Wissen
Wo Ihre Patientendaten liegen und wie sie geschützt sind. Auf dem Server, in der Cloud, auf einem USB-Stick, in Ihrem E-Mail-Postfach, auf dem Telefon einer Mitarbeiterin oder eines Mitarbeiters.
DSG-Konformität · Cybersicherheit
Schützen Sie die Daten Ihrer Patienten. Das ist eine gesetzliche Pflicht.
Seit dem 1. September 2023 macht Sie das neue Bundesgesetz über den Datenschutz (revDSG) persönlich für die Sicherheit der Daten Ihrer Patienten verantwortlich. Dieser Leitfaden erklärt Ihre Pflichten und die konkreten Massnahmen, die Sie umsetzen müssen.
DIE LAGE IN DER SCHWEIZ
Warum Ihre Praxis betroffen ist
Cyberangriffe zielen nicht nur auf grosse Unternehmen. Massenangriffe treffen auch Arzt- und Zahnarztpraxen: Ein einziger Klick auf eine gefälschte E-Mail kann genügen.
- 64'733Dem BACS 2025 gemeldete Cybervorfälle
- 2Angriffe innert eines Jahres auf die Groupe 3R, ein Radiologienetzwerk der Westschweiz
- 5 WochenBis Vidymed den Grossteil der Daten wiederhergestellt hatte
- 250'000CHF Höchstbusse (DSG)
Quellen: Jahresbericht 2025 des Bundesamts für Cybersicherheit (BACS), Medienmitteilungen der Groupe 3R (April 2025 und April 2026) und von Vidymed (Dezember 2024 und Januar 2025).
Persönliche Haftung Die Bussen des DSG treffen natürliche Personen, nicht das Unternehmen, und ahnden nur vorsätzliche Verstösse, meist auf Antrag. In einer Zahnarztpraxis ist in der Regel der Praxisinhaber oder die Geschäftsleitung betroffen. Die Verjährungsfrist beträgt 5 Jahre (Art. 66 DSG).
WAS DAS GESETZ VERLANGT
Ihre 3 grundlegenden Pflichten
Das DSG verlangt nicht, dass Sie zur IT-Fachperson werden. Es verlangt, dass Sie Bescheid wissen, reagieren und nachweisen.
Melden
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Patienten, muss der EDÖB so rasch als möglich informiert werden (Art. 24 DSG). Die betroffenen Patienten sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.
Nachweisen
Auf Anfrage müssen Sie belegen können, dass Sie die nötigen technischen und organisatorischen Massnahmen getroffen haben: Dokumentation, Verträge, Schulungen, Verzeichnis der Bearbeitungstätigkeiten.
BESONDERS SCHÜTZENSWERTE DATEN
Welche Daten sind in Ihrer Praxis geschützt?
Eine Zahnarztpraxis bearbeitet täglich Gesundheitsdaten. Sie gelten als besonders schützenswerte Personendaten im Sinne von Art. 5 Bst. c DSG und unterliegen strengeren Regeln. Auch die übrigen Personendaten der Praxis verlangen einen sorgfältigen Schutz.
Gesundheitsdaten
Röntgenbilder, DVT (CBCT), intraorale Fotos, Diagnosen, Behandlungspläne, Verordnungen, medizinische Vorgeschichte, Anamnesebögen, klinische Notizen, Korrespondenz mit anderen Behandelnden.
Digitale Abdrücke und Modelle
Digitale Zahnabdrücke, optische Abformungen, 3D-Modelle: Das sind Gesundheitsdaten und damit besonders schützenswert (Art. 5 Bst. c Ziff. 2). Biometrisch (Ziff. 4) wären sie nur, wenn sie dazu dienten, eine Person eindeutig zu identifizieren.
Administrative Daten
AHV-Nummern, Geburtsdaten, Kontaktangaben, Einwilligungen, Versicherungsdaten der Grundversicherung (KVG) und der Zusatzversicherungen.
Korrespondenz und Abrechnung
E-Mail-Austausch mit Patienten, Laboraufträge, Rechnungen, Versicherungsabrechnungen, Zahlungsverlauf.
KONKRETE MASSNAHMEN
Was Sie umsetzen müssen
Jeder der folgenden Punkte wird im Referenzleitfaden ausführlich behandelt, den Sie unten auf der Seite kostenlos herunterladen können.
Sichere E-Mail
Jede Kommunikation mit Patientendaten muss über einen Ende-zu-Ende-verschlüsselten E-Mail-Dienst laufen. Gmail, Hotmail, Bluewin und WhatsApp sind für medizinische Daten nicht konform.
Updates
Alle Arbeitsplätze müssen mit einem Betriebssystem laufen, das vom Hersteller noch unterstützt wird. Der Support für Windows 10 endete im Oktober 2025. Auch die Dentalsoftware und die Browser müssen auf dem neusten Stand sein.
3-2-1-Datensicherung
3 Kopien Ihrer Daten, auf 2 verschiedenen Datenträgern, davon 1 ausserhalb der Praxis, und idealerweise eine vom Netz getrennte oder unveränderbare Kopie. Die Wiederherstellung muss regelmässig getestet werden, mindestens einmal pro Jahr. Ihr IT-Dienstleister muss diese Strategie umsetzen und dokumentieren.
Festplattenverschlüsselung
BitLocker (Windows) und FileVault (macOS) müssen auf allen Arbeitsplätzen und Servern aktiviert sein. Ein gestohlener Computer ohne Verschlüsselung legt sofort alle Patientendaten offen.
Passwörter und Zwei-Faktor-Authentifizierung
Mindestens 12 Zeichen, gespeichert in einem sicheren Passwortmanager. Die Zwei-Faktor-Authentifizierung (2FA) muss für alle kritischen Zugänge aktiviert sein: E-Mail, Praxisverwaltungssoftware, Fernzugriff.
Getrenntes WLAN
Das Praxisnetzwerk (Arbeitsplätze, Server, Drucker) muss vom Gästenetz für Patienten physisch getrennt sein. Ein infiziertes Gerät im Gästenetz darf Ihre Daten nicht erreichen können.
Sicherer Fernzugriff
Kostenlose Fernzugriffstools in ständiger Bereitschaft (TeamViewer, AnyDesk) sind ein grosses Risiko. Ein professionelles VPN oder eine von Ihrem Dienstleister verwaltete RMM-Lösung sind die konformen Alternativen.
EDR-Schutz
Ein Virenschutz allein, dessen Warnungen niemand verfolgt, lässt neue Angriffe durch. Eine EDR-Lösung (Endpoint Detection and Response), von einer Fachperson überwacht, erkennt Bedrohungen durch Verhaltensanalyse und ermöglicht es, darauf zu reagieren.
Verwaltung der Benutzerzugriffe
Ein persönliches Konto pro Mitarbeiterin und Mitarbeiter, Prinzip der minimalen Rechte, sofortige Deaktivierung beim Austritt. Keine gemeinsam genutzten Konten.
Auftragsbearbeitungsvertrag (Art. 9 DSG)
Mit jedem Dienstleister, der im Auftrag der Praxis Patientendaten bearbeitet, ist ein Vertrag Pflicht: IT-Dienstleister, Cloud-Hoster, Treuhänder. Halten Sie ihn am besten schriftlich fest, damit Sie ihn nachweisen können. Ohne Vertrag sind Ihre Ansprüche bei Problemen viel schwieriger durchzusetzen, und wer vorsätzlich Daten anvertraut, ohne diese Regeln einzuhalten, riskiert auf Antrag eine Busse von bis zu CHF 250'000.
Schulung des Personals
Menschliche Fehler sind die Ursache eines erheblichen Teils der Verletzungen der Datensicherheit. Die Schulung des Personals (Phishing, Passwörter, Notfallverfahren, Berufsgeheimnis) muss mindestens einmal pro Jahr stattfinden.
Cyberversicherung
Auch mit einem guten Sicherheitsniveau gibt es kein Nullrisiko. Eine Cyberversicherung deckt bei einem Vorfall die Kosten für Notfalleinsätze, Umsatzeinbussen und die Kosten für Meldungen.
BEI EINEM VORFALL
Die 6 Notfallschritte
Wenn Sie einen Angriff oder ein Datenleck vermuten, sind die ersten Minuten entscheidend. Befolgen Sie diese Schritte der Reihe nach.
Isolieren
Netzwerkkabel ausstecken, WLAN deaktivieren. Den Computer nicht ausschalten: Das zerstört die Beweise.
Ihren IT-Dienstleister anrufen
Zuerst Ihren IT-Dienstleister. Falls nicht erreichbar: das BACS über incidents@ncsc.ch oder report.ncsc.admin.ch.
Dokumentieren
Bildschirme fotografieren, die genaue Uhrzeit notieren, die möglicherweise betroffenen Arbeitsplätze und Daten auflisten.
Kein Lösegeld zahlen
Offizielle Empfehlung des Bundes. Zahlen garantiert nichts und finanziert kriminelle Netzwerke.
Beurteilen
Sind Patientendaten betroffen? Ist das Risiko für die Patienten voraussichtlich hoch oder nicht rasch auszuschliessen, ist die Meldung an den EDÖB Pflicht; bei Ransomware ist je nach den Umständen von diesem Risiko auszugehen.
Dem EDÖB melden
Über databreach.edoeb.admin.ch, so rasch als möglich (Art. 24 DSG).
Der EDÖB macht keine Razzia in Ihrer Praxis. Er liest Ihre Meldung, prüft, ob Sie richtig reagiert haben, und kann Präzisierungen verlangen. Die goldene Regel: Früh melden ist besser als gar nicht melden.
REALE FÄLLE
Angriffe in der Westschweiz, nicht nur im Fernsehen
| Vorfall | Datum | Folgen |
|---|---|---|
| Groupe 3R, Réseau Radiologique Romand (20 Zentren, 7 Kantone) | April 2025 und April 2026 | Zwei Ransomware-Angriffe, Patientendaten gestohlen; Lösegeld verweigert, Daten 2026 veröffentlicht |
| Vidymed, Lausanne und Epalinges | Dezember 2024 | Informatik ausser Betrieb, Rückkehr zum Papier; Grossteil der Daten fünf Wochen später wiederhergestellt |
Was ein Angriff kostet Tage, manchmal Wochen mit gedrosseltem Betrieb: Bei Vidymed dauerte es fünf Wochen, bis der Grossteil der Daten wiederhergestellt war. Hinzu kommen die Instandsetzung, die Information der Patienten und der Verlust ihres Vertrauens.
NOTFALLKONTAKTE
Nummern und Portale zum Aufbewahren
| Stelle | Aufgabe | Kontakt |
|---|---|---|
| BACS | Meldung eines Cyberangriffs | incidents@ncsc.ch · report.ncsc.admin.ch |
| EDÖB | Meldung einer Verletzung der Datensicherheit | +41 58 462 43 95 (Mo–Fr 10–12 Uhr) · databreach.edoeb.admin.ch |
| Kantonspolizei | Diebstahl von Geräten, Strafanzeige | 117 |
KOSTENLOSE RESSOURCEN
Dokumente zum Herunterladen
Alle folgenden Dokumente sind kostenlos und frei herunterladbar. Sie sind so gestaltet, dass Sie sie direkt in Ihrer Praxis verwenden können.
- DS1
Leitfaden DSG & Cybersicherheit
Vollständiger Referenzleitfaden. 17 Kapitel, Checkliste, Glossar, FAQ.
- DS2
Notfallblatt - Sicherheitsvorfall
Notfallverfahren. Beidseitig, zum Ausdrucken und Aufhängen in der Praxis.
- DS3
Vorlage - Sicherheitsrichtlinie
Vollständige interne Richtlinie mit Bestätigung der Kenntnisnahme.
- DS4
Vorlage - Schulungsbestätigung
Formular mit Themen zum Ankreuzen, im Personaldossier aufzubewahren.
- DS5
Vorlage - Vorfallverfahren (Mitarbeitende)
Die 6 Schritte und die Notfallkontakte. Allen Mitarbeitenden abzugeben.
- DS6
Vorlage - Regeln für temporäres Personal
Einseitiges Dokument für Praktikanten, Stellvertretungen und externe Fachpersonen.
- DS7
Vorlage - Auftragsbearbeitungsvertrag (allgemein)
Vertrag nach Art. 9 DSG für jeden Dienstleister, der für die Praxis Patientendaten bearbeitet.
- DS8
Verzeichnis der Bearbeitungstätigkeiten
Strukturierte Übersicht über alle Datenbearbeitungen der Praxis.
- DS9
Datenschutzerklärung für Patienten
Information der Patientinnen und Patienten über die Bearbeitung ihrer Personendaten.
- DS10
Vorlage - Antwort auf ein Auskunftsbegehren
Musterbrief zur Beantwortung von Auskunftsbegehren der Patienten (Art. 25 DSG).
- DS11
Formular zur Dokumentation von Vorfällen
Internes Formular zur Dokumentation jedes Sicherheitsvorfalls.
Freie Nutzung Diese Dokumente dienen der Information und der Weiterbildung. Sie stellen keine Rechtsberatung dar. Passen Sie sie an die konkrete Situation Ihrer Praxis an und wenden Sie sich bei Fragen zum DSG an eine spezialisierte Juristin oder einen spezialisierten Juristen.
Brauchen Sie Unterstützung bei Ihrer Konformität?
DentalSystems Sàrl begleitet Zahnarztpraxen in der Westschweiz in den Bereichen Cybersicherheit, DSG-Konformität und IT-Infrastruktur.
DentalSystems Qualität, Sicherheit, Transparenz
Quiz - DSG & Cybersicherheit
Hinweise zum Leitfaden
Rechtliche Hinweise und Nutzungsbedingungen
Dieses Dokument wurde von der DentalSystems Sàrl zu Informations- und Sensibilisierungszwecken verfasst. Es stellt keine Rechtsberatung dar. Die Informationen in diesem Dokument entsprechen dem Stand von Oktober 2026 und können sich mit Gesetzes- und Verordnungsänderungen ändern.
Wenden Sie sich bei rechtlichen Fragen zum DSG, zur DSGVO oder zum Datenschutz im medizinischen Umfeld an eine spezialisierte Juristin oder einen spezialisierten Juristen.
Diese deutsche Fassung ist eine Übersetzung; massgebend ist die französische Fassung.
Geistiges Eigentum
Dieses Dokument ist ausschliessliches Eigentum der DentalSystems Sàrl. Sein gesamter Inhalt (Texte, Struktur, Gestaltung und grafische Elemente) ist nach dem Bundesgesetz über das Urheberrecht und verwandte Schutzrechte (URG, SR 231.1) urheberrechtlich geschützt.
Erlaubte Nutzung
Der Leitfaden und das Notfallblatt dürfen innerhalb einer Zahnarztpraxis oder einer medizinischen Einrichtung frei heruntergeladen, ausgedruckt und verbreitet werden, ohne Änderungen und unter Nennung ihrer Urheberin (DentalSystems Sàrl). Die Vorlagen (DS3 bis DS11) dürfen geändert und unter dem Namen der Praxis verwendet werden, auch gegenüber ihren Patienten, Mitarbeitenden und Dienstleistern, ohne unsere Vermerke beizubehalten.
Verbotene Nutzung
Ohne vorgängige schriftliche Zustimmung der DentalSystems Sàrl ist es verboten, diese Dokumente zu verkaufen, auch in geänderter Form, oder sie Dritten zum Herunterladen anzubieten (Download-Websites, Austauschplattformen, Wiederverkäufer).
Haftungsbeschränkung
Diese Dokumente werden kostenlos und zu Informationszwecken zur Verfügung gestellt. Soweit nach schweizerischem Recht zulässig, haftet die DentalSystems Sàrl nicht für die Folgen ihrer Verwendung; diese Beschränkung gilt nicht bei Vorsatz oder grober Fahrlässigkeit. Die Nutzerin oder der Nutzer bleibt dafür verantwortlich, sie an die eigene Situation anzupassen. Sie ersetzen weder ein professionelles Audit noch eine Rechtsberatung.
DentalSystems Sàrl
Thomas Alvino, IT-Techniker
www.dentalsystems.ch | talvino@dentalsystems.ch | +41 77 245 48 44
© 2026 DentalSystems Sàrl. Alle Rechte vorbehalten.