Seit der E-Rezept-Pflicht sind Apotheken über die Telematikinfrastruktur direkt ans Gesundheitsnetz angebunden. Ein einziger Ransomware-Angriff legt Kassensystem, Warenwirtschaft und Krankenkassenabrechnung gleichzeitig lahm, und Ihre Betriebshaftpflicht greift dabei nicht.
Eine Betriebshaftpflicht schützt vor Schäden, die Sie anderen zufügen. Cyberschäden sind anders: Sie treffen Ihre eigene Infrastruktur, Ihre Daten, Ihren Betrieb und entstehen durch externe Angreifer, nicht durch Ihre Fehler.
Verschlüsselung von Warenwirtschaft, Kassensystem und TI-Schnittstelle. Jeder Ausfalltag bedeutet entgangene Umsätze bei gleichzeitig laufenden Personalkosten. Eine Betriebshaftpflicht deckt diesen Schaden nicht.
Nicht in Standard-BHPEin Datenleck verpflichtet zur Meldung an die Datenschutzbehörde innerhalb von 72 Stunden. Bußgelder bei Pflichtverletzung: bis zu 20 Mio. Euro oder 4 % des Jahresumsatzes. Die Rechts- und Meldekosten entstehen unabhängig davon, ob ein Schaden eingetreten ist.
Nicht in Standard-BHPNach einem Angriff müssen externe IT-Forensiker den Angriffsweg rekonstruieren, bevor Systeme wiederhergestellt werden können. Diese Kosten entstehen immer, unabhängig davon, ob Lösegeld gezahlt wird oder nicht. Typisch: 5.000–15.000 Euro.
Nicht in Standard-BHPSeit der TI-Pflicht läuft jede gesetzlich versicherte Transaktion über die Telematikinfrastruktur. Fällt diese aus, durch Angriff oder technischen Fehler, können keine E-Rezepte mehr abgerufen werden. Die Folge: kompletter Umsatzausfall im GKV-Segment.
ApothekenspezifischÜbernahme der Kosten für externe IT-Spezialisten, von der Schadensanalyse bis zur vollständigen Wiederherstellung aller Systeme.
Entgangener Umsatz während des Ausfalls, für jeden Tag, an dem E-Rezepte, Kassensystem oder Warenwirtschaft nicht verfügbar sind.
Rechtsberatung für die 72-Stunden-Meldepflicht bei Datenpannen, Kommunikation mit der Datenschutzbehörde, Abwehr von Betroffenenansprüchen.
PR-Unterstützung bei öffentlich gewordenen Datenpannen, Kommunikation mit betroffenen Kunden, Reputationsschutz.
Schadenersatzforderungen von Patienten oder Geschäftspartnern, deren Daten durch einen Angriff kompromittiert wurden.
Die NIS2-Richtlinie (umgesetzt in deutsches Recht 2024) definiert den Gesundheitssektor als kritische Infrastruktur. Apotheken ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz können als wesentliche Einrichtungen eingestuft werden und unterliegen dann erhöhten Melde-, Dokumentations- und Sicherheitspflichten.
Verstöße gegen NIS2-Meldepflichten sind bußgeldbewehrt. Eine Cyberversicherung mit eingeschlossener Rechtsberatung reduziert das Risiko empfindlicher Strafen bei Vorfällen erheblich.
Bis zu 10 Mio. € BußgeldAllein 2023 wurden in der EU 309 schwerwiegende Cybervorfälle im Gesundheitsbereich gemeldet, davon ein signifikanter Anteil auf Ransomware zurückzuführen. Der Gesundheitssektor ist laut World Economic Forum die drittmeist angegriffene Branche weltweit.
309 gemeldete Vorfälle · 2023Eine Apotheke mit angeschlossenem Online-Versandhandel wird Opfer eines Ransomware-Angriffs. Der Angriff gelangt über eine Phishing-Mail in das interne Netzwerk und breitet sich auf Warenwirtschaft, Kassensystem und die TI-Schnittstelle aus.
Für fünf Tage können keine E-Rezepte abgerufen werden, keine Kassenabrechnung mit Krankenkassen durchgeführt und kein Online-Shop betrieben werden. Parallel beginnen externe IT-Forensiker mit der Schadensanalyse, ohne dass zunächst feststeht, ob überhaupt ein ersatzpflichtiger Schaden vorliegt.
Das Rechenbeispiel oben als Zeitstrahl: dieselbe Kostenstruktur, direkt aus dem GDV-Branchenreport.
Musterrechnung des GDV, kein Einzelfall und keine Garantie für die tatsächliche Schadenhöhe. Ein möglicher Umsatzrückgang während der Störung ist in der Summe nicht enthalten. Haftzeit für Ertragsausfall und Mehrkosten im Cyber-Baustein bis zu 6 Monate.
Quelle: GDV-Branchenreport "Cyberrisiken bei Ärzten und Apotheken" (Forsa-Befragung 2018, Musterszenario); Cyber-Bedingungen CPW 2023 und Versicherungsumfang 08/2026 zu Selbstbehalt und Haftzeit.
Zwei Schritte. Richtwert für Ihren Jahresbeitrag. Kein Verkaufsgespräch.
Cyberrisiken entstehen selten isoliert. Diese Themen sind direkt mit der Cyberabsicherung verknüpft.
Erste Einschätzung in 48 Stunden. Kein Außendiensttermin. Keine Produktbindung.