IT-Inventar für die Arztpraxis: Geräte, Software und Zertifikate

Auf einen Blick (TL;DR): Ein IT-Inventar ist die vollständige, gepflegte Liste aller ICT-Mittel Ihrer Praxis, von der Workstation über den Switch bis zum Röntgengerät und zur Praxissoftware. Die FMH-Empfehlung 2 des IT-Grundschutz, die zweite von 11 Empfehlungen, bringt den Grund auf den Punkt: «Es kann nur geschützt werden, was bekannt ist.» Jeder Eintrag braucht festgelegte Attribute, von System-ID und Standort über Garantie bis zum Ablaufdatum der SSL/TLS-Zertifikate. Gepflegt wird laufend, überprüft mindestens einmal jährlich. Mehr zum gesamten Rahmen im Hub IT-Grundschutz.

> Hinweis: Dieser Artikel ordnet das Inventar organisatorisch ein. Das Erfassen, das automatisierte Auslesen von Geräten und das Nachführen übernimmt in der Regel Ihr IT-Partner, nicht Sie selbst. Welche Werkzeuge dabei sinnvoll sind, hängt von Ihren Geräten und Ihrer Praxissoftware ab.

Warum braucht eine Arztpraxis überhaupt ein IT-Inventar?

Weil man nur schützen kann, was man kennt. Wer nicht weiss, welche Geräte im Netz hängen, welche Software in welcher Version läuft und wann das nächste Zertifikat abläuft, kann weder Lücken schliessen noch im Ernstfall schnell reagieren. Die FMH formuliert es in der Empfehlung 2 so: «Es kann nur geschützt werden, was bekannt ist. Deshalb sind alle schützenswerten ICT-Systeme, alle Bestandteile von ICT-Systemen, alle Datenträger, alle medizinischen Geräte sowie alle Anwendungen zu identifizieren, entsprechend der Sensitivität der Daten zu klassifizieren und mit zuvor festgelegten Attributen in einer Inventarliste zu dokumentieren.»

Das ist kein Selbstzweck. Das Inventar ist das Fundament unter drei Dingen, die jede Praxis ohnehin braucht: einem funktionierenden Patch-Management, einem belastbaren Notfallplan und dem Verzeichnis der Bearbeitungstätigkeiten nach revDSG. Fehlt die Liste, hängen alle drei in der Luft. Und der Hintergrund ist real: Das Bundesamt für Cybersicherheit (BACS) verzeichnete 2024 über 63'000 gemeldete Cybervorfälle, rund 13'000 mehr als im Vorjahr.

Vergrössern

Die FMH bringt den Nutzen knapp auf den Punkt: «Die Inventarliste dient als Hilfsmittel bei der Planung von Sicherheitsmassnahmen und verbessert die Reaktionsfähigkeit bei einem Sicherheitsvorfall.» Wenn nachts ein Erpressungstrojaner zuschlägt, ist die Frage «Welche Geräte haben wir, wo stehen sie, wer ist zuständig?» keine, die man dann erst recherchieren will.

Welche ICT-Mittel gehören ins Inventar?

Kurz: alles, was Daten verarbeitet, speichert oder transportiert. Die FMH zählt fünf Gruppen auf, und es lohnt sich, sie der Reihe nach durchzugehen, weil gerade die letzten beiden gerne vergessen werden.

Jedes Gerät, das nicht auf der Liste steht, fällt durch jedes Raster: Es wird nicht gepatcht, beim Backup nicht berücksichtigt und im Notfall nicht gesucht. Erfahrungsgemäss sind es fast immer die Medizingeräte und die Netzwerk-Hardware, die in selbstgestrickten Listen fehlen.

Welche Attribute muss jeder Inventar-Eintrag haben?

Hier wird die FMH konkret. Die Empfehlung 2 nennt eine Liste von Mindest-Attributen, die für jedes ICT-Mittel zu dokumentieren sind. Wer diese Felder sauber pflegt, hat gleichzeitig die Datengrundlage für Patch-Management, Notfallplan und Datenschutz-Verzeichnis erschlagen.

Vergrössern

Diese zehn Felder sind das Minimum, nicht die Obergrenze. Zwei davon werden im Alltag unterschätzt. Die Software-Versionen: Nur wer weiss, welches Betriebssystem auf welchem Gerät läuft, erkennt rechtzeitig End-of-Life-Systeme, der Support für Windows 10 endete am 14. Oktober 2025, und ein vergessenes Altgerät ist dauerhaft verwundbar. Und das Ablaufdatum der Zertifikate: Ein abgelaufenes SSL/TLS-Zertifikat legt im schlechtesten Fall ein Portal oder eine Schnittstelle lahm, mitten im Praxisbetrieb.

Wie baut man ein IT-Inventar Schritt für Schritt auf?

Ein Inventar entsteht nicht an einem Nachmittag, aber es ist auch kein Grossprojekt. Bewährt hat sich ein Vorgehen in fünf Schritten, in der Regel zusammen mit dem IT-Partner, der die Geräte technisch ausliest.

Als Werkzeug genügt für die meisten Praxen eine strukturierte Tabelle, die FMH nennt als Beispiel ausdrücklich eine «Excel-Liste». Grössere Praxen profitieren von einer Lösung, die Hardware- und Software-Inventar automatisiert ausliest, Microsoft Intune etwa erfasst Seriennummer, Betriebssystem und installierte Apps je Gerät selbsttätig.

> Tipp: HIN stellt für Mitglieder eine fertige IT-Inventarvorlage als Excel-Datei bereit. Sie enthält je einen Reiter für Hardware und Software und führt Sie durch Felder wie Betriebssystem und Antivirus. Wer bei null startet, muss das Rad also nicht neu erfinden.

Wie oft muss das Inventar aktualisiert werden?

Zwei Rhythmen greifen ineinander, und beide stehen so in der FMH-Empfehlung. Laufend: «Neue ICT-Mittel sind unmittelbar in das Inventar aufzunehmen und nicht mehr verwendete ICT-Mittel sind umgehend aus dem Inventar zu löschen.» Jedes neue Notebook, jeder ersetzte Switch wandert sofort in die Liste, jedes ausgemusterte Gerät sofort heraus. Und periodisch: «Das Inventar der ICT-Mittel soll mindestens einmal jährlich überprüft und aktualisiert werden.»

Beim jährlichen Review gleicht man die Liste mit der Realität ab: Stimmen die Software-Versionen noch? Läuft ein Zertifikat demnächst ab? Steht ein Gerät noch dort, wo es laut Inventar stehen sollte? Sinnvoll koppelt man das Review an die ohnehin fällige jährliche Sicherheitsüberprüfung, dann wird aus zwei Terminen einer. Wichtig ist das Ende des Lebenszyklus: Wird ein Gerät ausgemustert, verlangt die FMH, dass «alle Daten unmittelbar nach der Ausserbetriebnahme und vor der Entsorgung vollständig und unwiderruflich zu löschen» sind, und dass die Weitergabe oder der Verkauf von ICT-Mitteln zu unterlassen ist. Das alte Notebook landet also nicht auf dem Flohmarkt.

Wofür ist das Inventar die Grundlage?

Das Inventar ist selten der Zweck, fast immer das Mittel. Drei Aufgaben bauen direkt darauf auf, und ohne saubere Liste werden sie alle wackelig.

Zum Verzeichnis ein einordnendes Wort, denn hier herrscht oft Unsicherheit: Art. 12 DSG nimmt zwar Unternehmen mit weniger als 250 Mitarbeitenden und «geringem Risiko» von der Verzeichnispflicht aus. Weil eine Praxis aber besonders schützenswerte Gesundheitsdaten bearbeitet, läuft diese Befreiung in der Regel ins Leere. Ein schlankes Verzeichnis zu führen, gestützt auf das Inventar, ist deshalb der sichere Weg, mehr dazu im nDSG-Massnahmenkatalog. Welche Schutzmassnahmen das Gesetz meint, beschreibt der EDÖB im TOM-Leitfaden.

Das Wichtigste in Kürze

Häufig gestellte Fragen (FAQ)