Wenn in einem Krankenhaus die IT ausfällt, geht es nicht um verspätete Rechnungen. Es geht um Laborbefunde, die nicht abrufbar sind, Röntgenbilder, die nicht angezeigt werden, Medikationspläne, die auf Papier rekonstruiert werden müssen, und Rettungswagen, die zu anderen Kliniken umgeleitet werden. IT-Sicherheit ist in Krankenhäusern unmittelbar Teil der Patientensicherheit.
Gleichzeitig sind Kliniken besonders schwer zu schützen: Rund um die Uhr Betrieb, Hunderte unterschiedliche Systeme, Medizingeräte mit langen Lebenszyklen, viele Beschäftigte mit wechselnden Schichten und oft knappe Budgets. Dazu kommen gesetzliche Pflichten aus dem Sozialgesetzbuch, dem BSI-Gesetz und der DSGVO.
In diesem Beitrag erfahren Sie, welche Vorgaben für Krankenhäuser gelten, welche Systeme besonders gefährdet sind, welche Maßnahmen die größte Wirkung haben und wie Sie die IT-Sicherheit Ihrer Klinik strukturiert verbessern.
Warum Krankenhäuser ein bevorzugtes Ziel sind
- Hoher Druck zur schnellen Wiederherstellung. Ein Krankenhaus kann nicht wochenlang im Notbetrieb arbeiten. Erpresser setzen genau darauf.
- Besonders wertvolle Daten. Gesundheitsdaten gehören zu den sensibelsten personenbezogenen Daten überhaupt und lassen sich für Erpressung und Betrug missbrauchen.
- Große, heterogene Umgebungen. Krankenhausinformationssystem, Labor, Radiologie, Medizingeräte, Gebäudetechnik und Verwaltung bilden eine komplexe Landschaft mit vielen Übergängen.
- Lange Lebenszyklen. Medizingeräte und angeschlossene Rechner laufen oft viele Jahre mit älteren Betriebssystemen, weil Updates von der Zulassung abhängen.
- Viele Zugänge. Wechselnde Schichten, Leasingkräfte, Belegärzte, Fernwartung durch Hersteller und Dienstleister schaffen zahlreiche Einfallstore.
Welche Vorgaben für Krankenhäuser gelten
§ 391 SGB V: Pflicht für alle Krankenhäuser
Nach § 391 SGB V müssen alle Krankenhäuser nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu vermeiden. Maßgeblich sind die Funktionsfähigkeit des Krankenhauses und der Schutz der Patientendaten. Zusätzlich verlangt das Gesetz Maßnahmen zur Sensibilisierung der Beschäftigten. Die Vorschrift hat den früheren § 75c SGB V abgelöst.
Die Pflichten können insbesondere durch einen branchenspezifischen Sicherheitsstandard erfüllt werden, dessen Eignung das BSI festgestellt hat. Ausgenommen sind Krankenhäuser, die bereits als Betreiber kritischer Anlagen den strengeren Pflichten des BSI-Gesetzes unterliegen.
B3S Medizinische Versorgung
Der branchenspezifische Sicherheitsstandard für die medizinische Versorgung wird von der Deutschen Krankenhausgesellschaft erarbeitet und regelmäßig aktualisiert. Das BSI hat seine Eignung festgestellt. Der B3S beschreibt, wie ein Krankenhaus ein Informationssicherheits-Managementsystem aufbaut, Risiken bewertet und angemessene Maßnahmen umsetzt. Für die meisten Kliniken ist er der praktische Maßstab dafür, was „Stand der Technik“ bedeutet.
NIS2 und BSI-Gesetz
Das Gesundheitswesen gehört zu den Sektoren mit hoher Kritikalität nach Anlage 1 des BSI-Gesetzes. Erbringer von Gesundheitsdienstleistungen ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme sind damit wichtige Einrichtungen, ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme besonders wichtige Einrichtungen. Das betrifft die große Mehrheit der Krankenhäuser. Daraus folgen Registrierung, Risikomanagement nach § 30 BSIG, Meldepflichten bei erheblichen Vorfällen und die Verantwortung der Geschäftsführung. Ob und wie Ihre Einrichtung betroffen ist, zeigt der Beitrag Wer ist von NIS2 betroffen?.
Eine Besonderheit für Krankenhäuser: Nach § 61 BSIG kann das BSI von zugelassenen Krankenhäusern, die besonders wichtige Einrichtungen sind, Nachweise über die Erfüllung der Pflichten frühestens fünf Jahre nach Inkrafttreten verlangen, sofern keine Rechtsverordnung einen früheren Zeitpunkt bestimmt. Das ist kein Grund zu warten, aber ein realistischer Zeitrahmen für den Aufbau belastbarer Nachweise.
KRITIS: Große Krankenhäuser
Krankenhäuser oberhalb des Schwellenwerts für kritische Anlagen sind Betreiber kritischer Anlagen und damit unabhängig von NIS2-Größenschwellen besonders wichtige Einrichtungen. Für sie gelten zusätzlich die Nachweispflichten nach § 39 BSIG: Sicherheitsaudits, Prüfungen oder Zertifizierungen im Dreijahresrhythmus mit Übermittlung der Ergebnisse an das BSI.
DSGVO
Gesundheitsdaten gehören nach Art. 9 der Datenschutz-Grundverordnung zu den besonderen Kategorien personenbezogener Daten. Art. 32 verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. Datenpannen müssen in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.
| Regelwerk | Gilt für | Kern |
|---|---|---|
| § 391 SGB V | alle Krankenhäuser, außer KRITIS-Betreiber | Stand der Technik, Sensibilisierung, B3S als Weg |
| BSI-Gesetz (NIS2) | Krankenhäuser ab 50 Beschäftigten bzw. den finanziellen Schwellen | Registrierung, Risikomanagement, Meldepflicht, Geschäftsleitung |
| § 39 BSIG (KRITIS) | Krankenhäuser oberhalb des KRITIS-Schwellenwerts | Nachweise alle drei Jahre |
| DSGVO | alle | Schutz von Gesundheitsdaten, Meldung von Datenpannen |
Welche Systeme besonders geschützt werden müssen
Krankenhausinformationssystem
Das KIS ist das Herz der Klinik: Patientenaufnahme, Dokumentation, Anordnungen, Abrechnung. Fällt es aus, laufen alle Prozesse auf Papier. Wichtig sind eine strenge Rechtevergabe, Schutz der Server und Datenbanken, getestete Wiederherstellung und ein geübtes Notfallverfahren für den Papierbetrieb.
Labor, Radiologie und Bildarchiv
Laborsysteme und Bildarchive (PACS) sind eng mit Geräten und dem KIS verbunden. Sie enthalten große Datenmengen, die schnell verfügbar sein müssen. Ein Ausfall verzögert Diagnosen unmittelbar.
Medizingeräte und vernetzte Medizintechnik
Infusionspumpen, Monitore, Beatmungsgeräte, bildgebende Geräte und Laboranalysegeräte sind zunehmend vernetzt. Viele laufen mit älteren Betriebssystemen und dürfen nur vom Hersteller aktualisiert werden. Sie lassen sich oft nicht mit klassischer Sicherheitssoftware schützen und brauchen deshalb andere Maßnahmen: Bestandsverzeichnis, Netzwerktrennung, kontrollierte Fernwartung und Überwachung des Netzwerkverkehrs.
Gebäudetechnik und Versorgung
Klimatechnik in OP-Sälen, Aufzüge, Zutrittskontrolle, Notstrom und Rohrpostanlagen sind heute ebenfalls vernetzt. Ein Angriff auf diese Systeme kann den Betrieb genauso stören wie ein Angriff auf das KIS.
Kommunikation
Telefonie, Pager, Alarmierung und Notfallkommunikation müssen auch funktionieren, wenn die übrige IT ausfällt. Wie ein unabhängiges Alarmierungssystem aussehen kann, beschreiben wir im Beitrag Alarmierungssystem für den IT-Notfall.
Die wichtigsten Maßnahmen
1. Netzwerk segmentieren
Medizingeräte, KIS, Verwaltung, Gebäudetechnik und Gäste-WLAN gehören in getrennte Netzbereiche mit kontrollierten Übergängen. So kann sich ein Angriff aus der Verwaltung nicht ungehindert auf die Medizintechnik ausbreiten. Für Geräte, auf denen keine Sicherheitssoftware laufen kann, ist Mikrosegmentierung besonders wirksam. Mehr dazu im Beitrag Was ist Mikrosegmentierung?.
2. Zugänge absichern
Persönliche Anmeldungen statt Sammelkennungen, schnelle und sichere Anmeldung an Stationsarbeitsplätzen, Multi-Faktor-Authentifizierung für Fernzugänge und Administratoren, automatisierter Entzug von Rechten bei Austritt. Wie das im Klinikalltag praktikabel funktioniert, zeigt unser Beitrag Authentifizierung im Krankenhaus.
3. Backup und Wiederherstellung üben
Getrennte, unveränderliche Sicherungen für KIS, Labor und PACS, mit regelmäßigen Wiederherstellungstests. Entscheidend ist nicht nur, dass Daten gesichert sind, sondern wie schnell ein System wieder läuft. Wiederanlaufzeiten sollten gemeinsam mit den medizinischen Bereichen festgelegt werden.
4. Angriffe früh erkennen
Ein Monitoring, das ungewöhnliche Aktivitäten im Netzwerk und auf Servern erkennt, verschafft wertvolle Zeit. Gerade in Netzbereichen mit Medizingeräten ist die Analyse des Netzwerkverkehrs oft die einzige Möglichkeit, Auffälligkeiten zu sehen. Mehr dazu auf unserer Seite Network Detection and Response und im Beitrag Ransomware Containment.
5. Medizintechnik systematisch verwalten
- vollständiges Verzeichnis aller vernetzten Geräte mit Hersteller, Softwarestand und Netzbereich,
- vertragliche Regelungen mit Herstellern zu Sicherheitsupdates und Meldung von Schwachstellen,
- Fernwartung nur über kontrollierte, protokollierte und zeitlich begrenzte Zugänge,
- Sicherheitsanforderungen bereits bei der Beschaffung neuer Geräte.
6. Beschäftigte schulen
§ 391 SGB V verlangt ausdrücklich Maßnahmen zur Sensibilisierung. Wirksam sind kurze, praxisnahe Formate, die in den Schichtbetrieb passen: Phishing-Beispiele aus dem Klinikalltag, klare Meldewege, kurze Lernimpulse statt langer Präsenzschulungen. Mehr dazu auf unserer Seite zum Awareness-Training.
7. Notfallbetrieb planen und üben
Jede Station sollte wissen, wie sie ohne IT arbeitet: Papierformulare, Telefonlisten, Ablauf für Labor- und Röntgenanforderungen, Kommunikation mit der Notaufnahme. Krisenstab, Meldewege an BSI und Datenschutzaufsicht sowie die Kommunikation mit Rettungsdienst und Öffentlichkeit gehören in den Notfallplan. Mehr dazu auf unserer Seite zur IT-Notfallplanung.
Fernwartung und Dienstleister im Griff behalten
Kaum ein Krankenhaus betreibt seine IT und Medizintechnik ganz allein. Hersteller von Medizingeräten, Anbieter des Krankenhausinformationssystems, Laborsoftware, Gebäudetechnik und IT-Dienstleister greifen regelmäßig per Fernwartung zu. Jeder dieser Zugänge ist ein möglicher Weg ins Netz.
Bewährt haben sich klare Regeln:
- Zentrale Fernwartungslösung statt einzelner, dauerhaft offener Zugänge pro Hersteller.
- Freischaltung nur bei Bedarf und für die Dauer des Einsatzes, mit Protokollierung.
- Persönliche Konten für Techniker statt gemeinsamer Herstellerzugänge.
- Multi-Faktor-Authentifizierung für alle externen Zugriffe.
- Vertragliche Pflichten zu Sicherheitsupdates, Meldung von Schwachstellen und Vorfällen. Für NIS2-pflichtige Kliniken ist die Sicherheit der Lieferkette ausdrücklich Teil der Pflichten nach § 30 BSIG.
Telematikinfrastruktur und Anbindung an das Gesundheitswesen
Krankenhäuser sind an die Telematikinfrastruktur angebunden, über die unter anderem E-Rezept, elektronische Patientenakte und Kommunikation im Medizinwesen laufen. Die Komponenten dafür werden nach den Vorgaben der gematik betrieben. Für die IT-Sicherheit bedeutet das zusätzliche Schnittstellen, die in die Risikoanalyse gehören: Wer verwaltet Konnektoren und Kartenterminals, wie werden Heilberufs- und Institutionsausweise ausgegeben und gesperrt, und wie ist die Anbindung vom übrigen Netz getrennt? Die eindeutige Zuordnung von Zugriffen zu Personen ist hier besonders wichtig, weil über diese Wege auf Daten außerhalb des eigenen Hauses zugegriffen wird.
Neue Angriffsformen durch künstliche Intelligenz
Angreifer nutzen KI, um Phishing-Mails sprachlich fehlerfrei und persönlich zugeschnitten zu formulieren, etwa als vermeintliche Nachricht der Geschäftsführung, eines Lieferanten oder einer Krankenkasse. Auch gefälschte Anrufe mit nachgeahmten Stimmen sind möglich. Für Krankenhäuser mit vielen Beschäftigten und wechselnden Schichten steigt damit das Risiko, dass ein einzelner Klick genügt.
Wirksam sind vor allem Maßnahmen, die nicht davon abhängen, ob jemand die Täuschung erkennt: Multi-Faktor-Authentifizierung, die sich nicht per Phishing umgehen lässt, Rückrufregeln bei ungewöhnlichen Anweisungen, eingeschränkte Rechte und eine Erkennung von Angriffen im Netz. Gleichzeitig hilft KI auch der Verteidigung, etwa beim Erkennen ungewöhnlicher Muster im Netzwerkverkehr. Mehr dazu im Beitrag KI in der Cybersicherheit.
Was IT-Sicherheit im Krankenhaus kostet
Pauschale Zahlen sind schwierig, weil Größe, Ausgangslage und Trägerstruktur stark variieren. Grob lassen sich drei Kostenblöcke unterscheiden:
| Kostenblock | Beispiele |
|---|---|
| Personal und Organisation | Informationssicherheitsbeauftragte, Zeit von IT, Medizintechnik und Stationen, Notfallübungen |
| Technik | Segmentierung, Authentifizierung, Backup, Monitoring, Fernwartungslösung |
| Externe Leistungen | Gap-Analyse, Penetrationstests, Audits, Unterstützung beim ISMS, Notfallbereitschaft |
Dem gegenüber stehen die Folgen eines erfolgreichen Angriffs: Abmeldung von der Notfallversorgung, verschobene Operationen, wochenlanger Notbetrieb, Wiederherstellung, Forensik, Meldepflichten und Vertrauensverlust. Eine priorisierte Planung, die mit den Maßnahmen mit der größten Wirkung beginnt, hilft, begrenzte Budgets gezielt einzusetzen.
Praxisbeispiel: Ein Ransomware-Angriff auf ein Kreiskrankenhaus
Ein Krankenhaus mit 400 Betten. Über eine Phishing-Mail in der Verwaltung gelangt Schadsoftware ins Netz. In den folgenden Tagen erkunden die Angreifer das Netzwerk und verschaffen sich Administratorrechte. In der Nacht auf Sonntag startet die Verschlüsselung.
Ohne Vorbereitung: KIS, Labor und PACS sind verschlüsselt, das Backup ebenfalls, weil es im selben Netz lag. Die Klinik meldet sich von der Notfallversorgung ab. Die Stationen arbeiten tagelang auf Papier, Befunde werden telefonisch übermittelt. Die vollständige Wiederherstellung dauert Wochen.
Mit Vorbereitung: Die Netzwerktrennung verhindert, dass die Medizintechnik betroffen ist. Das Monitoring meldet die ungewöhnliche Aktivität, die Verschlüsselung wird auf einige Server in der Verwaltung begrenzt. Das getrennte Backup ist intakt. Die Stationen wechseln für einige Stunden nach geübtem Verfahren in den Papierbetrieb. Der Krisenstab wird automatisch alarmiert, die Meldung an das BSI erfolgt fristgerecht. Nach zwei Tagen läuft der Normalbetrieb wieder.
Ein ISMS als Rahmen
Die genannten Maßnahmen wirken nur dauerhaft, wenn sie in einen festen Prozess eingebunden sind. Ein Informationssicherheits-Managementsystem nach dem B3S, nach ISO/IEC 27001 oder nach IT-Grundschutz sorgt dafür, dass Risiken regelmäßig bewertet, Maßnahmen umgesetzt, Wirksamkeit geprüft und Verbesserungen eingeleitet werden. Es schafft gleichzeitig die Dokumentation, die für § 391 SGB V und NIS2 benötigt wird. Wie Unternehmen ihre Pflichten dauerhaft nachweisen, beschreibt unser Beitrag Was ist NIS2 Compliance?.
Rollen im Krankenhaus
| Rolle | Aufgabe |
|---|---|
| Geschäftsführung | Gesamtverantwortung, Budget, Überwachung, eigene Schulung nach § 38 BSIG |
| Informationssicherheitsbeauftragte oder -beauftragter | Steuerung des ISMS, Risikoanalyse, Berichte |
| IT-Leitung | technische Umsetzung, Betrieb, Monitoring |
| Medizintechnik | Verzeichnis und Absicherung der Medizingeräte, Herstellerkommunikation |
| Ärztliche und pflegerische Leitung | Festlegung kritischer Prozesse, Notfallbetrieb, Akzeptanz auf den Stationen |
| Datenschutzbeauftragte oder -beauftragter | Schutz von Patientendaten, Datenpannen |
Die zehn wichtigsten Schritte im Überblick
- Kritische Systeme und Prozesse gemeinsam mit den medizinischen Bereichen festlegen.
- Betroffenheit nach NIS2 und KRITIS prüfen, Registrierung sicherstellen.
- Netzwerk segmentieren, Medizintechnik abschotten.
- Persönliche Anmeldung und Multi-Faktor-Authentifizierung für kritische Zugänge einführen.
- Getrennte Backups mit regelmäßigen Wiederherstellungstests aufbauen.
- Monitoring für Netzwerk und Server einrichten.
- Verzeichnis und Update-Management für Medizingeräte etablieren.
- Beschäftigte regelmäßig und praxisnah sensibilisieren.
- Notfallbetrieb ohne IT planen und üben, Krisenstab und Alarmierung vorbereiten.
- Alles in ein ISMS nach B3S oder ISO/IEC 27001 einbinden und regelmäßig überprüfen.
Fazit: IT-Sicherheit ist Patientensicherheit
Krankenhäuser stehen unter besonderem Druck: hohe Angriffsgefahr, komplexe Umgebungen und gleich mehrere gesetzliche Pflichten aus § 391 SGB V, dem BSI-Gesetz und der DSGVO. Der B3S bietet den praktischen Maßstab, ein ISMS den organisatorischen Rahmen. Die größte Wirkung haben Netzwerktrennung, sichere Zugänge, getestete Backups, frühzeitige Erkennung, verwaltete Medizintechnik, geschulte Beschäftigte und ein geübter Notfallbetrieb. Wer diese Punkte konsequent angeht, schützt nicht nur Daten, sondern die Versorgung der Patientinnen und Patienten.
Sie möchten den Stand der IT-Sicherheit in Ihrer Klinik bewerten? Wir unterstützen Krankenhäuser von der Gap-Analyse über Segmentierung und Authentifizierung bis zur Notfallplanung. Jetzt kostenlose Erstberatung buchen.
Quellen
- § 391 SGB V: IT-Sicherheit in Krankenhäusern
- Deutsche Krankenhausgesellschaft: Informationssicherheit und technischer Datenschutz
- § 30 BSIG: Risikomanagementmaßnahmen
- § 39 BSIG: Nachweispflichten für Betreiber kritischer Anlagen
- § 61 BSIG: Aufsicht über besonders wichtige Einrichtungen
- EUR-Lex: Datenschutz-Grundverordnung (EU) 2016/679
