Bitkom-Studie 2026: Was 270 Milliarden Euro Schaden für Arztpraxen bedeuten

Am 26. August 2026 hat der Bitkom gemeinsam mit dem Bundesamt für Verfassungsschutz die aktuellen Zahlen zum Wirtschaftsschutz vorgestellt. Die Überschriften daraus sind eindrucksvoll: 211 bis 270,8 Milliarden Euro Schaden pro Jahr, 96 Prozent der Unternehmen betroffen oder mit Verdacht, und ausländische Nachrichtendienste so häufig als Täter wie nie zuvor.

Arztpraxen tauchen in dieser Statistik nicht als eigene Gruppe auf. Trotzdem lohnt der Blick hinein, denn die Studie beantwortet eine Frage, die für jede Praxis relevant ist: Woran scheitert es eigentlich, wenn ein Angriff erfolgreich ist? Die Antwort hat nichts mit Nachrichtendiensten zu tun, sondern mit Erkennung, Konfiguration und Zugriffsrechten. Also mit genau dem, was die IT-Sicherheitsrichtlinie nach §390 SGB V von jeder Praxis ohnehin verlangt.

Was die Studie erhoben hat

Bitkom Research hat 1.003 Unternehmen ab 10 Beschäftigten und mindestens einer Million Euro Jahresumsatz telefonisch befragt, in den Kalenderwochen 16 bis 23 des Jahres 2026. Die Befragung ist repräsentativ für die deutsche Wirtschaft.

Für die Einordnung wichtig: Größere Gemeinschaftspraxen, MVZ und Dialysezentren fallen in dieses Raster, eine Einzelpraxis mit fünf Beschäftigten in der Regel nicht. Die Zahlen sind also kein direktes Abbild der ambulanten Versorgung. Die Angriffswege sind aber identisch, denn ein automatisierter Phishing-Versuch fragt nicht nach der Betriebsgröße.

Quelle: Bitkom: Angriffe auf die deutsche Wirtschaft, Spur führt zu ausländischen GeheimdienstenPressemitteilung vom 26. August 2026, repräsentative Befragung von 1.003 Unternehmen ab 10 Beschäftigten. Stand: 2026-08-27.

Die eigentliche Nachricht: das Dunkelfeld wächst

Im Vorjahr konnten 87 Prozent der betroffenen Unternehmen einen Angriff sicher nachweisen, 10 Prozent hatten nur einen Verdacht. Jetzt sind es 67 Prozent mit Nachweis und 29 Prozent mit Verdacht. Fast jedes dritte betroffene Unternehmen weiß also, dass etwas nicht stimmte, kann es aber nicht belegen.

Für eine Praxis ist das der unangenehmste Befund der ganzen Studie. Ein Angriff, der nicht nachweisbar ist, ist ein Angriff ohne Aufräumarbeiten. Niemand weiß, welche Zugangsdaten abgeflossen sind, welcher Rechner noch kompromittiert ist und ob überhaupt Patientendaten betroffen waren. Und ohne diese Information lässt sich die Meldepflicht nach Art. 33 DSGVO weder sauber erfüllen noch sauber ausschließen.

Die Aufklärung hängt in der Studie an einer unspektakulären Sache: 68 Prozent der Unternehmen, die einen Vorfall aufklären konnten, taten das über die Analyse von Log-Dateien. Wer keine zentrale Protokollierung hat, hat im Ernstfall nichts in der Hand.

Warum eine Praxis ein anderes Risikoprofil hat

Zwei Dinge unterscheiden eine Arztpraxis von einem Handwerksbetrieb gleicher Größe.

Die Datenart. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter engen Voraussetzungen erlaubt, die Anforderungen an die Sicherheit sind entsprechend hoch. Eine Datenpanne ist meldepflichtig, und der Schaden ist nicht nur ein Bußgeldrisiko, sondern ein Vertrauensschaden im Verhältnis zu den Patientinnen und Patienten. Was das im Detail bedeutet, steht im Beitrag zu den DSGVO-Pflichten in der Arztpraxis.

Die Betriebsabhängigkeit. Steht das Praxisverwaltungssystem still, steht die Praxis still. Terminplanung, Dokumentation, Abrechnung, Befunde, Medikationspläne: alles hängt am selben System. Ein Produktionsbetrieb kann bei einem IT-Ausfall oft noch einige Stunden weiterarbeiten, eine Praxis kaum. Was ein Tag Stillstand tatsächlich kostet, ist im Beitrag zu den IT-Ausfallkosten in der Arztpraxis durchgerechnet.

Dazu kommt die Angriffsfläche, die es so nur im Gesundheitswesen gibt: TI-Konnektor und Kartenterminals, angebundene Medizingeräte, Fernwartungszugänge von PVS-Hersteller und Geräteherstellern, Laborschnittstellen, KIM-Postfächer. Jede dieser Verbindungen ist notwendig, und jede ist ein Weg ins Netz.

Die Ursachen aus der Studie, übersetzt in Praxisalltag

Der praktisch wertvollste Teil der Studie ist die Ursachenliste. Gefragt nach den Gründen für erfolgreiche Cyberangriffe nennen die Unternehmen:

Keine dieser Ursachen ist exotisch. Und jede lässt sich direkt in einen Zustand übersetzen, den man in Praxen regelmäßig antrifft.

Die ersten drei Zeilen dieser Tabelle sind kein freiwilliges Programm. Persönliche Benutzerkonten, geregelte Zugriffsrechte, aktuelle Software und abgesicherte Fernzugänge verlangt die IT-Sicherheitsrichtlinie nach §390 SGB V ohnehin von jeder Praxis. Was die Bitkom-Studie beisteuert, ist der Nachweis, dass genau an diesen Anforderungen die Angriffe tatsächlich gelingen. Welche Anforderungen im Einzelnen gelten und ab welcher Praxisgröße, steht im Beitrag zur IT-Sicherheitsrichtlinie nach §75b beziehungsweise §390 SGB V.

Quelle: KBV: IT-Sicherheitsrichtlinie nach §390 SGB V (ehemals §75b)Anforderungen gestaffelt nach Praxisgröße, inklusive Anlagen zu Zugriffsrechten, Updates und Fernzugängen.

Quelle: BSI IT-Grundschutz-Kompendium

Nachrichtendienste und Lieferkette: betrifft das eine Praxis?

Die auffälligste Verschiebung der Studie betrifft die Täter. 37 Prozent der betroffenen Unternehmen ordnen mindestens einen Angriff einem ausländischen Nachrichtendienst zu, nach 28 Prozent im Vorjahr und 7 Prozent im Jahr 2023. Bei der Herkunft führen China mit 52 Prozent und Russland mit 49 Prozent, neu in relevanter Größe ist der Iran mit 9 Prozent. Wichtigste Tätergruppe bleibt aber die organisierte Kriminalität mit 62 Prozent.

Für eine Praxis ist die naheliegende Reaktion: Das betrifft uns nicht. Das stimmt in der Zielsetzung, aber nicht im Ergebnis. Staatlich gesteuerte Angriffe suchen Zugangswege über kleinere, schlechter geschützte Einrichtungen. Praxen sind für sich genommen selten das Ziel, aber sie hängen an Netzen und Diensten, die andere mitnutzen: Rechenzentren von PVS-Anbietern, Abrechnungsdienstleister, Gerätehersteller mit Fernzugang. Die Studie zeigt diesen Effekt in der Breite: 21 Prozent der betroffenen Unternehmen berichten, dass ihr Vorfall auch andere Unternehmen getroffen hat.

Praktisch ändert die Tätergruppe an den Schutzmaßnahmen nichts. Kriminelle und Nachrichtendienste nutzen dieselben offenen Fernzugänge und dieselben gestohlenen Zugangsdaten. Der Unterschied liegt darin, was danach passiert: Kriminelle verschlüsseln und erpressen, ein Dienst bleibt still und liest mit. Der zweite Fall landet im Dunkelfeld.

KI verändert vor allem den Empfangstresen

82 Prozent der Unternehmen gehen davon aus, dass Angreifer verstärkt Künstliche Intelligenz einsetzen. In den Zahlen ist der Effekt schon sichtbar: automatisierte Anrufe stiegen von 3 auf 14 Prozent, Deepfakes von 4 auf 8 Prozent. Erkannt wird KI vor allem an der automatisierten Anpassung von Angriffsversuchen (53 Prozent), an der Qualität gefälschter Audio- und Videoinhalte (48 Prozent) und an auffällig gut formulierten Texten und E-Mails (38 Prozent).

Für eine Praxis ist der kritischste Punkt der Anruf. Das klassische Muster lautet: Jemand meldet sich als Support des PVS-Herstellers oder als Techniker des Geräteherstellers, nennt ein plausibles Problem und bittet um Freigabe der Fernwartung oder um Nennung eines Zugangscodes. Bisher war die Stimme ein Anhaltspunkt, heute nicht mehr. Dasselbe gilt für E-Mails: Die Zeiten, in denen Phishing an Rechtschreibfehlern erkennbar war, sind vorbei.

Was funktioniert, ist kein Erkennungsmerkmal, sondern ein Verfahren:

• Fernwartung wird nie auf eingehenden Anruf hin freigegeben, sondern nur nach Rückruf an eine hinterlegte Nummer
• Zugangsdaten und Codes werden am Telefon grundsätzlich nicht genannt, auch nicht teilweise
• Änderungen an Bankverbindungen von Lieferanten oder Abrechnungswegen laufen immer über einen zweiten, bekannten Kanal
• Wer angerufen wird und unsicher ist, darf auflegen. Das muss die Praxisleitung ausdrücklich erlauben, sonst passiert es nicht

Diese vier Sätze gehören schriftlich in die Praxisorganisation, nicht in eine einmalige Schulung.

Ransomware sinkt, Entwarnung gibt es nicht

Bei den einzelnen Angriffsarten liegt Ransomware bei 25 Prozent, nach 34 Prozent im Vorjahr. Passwortangriffe folgen mit 18 Prozent, Phishing mit 16 Prozent, DDoS mit 15 Prozent, Schadsoftware und Spoofing mit je 11 Prozent.

Der Rückgang bei Ransomware zeigt vor allem eine Verschiebung der Methoden: Gleichzeitig stiegen die KI-gestützten Methoden deutlich, 63 Prozent der Unternehmen registrierten insgesamt mehr Angriffe, und kein einziges befragtes Unternehmen rechnet für die kommenden zwölf Monate mit einem Rückgang.

Für Praxen bleibt Ransomware trotzdem das Szenario mit der höchsten Wirkung, weil es den Betrieb sofort trifft. Die Verteidigung dagegen ist bekannt und hat wenig mit Software zu tun: getrennte, offline gehaltene Sicherungen, ein getesteter Rückspielweg und ein Ablauf, der ohne IT funktioniert. Zum Backup-Teil gibt es einen eigenen Beitrag zu den Backup-Strategien für das Praxisverwaltungssystem, zum Notbetrieb bei ausgefallener TI den Beitrag zur Soforthilfe bei Konnektor-Störungen.

Auffällig ist außerdem, wie stark klassische, physische Angriffe vertreten bleiben: Diebstahl von IT- und Telekommunikationsgeräten 60 Prozent, Diebstahl physischer Dokumente 37 Prozent, Abhören von Besprechungen vor Ort 33 Prozent. Für Praxen heißt das ganz konkret: Verschlüsselung von Notebooks, abschließbare Serverschränke, Bildschirmsperren am Empfang und die Frage, wer nach Feierabend Zutritt hat.

Quelle: BSI: Top 10 Ransomware-Maßnahmen

Vorbereitung sinkt, Budget stagniert

Zwei Werte sollten Praxisinhaber nachdenklich machen. Nur noch 43 Prozent der Unternehmen halten sich für sehr gut auf Cyberangriffe vorbereitet, nach 50 Prozent im Vorjahr. Gleichzeitig sehen nur noch 45 Prozent ihre Existenz durch einen erfolgreichen Angriff bedroht, nach 59 Prozent. Die Vorbereitung sinkt also, und die wahrgenommene Bedrohung sinkt mit.

Beim Budget liegen die befragten Unternehmen im Schnitt bei 18 Prozent des IT-Gesamtbudgets für Sicherheit, unverändert zum Vorjahr. BSI und Bitkom empfehlen 20 Prozent.

Wenn Sie den Zustand strukturiert erfassen wollen, statt nach Bauchgefühl zu entscheiden, hilft der IT-Reifegrad-Check für die Praxis als Raster.

Was jetzt konkret zu tun ist

Die Studie liefert keine neuen Maßnahmen, sie priorisiert die bekannten. In dieser Reihenfolge abgearbeitet decken die folgenden Schritte die drei Hauptursachen ab und zahlen gleichzeitig auf die Anforderungen nach §390 SGB V ein.

1. 1
   Protokollierung klären
   Fragen Sie Ihren IT-Betreuer, wo Protokolle von Server, Firewall, Virenschutz und Praxisverwaltungssystem zusammenlaufen, wie lange sie aufbewahrt werden und an wen eine Warnung geht. Halten Sie die Antwort schriftlich fest. Ohne diesen Punkt bleibt jeder Vorfall unaufklärbar.
2. 2
   Persönliche Konten durchsetzen
   Jede Mitarbeiterin und jeder Mitarbeiter arbeitet mit einem eigenen Konto, auch am Empfang. Sammelkonten abschaffen, Rechte nach Rolle vergeben, Konten ausgeschiedener Personen am letzten Arbeitstag deaktivieren. Das ist zugleich eine Pflicht aus der IT-Sicherheitsrichtlinie.
3. 3
   Fernwartungszugänge inventarisieren
   Listen Sie alle Fernzugänge auf: PVS-Hersteller, Geräteanbieter, Labor, IT-Betreuer. Für jeden Zugang festhalten, wer ihn nutzt, ob er dauerhaft offen ist und ob er noch gebraucht wird. Nicht mehr benötigte Zugänge abschalten, verbleibende nur nach aktiver Freigabe öffnen.
4. 4
   Konfiguration prüfen und dokumentieren
   Firewall-Regeln, Portfreigaben und die Trennung von Praxisnetz, Gerätenetz und Gast-WLAN einmal vollständig durchgehen. Jede Regel, die niemand mehr begründen kann, kommt weg. Das Ergebnis wird dokumentiert, damit die nächste Prüfung schneller geht.
5. 5
   Telefonregel einführen
   Keine Freigabe von Fernwartung auf eingehenden Anruf, keine Nennung von Zugangsdaten am Telefon, Rückruf nur an hinterlegte Nummern. Vier Sätze, schriftlich, am Empfang sichtbar. Die Praxisleitung muss ausdrücklich erlauben, im Zweifel aufzulegen.
6. 6
   Notfallablauf und Meldewege festlegen
   Wer wird in welcher Reihenfolge informiert, wer entscheidet über das Abschalten von Systemen, wie läuft die Praxis einen Tag ohne PVS weiter, welche Landesdatenschutzbehörde ist zuständig. Ein Dokument, das auch ohne Netz verfügbar ist, weil es ausgedruckt im Ordner liegt.

Einordnung

Der Wert dieser Studie liegt für Praxen nicht in den Milliardenzahlen und nicht in der Geheimdienst-Schlagzeile. Er liegt in der Ursachenliste. Sie zeigt, dass erfolgreiche Angriffe fast immer an denselben drei Stellen ansetzen: fehlende Erkennung, gewachsene Fehlkonfiguration, unsaubere Zugriffsrechte.

Das ist unbequem, weil es die Verantwortung nicht an einen übermächtigen Gegner delegiert. Es ist aber auch die gute Nachricht, denn alle drei Punkte sind mit laufender Betreuung und Dokumentation lösbar, unabhängig davon, wer im konkreten Fall angreift. Entscheidend ist, dass sie jemandem gehören. Wo IT-Sicherheit zwischen Praxisleitung, PVS-Hersteller und wechselnden Dienstleistern liegt, entstehen genau die Lücken, die in dieser Statistik als Ursache auftauchen. Woran Sie erkennen, ob Ihre Betreuung das leistet, steht im Beitrag Guter IT-Dienstleister für die Arztpraxis.

Wenn Sie prüfen möchten, wie Ihre Praxis bei den drei Hauptursachen aus der Studie tatsächlich steht, sprechen Sie uns an. ITCC betreut Arztpraxen, MVZ und Dialysezentren als externe IT-Abteilung und arbeitet Protokollierung, Zugriffsrechte und Fernwartung im laufenden Betrieb ab, statt daraus ein Projekt zu machen.