netzwerksicherheit. So kann eine Schwachstelle im Gerät nicht das ganze Netz gefährden.

Betriebskritische Hardware: Garantie und Ersatzgeräte

Für Geräte, ohne die die Praxis stillsteht (Server, zentrale Switches), gehören eine gültige Herstellergarantie und ein Ersatz- bzw. Wiederanlaufkonzept zum Härtungsgedanken. Das verbindet sich direkt mit dem IT-Notfallplan.

Häufig gestellte Fragen (FAQ)