Ein Klick – und Ihre Patientendaten sind in fremden Händen.
Gesundheitsdaten lassen sich nicht zurückholen und nicht neu ausstellen. Deshalb sind Praxen ein bevorzugtes Ziel, und deshalb braucht Ihr Team im vollen Alltag ein sicheres Gespür für die eine gefälschte Mail. Genau das trainiere ich – ohne IT-Abteilung, ohne Fachchinesisch, in rund 60 Minuten pro Person.
Schulung, Phishing-Test, sechs Monate Auffrischung und Nachweis. Kein Abo. Eine Praxis mit sechs Personen zahlt 294 € netto.
Online, jederzeit unterbrechbar, auch in Etappen zwischen zwei Patienten. Ihr eigener Aufwand: Team eintragen, fertig.
Wer wann geschult wurde, plus Teamquote. Genau das, was die KBV-Richtlinie mit „Teilnahme überprüfen" meint.
Ich brauche nur Name und Mail-Adresse Ihrer Mitarbeitenden. Konnektor, KIM und Praxissoftware bleiben unberührt.
Was Kriminelle mit Patientendaten anfangen – und was es Sie kostet.
Den Wert Ihrer Daten können Sie kaum beziffern, die Angreifer können es. Patientendaten werden nicht „gestohlen", sie werden kopiert: Sie haben sie weiterhin, und jemand anderes jetzt auch.
Mit Diagnosen, Befunden oder Therapieverläufen in der Hand schreiben Täter die Betroffenen selbst an: Zahlung oder Veröffentlichung. Beim finnischen Psychotherapie-Anbieter Vastaamo traf das Zehntausende Patientinnen und Patienten.
Wird kein Lösegeld gezahlt, landen Laborwerte, Arztbriefe und Adressen offen im Netz, so 2025 nach dem Angriff auf die LUP-Kliniken in Mecklenburg-Vorpommern. Rückholen ist unmöglich.
Versichertennummer, Geburtsdatum und Adresse reichen für Betrug auf Namen Ihrer Patienten: Rezepte, Bestellungen, Konten. Der Verdacht fällt zuerst auf die Praxis, aus der die Daten stammen.
Verschlüsselte Systeme bedeuten: kein Zugriff auf Akten, Termine und Abrechnung, oft über Tage. Wiederanlauf, Forensik und Rechtsberatung kosten meist deutlich mehr als jedes Lösegeld.
Und das müssen Sie dann tun
Meldung an den Landesbeauftragten für Datenschutz, sobald ein Risiko für Betroffene nicht ausgeschlossen ist (Art. 33 DSGVO).
Information jedes betroffenen Patienten bei hohem Risiko, also praktisch immer bei Gesundheitsdaten (Art. 34 DSGVO).
Verantwortung für die Schweigepflicht (§ 203 StGB) und mögliche Bußgelder und Schadensersatz; Vertrauensverlust im Ort lässt sich nicht versichern.
Fast jeder dieser Fälle beginnt mit einer Mail, die eine Person für echt hielt. Dieses eine Erkennen trainiere ich.
So wird gerade Ihre Branche angegriffen.
Diese Szenarien bilde ich in realistischen Simulationen nach – damit Ihr Team sie im Ernstfall erkennt, statt sie erst im Schadensfall zu verstehen.
Angeblicher Honorarbescheid oder Abrechnungsfehler drängt zur Anmeldung auf einer nachgebauten Seite.
Eine Mail fordert zur „dringenden Aktualisierung" des Konnektors samt Zugangsdaten auf.
Ein angebliches Patientenanliegen bringt eine Schaddatei ins Haus – Einfallstor für Ransomware.
Eine vermeintliche Nachricht aus dem sicheren Netz führt auf eine gefälschte Anmeldung.
Was Sie müssen – und was Sie damit abhaken.
Für Praxen zählen die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V (bis 2025: § 75b) und die DSGVO. Die Richtlinie ist seit April 2025 neu gefasst, ihre Schulungspflichten gelten seit dem 1. Oktober 2025 für jede Praxisgröße. Jeder Punkt zeigt offen, ob ich ihn abdecke, teilweise unterstütze oder ob er bei Ihrer IT liegt – mit Bezug zum passenden Angriffsszenario.
Der Kurs ist genau die geforderte „dediziert auf IT-Sicherheit und Datenschutz fokussierte Schulung". Die KBV nennt E-Learning ausdrücklich als niedrigschwelligen Weg. Teilnahme und Datum stehen im Nachweis.
Passwörter und Zwei-Faktor-Schutz, Absender und Anhänge prüfen, Rückruf-Regel und Meldeweg sind eigene Kapitel des Kurses.
Sie durchlaufen denselben Kurs wie Ihr Team und sehen im Cockpit, wo die Praxis steht. Der Nachweis belegt beides.
Der Phishing-Test nach der Schulung zeigt, ob das im Alltag sitzt, mit TI-, KIM- und KV-nahen Motiven.
Neue Kolleginnen binden Sie per Klick ein und sie starten mit demselben Wissen. Die förmliche Verpflichtung und die Rückgabe von Zugängen bleiben bei Ihnen.
Die Richtlinie der KBV konkretisiert den Stand der Technik nach Art. 32. Geschultes Personal ist der organisatorische Teil, die Technik ergänzt Ihr IT-Dienstleister.
Der Kurs übt den internen Meldeweg: wer ruft wen an, was wird notiert, was bleibt aus. Die Meldung selbst und das Verzeichnis führen Sie bzw. Ihr Datenschutzbeauftragter.
Nicht Teil der Awareness – bei Ihnen bzw. Ihrem IT-Dienstleister.
Die KBV zertifiziert Praxen nicht und prüft nicht aktiv; die Richtlinie ist Mindeststandard und wird im Schadensfall und bei Anfragen der Datenschutzaufsicht zum Maßstab. Was die KBV von Großpraxen zusätzlich verlangt, nämlich den Lernerfolg zu messen (Anlage 3 Nr. 1), bekommen Sie bei mir ohnehin: Quiz und Teamquote.
Das haben Sie nach dem Durchlauf in der Hand.
Nichts davon schreiben Sie selbst. Nach dem letzten Abschluss im Team liegt alles im Cockpit, Sie laden es herunter und legen es zu Ihren Praxisunterlagen.
Wer wann geschult wurde, Teamquote des Phishing-Tests, Zeitstempel. Das Dokument, das die Aufsicht sehen will.
🔎 Zertifikat je Person, prüfbarJede Mitarbeiterin erhält eine Teilnahmebescheinigung, deren Echtheit jeder online prüfen kann.
🔒 AuftragsverarbeitungsvertragIch verarbeite Namen und Mail-Adressen Ihrer Mitarbeitenden. Der Vertrag dazu kommt mit der Registrierung zustande, als PDF für Ihre Datenschutzakte.
So sieht das konkret aus.
Cockpit, Team-Report, Zertifikat und Nachweis einer fiktiven Firma mit zwölf Personen. Alle Namen und Ergebnisse sind erfunden, der Aufbau ist exakt der, den Sie später selbst sehen.
Gruppen, eingetragene Personen und die offenen Kosten aus laufenden Vorgängen und Rechnungen. Von hier aus starten Sie Schulung, Ersttest oder Wiederholungslauf.
Klick- und Eingabequote des Teams, Einordnung im Vergleich zu allen Testläufen, Beteiligung an Schulung und Training. Anonymisiert.
Ergebnis im Überblick und Schutzniveau mit Empfehlung. Das PDF trägt einen Echtheits-QR und eignet sich für Audit, Versicherer und NIS2-Dokumentation.
Name, Kurs, Datum von Schulung und Praxistest, Normbezug, Unterschrift und prüfbare Zertifikatsnummer mit QR-Code.
Alle durchgeführten Schulungen mit Zeitstempel und Teilnahmequote, zugeordnet zu den Anforderungen. Auch für ISO 27001, DSGVO, AI Act und Cyberversicherung.
Jede Person sieht nur ihr eigenes Ergebnis: Reaktion je Testmail, woran der Betrug zu erkennen war, und was das Gerät verraten hat.
So läuft das Training bei mir ab.
Ihr Praxisalltag lässt keine Zeit für Schulungsprojekte. Deshalb passt sich das Training an Sie an: Vom Empfang bis zur Behandlung lernen alle dasselbe Grundwissen, jede Person wenn gerade Luft ist, ohne dass der Betrieb stillsteht.
Zwei Wege – Sie wählen, was zu Ihnen passt.
Ich schule Ihr Team persönlich – vor Ort oder online, im Gespräch und mit Beispielen aus Ihrem Alltag.
Jede Person lernt online auf ihrem Wunschweg – per Text oder Video, im eigenen Tempo, mit Auswahl der Inhalte.
Erst schulen, dann testen – bewusst in dieser Reihenfolge.
-
Initiale Schulung
Zuerst befähige ich Ihr Team (oder Sie tun es mit meinen Unterlagen). Alle starten mit demselben Grundwissen.
-
Phishing-Test zur Selbstüberprüfung
Erst danach folgt der simulierte Angriff – nicht als Prüfung, sondern als Selbstcheck: Jede Person sieht, ob das Gelernte im Alltag sitzt.
-
Sicherheitskultur, bei Bedarf aufgefrischt
Aus Schulung und Test wächst eine konstruktive Sicherheitskultur im Betrieb, die Sie zu gegebener Zeit einfach wiederholen.
Ihr Lagebild entsteht aus den Ergebnissen Ihres Teams nach der Schulung – es zeigt den Zustand, den Sie erreichen wollten, nicht den ungeschützten Startpunkt.
Der umgekehrte Weg, erst testen und dann schulen, ist technisch möglich. Gerade in einer Praxis, in der alle unter Zeitdruck arbeiten, kann ein Test „ins kalte Wasser" das Vertrauen belasten: Wer ungeschult auf eine gefälschte KV- oder TI-Mail hereinfällt, fühlt sich schnell vorgeführt statt befähigt.
Alles ohne Abo, nach Bedarf und immer mit meiner persönlichen Unterstützung.
Ein Ansprechpartner aus Südbaden, keine Hotline.
Ich bin Patrick Ihle, Gründer von secureIT, beruflich in der Informationssicherheit zu Hause und nebenberuflich seit über 20 Jahren Ausbilder und Dozent. secureIT ist mein eigener Betrieb in Ballrechten-Dottingen bei Freiburg. Praxen in Südbaden besuche ich auf Wunsch vor Ort, alle anderen begleite ich online. Sie schreiben mir, und ich antworte selbst.
Mehr über michPatientendaten gehören in kein KI-Werkzeug.
Einen Arztbrief umformulieren, einen Befund übersetzen, eine Patientenanfrage beantworten: KI ist in der Praxis schnell zur Hand. Mit Patientendaten wird daraus eine Offenbarung von Gesundheitsdaten an einen fremden Anbieter, mit Folgen nach DSGVO und Schweigepflicht. Seit Februar 2025 müssen Sie Ihr Team außerdem zur KI-Kompetenz schulen.
- Gesundheitsdaten sind besonders geschützt (Art. 9 DSGVO), die Schweigepflicht gilt auch gegenüber KI-Anbietern (§ 203 StGB)
- Schulungspflicht für alle, die KI nutzen (Art. 4 KI-Verordnung)
- Mein KI-Kurs mit Bescheinigung je Person und Muster-KI-Richtlinie für die Praxis
Für Ihre Praxis.
Der vollständige Abgleich mit DSGVO, Cyberversicherung und ISO 27001, falls Ihre Versicherung oder Ihr Verbund mehr fragt.
Kostenloser Selbsttest →Drei simulierte Phishing-Mails an Ihre eigene Adresse. So sehen Sie vorab, wie der Test für Ihr Team aussieht.
Über mich →Werdegang, Haltung und warum ich Phishing-Training als Ein-Mann-Betrieb anbiete.
Häufige Fragen
Reicht das für die KBV-IT-Sicherheitsrichtlinie?
Berührt die Phishing-Simulation meine TI, KIM oder Praxissoftware?
Wie viel Zeit kostet das mein Team wirklich?
Muss ich meine Mitarbeitenden vorher über den Phishing-Test informieren?
Was passiert mit den Daten meiner Mitarbeitenden?
Ist das ein Abo?
Was kostet das?
Hält der Effekt einer einmaligen Schulung überhaupt an?
Brauche ich dafür eine IT-Abteilung?
Wie läuft eine Schulung bei Ihnen ab?
Wird bei uns jemand vorgeführt oder überwacht?
Erfülle ich damit DSGVO, NIS2, ISO 27001 oder Versicherungsauflagen?
Was passiert bei Personalwechsel?
Bekomme ich einen Nachweis bzw. ein Zertifikat?
Deckt das auch KI-Betrug und Deepfakes ab?
Sind Schulen und Vereine wirklich kostenlos?
Wie schnell kann ich starten?
Ihre Frage ist nicht dabei?
Stellen Sie sie mir direkt. Eine E-Mail-Adresse brauchen Sie nur, wenn Sie meine Antwort erhalten möchten.
In einer Stunde eingerichtet, bis Freitag geschult.
Team eintragen, Kurs freischalten, fertig. Der Nachweis für die KBV-Richtlinie entsteht von selbst. Konto kostenlos, bezahlt wird erst beim Start.