Kurz gesagt: Bei der Arztpraxis-Website geht es um Sicherheit für Gesundheitsdaten, nicht nur um eine Visitenkarte im Netz. Prüfen Sie, welche Formulare Daten speichern oder per Mail versenden, lassen Sie den PHP-Patchstand des Servers schriftlich bestätigen und sichern Sie bei Verdacht sofort die Logs.
Welche PHP-Systeme in Praxen und MVZ laufen
Die meisten Praxis-Websites basieren auf einem PHP-CMS, häufig WordPress, seltener TYPO3 oder Joomla. Spannend wird es bei den Zusatzfunktionen: Formulare für Rezept- und Überweisungsanfragen, Anamnesebögen zum Herunterladen oder Hochladen, Recall-Anmeldungen, Stellenanzeigen mit Bewerbungsupload und Online-Terminbuchung.
Die Terminbuchung ist oft ein externer Dienst, der nur eingebettet wird. Dann liegen die Termindaten beim Anbieter. Manche Praxen nutzen aber Buchungs-Plugins, die Termine samt Anliegen in der eigenen Website-Datenbank speichern. Genau diesen Unterschied sollten Sie kennen, bevor Sie das Risiko bewerten.
Gesundheitsdaten: warum die Website sensibler ist, als sie aussieht
Ein Satz wie „Ich brauche wieder mein Blutdruckmittel“ im Kontaktformular ist ein Gesundheitsdatum. Solche Angaben gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für Ärztinnen und Ärzte gilt zusätzlich die Schweigepflicht, deren Verletzung nach § 203 StGB strafbar sein kann.
Für die Website bedeutet das: Formulareinträge, die in der Datenbank liegen bleiben, Kopien in Formular-Plugins, Mail-Logs auf dem Server und hochgeladene Dokumente sind bei einem Angriff im Zugriff. Wer Code auf dem Server ausführt, liest sie in der Regel mit.
Lassen Sie prüfen, ob Ihr Formular-Plugin Einträge zusätzlich in der Datenbank speichert. Viele tun das standardmässig. Was nicht gespeichert ist, kann auch nicht abfliessen.
Was ein Ausfall oder Datenabfluss für die Praxis bedeutet
Fällt die Website aus, rufen Patientinnen und Patienten an, und das Praxistelefon ist ohnehin ausgelastet. Das ist ärgerlich, aber beherrschbar. Schwerer wiegt ein unbemerkter Angriff: Weiterleitungen auf betrügerische Seiten unter dem Namen der Praxis, gefälschte Formulare oder abgegriffene Anfragen mit Krankheitsbezug.
Ein solcher Vorfall kann Meldepflichten gegenüber der Datenschutzaufsicht auslösen, je nach Risiko auch die Benachrichtigung der Betroffenen. Die 72-Stunden-Frist der DSGVO beginnt, sobald Sie von der Verletzung Kenntnis haben. Klären Sie die Bewertung mit Ihrem Datenschutzbeauftragten.
Arztpraxis-Website und Sicherheit: die typische Zuständigkeitslücke
In Praxen gibt es meist drei Beteiligte, die sich jeweils für einen Teil zuständig fühlen:
| Beteiligter | Kümmert sich in der Regel um | Oft nicht im Blick |
|---|---|---|
| Praxis-IT-Dienstleister | PVS, Netzwerk, Konnektor, Arbeitsplätze | Website-Server beim Hoster |
| Webagentur | Design, Inhalte, Plugins | PHP-Version und Neustart des Servers |
| Hoster | Serverbetrieb | Formulardaten und Plugins der Praxis |
Bei PHP2Shell liegt die Lücke genau zwischen diesen Rollen: in PHP auf dem Webserver. Bei Shared Hosting ist meist der Hoster zuständig, die Bestätigung des Paketstands müssen Sie aber selbst anfordern. In MVZ mit mehreren Standorten kommt oft noch der Träger hinzu, der eigene Vorgaben macht.
Gibt es eine Brücke zwischen Website und Praxisnetz?
Meist läuft die Praxis-Website beim Hoster und hat keine direkte Verbindung zum Praxisverwaltungssystem. Es gibt aber Ausnahmen, die Sie kennen sollten: Formulare, die Daten automatisch in das PVS übertragen, ein Website-Server im eigenen MVZ-Rechenzentrum oder Zugangsdaten, die gleichzeitig für Website, Mailkonten und Fernwartung genutzt werden.
In solchen Fällen ist ein kompromittierter Webserver nicht nur ein Website-Problem. Lassen Sie Ihren Praxis-IT-Dienstleister und den Website-Betreuer gemeinsam prüfen, welche Verbindungen bestehen und welche Passwörter mehrfach verwendet werden. Für die Praxis-IT gelten zudem die Vorgaben der Kassenärztlichen Bundesvereinigung zur IT-Sicherheit. Wie weit sie die Website betreffen, klären Sie mit Ihrem Datenschutzbeauftragten.
Die ersten Stunden nach einer Warnung
- Den Hoster fragen, ob PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 steht oder ein Backport eingespielt ist, und ob alle PHP-Prozesse neu gestartet wurden.
- Ist das nicht bestätigt: Website vorübergehend abschalten oder durch eine statische Hinweisseite mit Telefonzeiten ersetzen, wie es das BSI für nicht patchbare Server empfiehlt.
- Server- und Zugriffslogs ab dem 20.10.2026 sichern.
- Auf Anzeichen einer Kompromittierung achten: unbekannte Dateien, neue Admin-Konten, geänderte Weiterleitungen.
- Datenschutzbeauftragten früh einbeziehen, nicht erst nach der Bereinigung.
Wie hilft PHP SOS konkret?
- Wir klären mit Hoster und Agentur, wer PHP patcht und neu startet, und holen die Bestätigung mit Paketstand ein.
- Wir prüfen, wo auf dem Webserver Formulardaten, Uploads und Mail-Kopien liegen, und ob Verbindungen ins Praxisnetz bestehen.
- Bei Verdacht sichern wir Spuren, suchen nach Webshells und bereinigen den Server im Rahmen unserer Notfallhilfe bei gehackten Websites.
- Wir dokumentieren den Vorfall so, dass Ihr Datenschutzbeauftragter die Meldepflicht bewerten kann.
- Anschliessend reduzieren wir gespeicherte Daten und härten den Server, damit beim nächsten Mal weniger auf dem Spiel steht.
Häufige Fragen
Ist meine Praxissoftware von PHP2Shell betroffen?
Das Praxisverwaltungssystem und der Zugang zur Telematikinfrastruktur laufen in der Regel getrennt von der Website. Betroffen sind PHP-Webserver, also meist die Praxis-Website und daran angebundene Formulare oder Portale. Ob es Verbindungen zwischen Website und Praxisnetz gibt, sollte Ihr IT-Dienstleister prüfen.
Sind Daten aus dem Kontaktformular Gesundheitsdaten?
Oft ja. Schon die Bitte um ein Folgerezept oder ein Terminwunsch wegen bestimmter Beschwerden lässt Rückschlüsse auf die Gesundheit zu. Solche Daten gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Die genaue Einordnung klären Sie mit Ihrem Datenschutzbeauftragten.
Muss ich Patienten informieren, wenn die Website gehackt wurde?
Das hängt davon ab, ob personenbezogene Daten betroffen sind und wie hoch das Risiko für die Patienten ist. Bei Gesundheitsdaten ist das Risiko häufig hoch. Die Entscheidung treffen Sie mit Ihrem Datenschutzbeauftragten, bei Bedarf mit anwaltlicher Beratung.
Wer ist bei der Praxis-Website für PHP-Updates zuständig?
Das steht im Hosting- oder Wartungsvertrag. Bei Shared Hosting und Managed Hosting patcht meist der Hoster, bei einem eigenen Server der beauftragte Dienstleister. Fehlt eine klare Regelung, sollten Sie sie jetzt schriftlich festhalten.