IT für Zahnarztpraxen: KZBV-Richtlinie, Röntgendaten & ePA

Von Alex Arnold·Aktualisiert am 16. Oktober 2026·7 Min. Lesezeit

Die IT einer Zahnarztpraxis muss die IT-Sicherheitsrichtlinie der KZBV erfüllen, Röntgenbilder über lange Fristen sicher aufbewahren und die elektronische Patientenakte bedienen. Seit dem 2. Januar 2026 gelten neue Pflichten aus der Richtlinie, unter anderem zu Updates, Datensicherung und Cloud-Diensten. Röntgenbilder von Erwachsenen sind zehn Jahre aufzubewahren, die von Minderjährigen bis zu deren 28. Lebensjahr.

Was die IT einer Zahnarztpraxis besonders macht

Im Zentrum steht das Praxisverwaltungssystem (PVS). Es hat nach der Praxisinformation der KZBV zahlreiche Schnittstellen, unter anderem zur Telematikinfrastruktur und zu digitalen Röntgengeräten. Drei Dinge unterscheiden eine Zahnarztpraxis von einem gewöhnlichen Büro:

• Bildgebung im Netz: Digitale Röntgengeräte, etwa für Orthopantomogramme (OPG), sind über Schnittstellen mit dem PVS und dem Praxisnetz verbunden. Die KZBV nennt veraltete Software- und Betriebssystemversionen, offene Schnittstellen und unveränderte Standardpasswörter als kritische Angriffsflächen bildgebender Systeme.
• Rechner im Behandlungszimmer: Patientinnen und Patienten sitzen dort mitunter allein vor einem angemeldeten Arbeitsplatz; die KZBV beschreibt das als typisches Risiko.
• Lange Aufbewahrung: Röntgenbilder von Kindern müssen mehr als zwei Jahrzehnte lesbar bleiben, über den Wechsel von Software und Dienstleister hinweg.

Konnektor und Kartenterminals sind Bausteine der Telematikinfrastruktur, die Zahnarzt- und Arztpraxen gleichermaßen nutzen. Was sie verlangen und welche Fristen laufen, steht im Ratgeber IT-Betreuung für Arztpraxen.

Welche Anlage der KZBV-Richtlinie für Ihre Praxis gilt

Grundlage ist § 390 SGB V. Die Richtlinie der KZBV teilt die Praxen nach der Zahl der ständig mit der Datenverarbeitung betrauten Personen ein. Gezählt werden Voll- und Teilzeitkräfte, die regelmäßig Daten verarbeiten; in der Regel ist das das ganze Team samt Praxisinhaberin oder Praxisinhaber.

Als Großgeräte nennt die Richtlinie unter anderem Computertomographen und Magnetresonanztomographen, ausdrücklich auch das Dental-MRT. Jede Anforderung gilt nur, soweit das betroffene Gerät oder System in der Praxis genutzt wird. Anlage 5 regelt die Komponenten der Telematikinfrastruktur.

Die KBV hat für Arztpraxen eine eigene Richtlinie mit denselben Größenstufen. Wie sie aufgebaut ist und was das Zertifikat für IT-Dienstleister aussagt, erklärt der Ratgeber zur IT-Sicherheitsrichtlinie der KBV; das Zertifizierungsverfahren führt die KBV auch für den zahnärztlichen Bereich durch.

Seit 2. Januar 2026 neu: Personal, Updates, Datensicherung, Cloud

Die KZBV hat die neuen Anforderungen in einer Übersicht mit Hinweisen zur Umsetzung zusammengefasst. Die wichtigsten für jede Praxis, mit ihrer Nummer in Anlage 1:

Für eine Zahnarztpraxis ist A1-17 die folgenreichste Anforderung. Läuft die Software eines Röntgensensors oder eines Scanners auf einem Betriebssystem, das keine Sicherheitsupdates mehr bekommt, muss das Gerät ausgemustert oder vom übrigen Praxisnetz getrennt werden. Die Trennung stimmt der IT-Dienstleister laut KZBV mit dem Hersteller der Medizintechnik ab. Wie ein geregelter Update-Prozess aussieht, beschreibt Was ist Patch-Management?.

Bei der Datensicherung lohnt der Blick auf A1-23 und A1-50 zusammen: Ein Cloud-Backup kommt nur infrage, wenn der Anbieter ein aktuelles C5-Testat nach § 393 SGB V vorlegt. Wie eine Sicherung aufgebaut ist, die auch einen Verschlüsselungsangriff übersteht, erklärt die 3-2-1-Regel für Backups.

Röntgenbilder: Aufbewahrung, Schutz und Weitergabe

Nach § 85 Strahlenschutzgesetz sind Aufzeichnungen sowie Röntgenbilder, digitale Bilddaten und sonstige Untersuchungsdaten aufzubewahren:

• bei Untersuchungen einer volljährigen Person zehn Jahre,
• bei Untersuchungen einer minderjährigen Person bis zur Vollendung ihres 28. Lebensjahres.

Die Aufzeichnungen sind gegen unbefugten Zugriff und unbefugte Änderung zu sichern (Abs. 1). Auf Verlangen sind sie samt Röntgenbildern und Bilddaten der zahnärztlichen Stelle vorzulegen (Abs. 3).

Rechenbeispiel: Eine Aufnahme eines achtjährigen Kindes aus dem Jahr 2026 muss bis 2046 verfügbar bleiben. In diese Zeit fallen mehrere Wechsel von Rechnern, Röntgensoftware und vielleicht auch des IT-Dienstleisters. Für die IT folgt daraus:

1. Das Bildarchiv gehört in die Datensicherung und in den Wiederherstellungstest, nicht nur die Datenbank des PVS.
2. Vor jedem Wechsel der Röntgensoftware klären, in welchem Format die Bilder exportiert werden und mit welchem Programm sie danach lesbar sind.
3. Schreibrechte auf das Archiv so vergeben, dass Bilder nicht unbemerkt verändert oder gelöscht werden können.

Für die Überweisung an eine kieferchirurgische Praxis empfiehlt die KZBV, Röntgenaufnahme und Befund über KIM (Kommunikation im Medizinwesen) zu senden und nicht per E-Mail: Jede KIM-Nachricht ist Ende-zu-Ende verschlüsselt und digital signiert.

Elektronische Patientenakte: was die Praxis-IT leisten muss

Seit dem 1. Oktober 2025 müssen Zahnarztpraxen nach Angaben der KZBV die „ePA für alle“ nutzen. Technisch braucht die Praxis dafür vor allem ein Update ihres Praxisverwaltungssystems. Für den IT-Dienstleister heißt das: PVS-Updates und die Komponenten der Telematikinfrastruktur gehören in denselben Wartungsplan.

Fünf Situationen aus dem Praxisalltag

Die Praxisinformation der KZBV beschreibt typische Schwachstellen und was dagegen hilft:

1. Tablet für die Anamnese: Ein Kiosk-Modus beschränkt das Gerät auf die vorgesehene App. Verarbeitet ein Dienst Dritter die Daten, ist ein schriftlicher Vertrag zur Auftragsverarbeitung nötig.
2. Gast-WLAN im Wartezimmer: strikt vom Praxisnetz getrennt, mit starkem Passwort, nicht für Praxiszwecke genutzt.
3. Offene Netzwerkdose: Aktive Dosen in nicht beaufsichtigten Räumen werden abgesichert oder stillgelegt; alle Dosen gehören in die Inventarisierung.
4. Patient allein im Behandlungszimmer: Arbeitsplätze beim Verlassen sperren (unter Windows mit Windows-Taste + L) und eine Bildschirmsperre nach wenigen Minuten einrichten.
5. Anruf vom angeblichen Software-Support: Wer nach einem Passwort fragt, bekommt keins, auch nicht bei angeblichem Systemfehler.

Für die Bestandsaufnahme stellt die KZBV eine Mustervorlage zur Inventarisierung bereit (Stand März 2026). Was im Ernstfall zu tun ist, fasst die IT-Notfallkarte des BSI zusammen; wie daraus ein Plan für den Ausfall der Praxis-IT wird, zeigt IT-Notfallplan erstellen.

Woran Sie einen passenden IT-Dienstleister für die Zahnarztpraxis erkennen

Einen zertifizierten Dienstleister zu beauftragen, ist laut KZBV keine Pflicht. Das Zertifizierungsverfahren führt im Einverständnis mit der KZBV die KBV durch. Wichtiger als das Zertifikat sind Antworten auf diese Fragen:

• Kennt er Ihre Systeme? Erfahrung mit Ihrem Praxisverwaltungssystem und Ihrer Röntgensoftware, und Kontakt zu den Herstellern Ihrer Geräte.
• Wer spielt welche Updates ein? Die Zuständigkeit nach A1-15 gehört schriftlich in den Vertrag, getrennt nach PVS, Röntgensoftware, Betriebssystemen und Telematikinfrastruktur.
• Wie wird die Sicherung getestet? Eine Wiederherstellung je Quartal mit Protokoll, einschließlich des Bildarchivs.
• Wo liegen die Daten? Ein Cloud-Backup nur mit aktuellem C5-Testat des Anbieters.
• Ist die Verschwiegenheit geregelt? Eine schriftliche Vertraulichkeitsvereinbarung nach A1-04, bevor Techniker an Patientendaten kommen.
• Ist er in der Sprechstunde erreichbar? Fällt das PVS am Vormittag aus, steht die Behandlung.

Einen ersten Eindruck vom Stand der eigenen IT gibt der IT-Sicherheits-Check mit zwölf Fragen. Den Abgleich mit den Anlagen der Richtlinie ersetzt er nicht.

Dieser Artikel gibt die Vorgaben verkürzt wieder, Stand Oktober 2026, und ersetzt keine Rechtsberatung.

Quellen und Stand

Stand: Oktober 2026.

• Kassenzahnärztliche Bundesvereinigung: IT-Sicherheit in der Zahnarztpraxis, mit Fragen und Antworten – abgerufen am 16.10.2026
• Kassenzahnärztliche Bundesvereinigung: Richtlinie nach § 390 SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit – abgerufen am 16.10.2026
• Kassenzahnärztliche Bundesvereinigung: Praxisinformation „Die IT-Sicherheitsrichtlinie: Was ist neu?“ (Juli 2025) – abgerufen am 16.10.2026
• Kassenzahnärztliche Bundesvereinigung: Praxisinformation „IT-Sicherheit in der Zahnarztpraxis“ (Juli 2025) – abgerufen am 16.10.2026
• Bundesministerium der Justiz und für Verbraucherschutz: Strahlenschutzgesetz, § 85 (Aufzeichnungs-, Aufbewahrungs- und Mitteilungspflichten bei der Anwendung am Menschen) – abgerufen am 16.10.2026