Cybersecurity im Krankenhaus

Warum Krankenhäuser ein bevorzugtes Ziel von Angriffen sind, welche Pflichten gelten und mit welchen Maßnahmen Kliniken ihre Versorgung wirksam schützen.

Geschäftsführer, Berater und Trainer

Veröffentlicht am 4 Min. Lesezeit

Kurze Antwort

Cybersecurity im Krankenhaus umfasst alle technischen und organisatorischen Maßnahmen, die IT-Systeme, Medizingeräte und Patientendaten vor Angriffen und Ausfällen schützen. Weil Diagnostik, Medikation und Dokumentation heute digital laufen, ist IT-Sicherheit unmittelbar Patientensicherheit. Alle Krankenhäuser müssen nach § 391 SGB V Vorkehrungen nach dem Stand der Technik treffen, viele zusätzlich die Pflichten des BSI-Gesetzes nach NIS2 erfüllen.

Das Wichtigste in Kürze

  • Die häufigsten Einfallstore sind Phishing, gestohlene Zugangsdaten, ungepatchte Systeme und unzureichend abgesicherte Fernzugänge.
  • Seit dem 6. Dezember 2025 gilt für alle Krankenhäuser § 391 SGB V; die meisten Häuser fallen zusätzlich unter das NIS2-Umsetzungsgesetz.
  • Wirksamer Schutz entsteht aus wenigen, konsequent umgesetzten Grundlagen: MFA, Netzsegmentierung, Backups, Patchen, Angriffserkennung, Notfallübungen und Schulung.
  • Entscheidend ist die Frage: Wie versorgen wir Patientinnen und Patienten weiter, wenn die IT ausfällt?

Warum sind Krankenhäuser ein bevorzugtes Ziel?

Kurze Antwort

Krankenhäuser verbinden hochsensible Daten mit einer Rund-um-die-Uhr-Abhängigkeit von IT und einer vielfältigen, oft historisch gewachsenen Systemlandschaft. Jeder Ausfall trifft unmittelbar die Versorgung.

Ein typisches Krankenhaus betreibt Hunderte Anwendungen: Krankenhausinformationssystem, Labor, Radiologie, OP-Management, Pflegedokumentation, Abrechnung und zahlreiche vernetzte Medizingeräte. Viele davon laufen über Jahre, manche auf Betriebssystemen, für die es keine Updates mehr gibt. Dazu kommen externe Dienstleister mit Fernwartungszugängen. Für Angreifer ergibt das eine große Angriffsfläche – und eine hohe Bereitschaft der Betroffenen, Systeme schnell wiederherzustellen.

Welche Bedrohungen sind am häufigsten?

Kurze Antwort

Ransomware nach einem Phishing-Angriff, missbrauchte Zugangsdaten, Schwachstellen in nicht aktualisierten Systemen, unsichere Fernzugänge von Dienstleistern und angreifbare Medizingeräte.

Ransomware

Angreifer verschlüsseln Server und Daten und fordern Lösegeld, oft verbunden mit der Drohung, gestohlene Patientendaten zu veröffentlichen. Der Weg hinein führt meist über eine präparierte E-Mail oder gestohlene Zugangsdaten.

Phishing und Social Engineering

Täuschend echte E-Mails, Anrufe oder Nachrichten verleiten Beschäftigte dazu, Zugangsdaten preiszugeben oder Schadsoftware zu öffnen. Im hektischen Klinikalltag mit vielen geteilten Arbeitsplätzen ist das besonders wirksam.

Lieferkette und Fernwartung

Dienstleister, Softwarehersteller und Medizintechnik-Anbieter benötigen Zugänge zu Systemen. Sind diese nicht abgesichert und überwacht, werden sie zur Hintertür.

Medizingeräte und Gebäudetechnik

Vernetzte Geräte lassen sich oft nicht wie normale Rechner aktualisieren. Ohne eigene Netzsegmente und Überwachung sind sie ein Risiko für das gesamte Netz.

Welche Pflichten gelten für Krankenhäuser?

Kurze Antwort

§ 391 SGB V verpflichtet alle Krankenhäuser zu angemessenen Vorkehrungen nach dem Stand der Technik und zu Maßnahmen, die das Sicherheitsbewusstsein der Beschäftigten stärken. Hinzu kommen für die meisten Häuser die Pflichten aus dem BSI-Gesetz nach NIS2.

  • § 391 SGB V: Vorkehrungen nach dem Stand der Technik gegen Störungen von Verfügbarkeit, Integrität und Vertraulichkeit; verpflichtende Sensibilisierung der Beschäftigten. Die Pflicht lässt sich insbesondere durch einen vom BSI als geeignet festgestellten branchenspezifischen Sicherheitsstandard erfüllen, den B3S Krankenhaus.
  • BSI-Gesetz (NIS2): Registrierung beim BSI, Risikomanagementmaßnahmen, Meldung erheblicher Sicherheitsvorfälle und eine persönliche Verantwortung der Geschäftsleitung. Details im Artikel KRITIS und NIS2 im Gesundheitswesen.
  • DSGVO: Schutz von Gesundheitsdaten nach Art. 9 und Art. 32, Meldung von Datenschutzverletzungen innerhalb von 72 Stunden nach Art. 33.

Welche Maßnahmen schützen am wirksamsten?

Kurze Antwort

Mehr-Faktor-Authentifizierung, Netzsegmentierung, geprüfte Offline-Backups, konsequentes Patchen, Angriffserkennung, geübte Notfallpläne und regelmäßige Schulungen. Diese Grundlagen verhindern die meisten erfolgreichen Angriffe oder begrenzen ihren Schaden.

Schutzmaßnahmen nach Wirkung und Aufwand

Maßnahme Schützt vor Aufwand
Mehr-Faktor-Authentifizierung (Fernzugänge, Admins, E-Mail) Missbrauch gestohlener Zugangsdaten Gering bis mittel
Netzsegmentierung, eigene Netze für Medizingeräte Ausbreitung im Netz Mittel bis hoch
Offline- oder unveränderliche Backups, regelmäßig getestet Datenverlust durch Ransomware Mittel
Patch- und Schwachstellenmanagement Ausnutzung bekannter Lücken Mittel, laufend
Angriffserkennung mit klarer Rufbereitschaft Unentdeckte Angreifer im Netz Mittel bis hoch
Notfallplan für den IT-Ausfall, regelmäßig geübt Versorgungsunterbrechung Mittel
Awareness-Schulungen und Phishing-Übungen Phishing, Social Engineering Gering, laufend
Abgesicherte, protokollierte Dienstleisterzugänge Angriffe über die Lieferkette Gering bis mittel

Die IT-Notfallplanung nicht vergessen

Selbst gut geschützte Häuser können getroffen werden. Entscheidend ist dann, wie schnell die Versorgung auf Papierverfahren umgestellt werden kann: Wo liegen Formulare, wer entscheidet über die Abmeldung von der Notfallversorgung, wie erreichen sich die Verantwortlichen ohne E-Mail und Telefonanlage? Diese Fragen sollten vorab beantwortet und regelmäßig geübt werden.

Wie gehen Krankenhäuser strukturiert vor?

  1. Bestandsaufnahme: Welche Systeme, Geräte und Zugänge gibt es, und welche sind für die Versorgung kritisch?
  2. Risikoanalyse: Bedrohungen, Schwachstellen und Auswirkungen bewerten, Prioritäten festlegen.
  3. Informationssicherheitsmanagement (ISMS) aufbauen: Rollen, Richtlinien und Prozesse, etwa auf Basis des B3S Krankenhaus oder ISO/IEC 27001.
  4. Grundschutz umsetzen: MFA, Segmentierung, Backups, Patchen, Protokollierung.
  5. Erkennen und reagieren: Angriffserkennung, Meldewege, Notfall- und Wiederanlaufpläne.
  6. Menschen befähigen: Schulungen für alle Beschäftigten und für die Geschäftsleitung, mehr dazu im Artikel Security Awareness im Krankenhaus.
  7. Regelmäßig prüfen: Audits, Übungen und Kennzahlen, kontinuierliche Verbesserung.

Fazit

Cybersecurity im Krankenhaus ist Teil der Patientensicherheit. Die gesetzlichen Pflichten sind mit § 391 SGB V und dem NIS2-Umsetzungsgesetz deutlich gewachsen. Wer die Grundlagen konsequent umsetzt, den IT-Ausfall regelmäßig übt und die Beschäftigten einbindet, senkt das Risiko erheblich – und kann im Ernstfall die Versorgung aufrechterhalten.

Quellen

  1. § 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
  2. BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes. Insbesondere §§ 28, 30, 32 und 38.
  3. Verordnung (EU) 2016/679 (DSGVO). Art. 9, 32 und 33.
  4. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie). Amtsblatt der Europäischen Union.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

Häufige Fragen

Warum sind Krankenhäuser häufig Ziel von Cyberangriffen?

Krankenhäuser verarbeiten sehr sensible Daten, sind rund um die Uhr auf funktionierende IT angewiesen und betreiben viele unterschiedliche, teils ältere Systeme und Medizingeräte. Ein Ausfall gefährdet unmittelbar die Versorgung. Das erhöht den Druck, Lösegeld zu zahlen, und macht Kliniken für Angreifer attraktiv.

Welche gesetzlichen Pflichten zur IT-Sicherheit haben Krankenhäuser?

Alle Krankenhäuser müssen nach § 391 SGB V angemessene Vorkehrungen nach dem Stand der Technik treffen, einschließlich Maßnahmen zur Sensibilisierung der Beschäftigten. Viele Häuser fallen zusätzlich als wichtige oder besonders wichtige Einrichtung unter das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes, mit Registrierungs-, Melde- und Risikomanagementpflichten.

Was ist der B3S Krankenhaus?

Der branchenspezifische Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus wurde von der Deutschen Krankenhausgesellschaft erarbeitet. Das BSI hat seine Eignung festgestellt. Krankenhäuser können ihre Pflichten nach § 391 SGB V insbesondere durch die Anwendung eines solchen Standards erfüllen.

Welche Maßnahmen bringen am meisten Schutz?

Besonders wirksam sind Mehr-Faktor-Authentifizierung für Fernzugänge und Administratoren, getrennte Netze für Medizingeräte, geprüfte Offline-Backups, konsequentes Patchen, Angriffserkennung mit klaren Zuständigkeiten, geübte Notfallpläne für den IT-Ausfall und regelmäßige Schulungen der Beschäftigten.

Was tun bei einem Cyberangriff im Krankenhaus?

Betroffene Systeme isolieren, den Notfallplan aktivieren und auf die vorbereiteten Ersatzverfahren für die Versorgung umstellen. Meldepflichtige Einrichtungen müssen einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden als frühe Erstmeldung und innerhalb von 72 Stunden als Meldung an das BSI übermitteln. Bei Datenschutzverletzungen gilt zusätzlich die 72-Stunden-Frist der DSGVO.

Lassen Sie uns über Ihr Projekt sprechen.

Unverbindliches Erstgespräch zu Beratung, Projekt oder Schulung.

Gespräch anfrageninfo@digitalhealthexperts.de