Was ist Schatten-IT im Krankenhaus?

Schatten-IT sind Anwendungen, die Fachabteilungen ohne Beteiligung der IT selbst aufgebaut haben und betreiben, etwa Excel-Listen mit Makros oder Access-Datenbanken für OP-Statistiken, Dienstpläne oder Qualitätsdaten. Sie entstehen meist, weil das KIS eine Aufgabe nicht abdeckt und schnell eine Lösung gebraucht wird. Problematisch werden sie, wenn wichtige Abläufe oder Patientendaten von ihnen abhängen.

Wird Microsoft Access eingestellt?

Ein Support-Ende für Access als Produkt hat Microsoft nach unserem Kenntnisstand nicht angekündigt (Stand November 2026). Der Support endet aber je Version: Access 2016 und 2019 erhalten seit Oktober 2025 keine Sicherheitsupdates mehr, Office LTSC 2021 seit Oktober 2026. Access ist weiterhin Teil von Microsoft-365-Abonnements mit Desktop-Apps.

Müssen alle Excel- und Access-Lösungen abgelöst werden?

Nein. Viele Tabellen sind persönliche Arbeitshilfen ohne Risiko. Abgelöst werden sollten Lösungen, die personenbezogene oder Patientendaten verarbeiten, von mehreren Personen genutzt werden, Entscheidungen oder Abrechnung beeinflussen oder an einer einzigen Person hängen. Eine Bestandsaufnahme mit einfacher Bewertung zeigt, wo sich der Aufwand lohnt.

Ist Power Apps ein guter Ersatz für Access?

Für Formular- und Erfassungsanwendungen mit überschaubarer Logik oft ja, zumal Microsoft einen Weg bietet, Access-Tabellen nach Dataverse zu übertragen. Für komplexe Fachlogik, viele Schnittstellen oder hohe Lastanforderungen ist eine Datenbank mit Web-Anwendung meist besser geeignet. Entscheidend ist, dass die neue Lösung unter Governance der IT betrieben wird.

Was hat NIS2 mit Excel-Listen zu tun?

Einrichtungen, die unter das BSI-Gesetz fallen, müssen Risikomanagementmaßnahmen umsetzen und dokumentieren, unter anderem Konzepte für Zugriffskontrolle und die Verwaltung ihrer IT-Systeme (§ 30 BSIG). Unbekannte Anwendungen mit sensiblen Daten lassen sich weder bewerten noch absichern. Die Bestandsaufnahme der Insellösungen gehört deshalb zur Informationssicherheit.

Wie lange dauert die Ablösung einer Access-Datenbank?

Das hängt von Größe, Datenqualität und Schnittstellen ab. Eine einfache Erfassungsanwendung lässt sich oft in wenigen Wochen umstellen, eine gewachsene Datenbank mit vielen Abfragen und Berichten deutlich länger. Ein schrittweises Vorgehen, bei dem zuerst die Daten in eine zentrale Datenbank wandern, senkt das Risiko.

Excel- und Access-Insellösungen im Krankenhaus ablösen

Kurze Antwort

Excel- und Access-Insellösungen entstehen im Krankenhaus dort, wo das KIS oder andere Fachsysteme eine Aufgabe nicht abdecken. Sie sind schnell gebaut, hängen aber oft an einzelnen Personen und verarbeiten nicht selten Patientendaten außerhalb von Rechte-, Sicherungs- und Protokollierungskonzepten. Ablösen sollten Sie sie geordnet: erst eine Bestandsaufnahme mit Risikobewertung, dann je Anwendung ein passendes Zielbild – etwa Power Apps, eine Datenbank mit Web-Anwendung, Power BI oder eine Funktion im KIS.

Stand: November 2026

Das Wichtigste in Kürze

Insellösungen sind ein Zeichen dafür, dass Fachabteilungen Bedarf haben. Ziel ist nicht, sie zu verbieten, sondern die wichtigen in betreute Lösungen zu überführen.
Die größten Risiken: Abhängigkeit von einzelnen Personen, fehlende Zugriffsrechte und Sicherungen, unbemerkte Rechenfehler und fehlende Dokumentation für Datenschutz und Informationssicherheit.
Für Access hat Microsoft kein Produktende angekündigt; der Support endet aber je Version. Access 2016 und 2019 erhalten seit dem 14. Oktober 2025 keine Sicherheitsupdates mehr.
Eine Bestandsaufnahme mit wenigen Kriterien – Datenart, Nutzerkreis, Bedeutung für den Betrieb, Personenabhängigkeit – zeigt, wo Handlungsbedarf besteht.
Es gibt nicht das eine Zielbild: Power Apps, eine Datenbank mit Web-Anwendung, Power BI und die Integration ins KIS ergänzen sich.
Ohne Betriebsmodell und Governance entstehen nach der Ablösung neue Inseln, nur auf einer anderen Plattform.

Warum entstehen Excel- und Access-Lösungen im Krankenhaus?

Kurze Antwort

Weil Fachabteilungen Aufgaben haben, die das KIS nicht oder nur umständlich abbildet, und weil eine Tabelle oder Datenbank schneller gebaut ist als ein IT-Projekt.

Typische Beispiele sind Listen für OP-Planung und Saalauslastung, Dokumentationen für Qualitätssicherung und Register, Erfassungen in Hygiene und Medizintechnik, Personal- und Fortbildungsübersichten, Berichte für das Controlling oder Belegungsauswertungen. Oft hat eine engagierte Person in der Abteilung die Lösung über Jahre weiterentwickelt. Sie funktioniert – solange diese Person da ist.

Die Ursachen liegen selten bei den Fachabteilungen allein:

Lücken in den Fachsystemen: Das KIS deckt nicht jeden Ablauf ab, Anpassungen beim Hersteller dauern oder kosten viel.
Engpässe in der IT: Die IT ist mit Betrieb, Sicherheit und Pflichtprojekten ausgelastet. Kleine Anforderungen bleiben liegen.
Fehlende Datenzugänge: Wer Auswertungen braucht, exportiert Daten aus dem KIS und rechnet in Excel weiter.
Niedrige Einstiegshürde: Excel und Access sind vorhanden, und Grundkenntnisse reichen für einen ersten Stand.

Welche Risiken bergen die Insellösungen?

Kurze Antwort

Personenabhängigkeit, fehlende Zugriffs- und Sicherungskonzepte, Datenschutzverstöße, unbemerkte Fehler und Lücken in der Dokumentation, die Datenschutz und Informationssicherheit verlangen.

Risiko	Typisches Beispiel	Mögliche Folge
Personenabhängigkeit	Nur eine Mitarbeiterin versteht Makros und Abfragen	Ausfall bei Krankheit, Wechsel oder Ruhestand
Zugriff und Vertraulichkeit	Datei mit Patientendaten auf einem Gruppenlaufwerk, das die halbe Klinik lesen kann	Unbefugter Zugriff, Verstoß gegen Datenschutz und Schweigepflicht
Datensicherung	Datenbank liegt lokal oder auf einem Stick	Datenverlust bei Defekt oder Schadsoftware
Datenqualität und Fehler	Formel wird beim Kopieren überschrieben, Zeilen fehlen im Bezug	Falsche Kennzahlen, falsche Entscheidungen, Fehler in Meldungen
Gleichzeitige Nutzung	Mehrere Personen bearbeiten eine Access-Datei über das Netzlaufwerk	Beschädigte Datenbank, Datenverlust
Veraltete Software	Datenbank läuft nur mit einer alten Office-Version	Keine Sicherheitsupdates mehr
Dokumentation	Anwendung ist weder im Verzeichnis der Verarbeitungstätigkeiten noch in der Anwendungsliste des ISMS	Lücken bei Datenschutzprüfung, NIS2- oder KRITIS-Nachweis

Datenschutz: Verarbeitet eine Insellösung personenbezogene Daten, gelten die Pflichten der DSGVO in vollem Umfang – darunter das Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Datenschutz durch Technikgestaltung (Art. 25) und angemessene Sicherheitsmaßnahmen (Art. 32). Bei Gesundheitsdaten nach Art. 9 DSGVO sind die Anforderungen besonders hoch.

Informationssicherheit: Krankenhäuser müssen nach § 391 SGB V angemessene Vorkehrungen nach dem Stand der Technik treffen. Für Einrichtungen, die unter das BSI-Gesetz fallen, verlangt § 30 BSIG Risikomanagementmaßnahmen – unter anderem Konzepte für Zugriffskontrolle und die Verwaltung von IT-Systemen – und deren Dokumentation. Wie das zusammenhängt, erklärt der Artikel KRITIS und NIS2 im Gesundheitswesen. Eine Anwendung, von der die IT nichts weiß, kann sie weder bewerten noch absichern.

Was gilt für Microsoft Access – endet der Support?

Kurze Antwort

Microsoft hat nach unserem Kenntnisstand kein Produktende für Access angekündigt. Der Support endet aber je Version, und für ältere Versionen gibt es keine Sicherheitsupdates mehr.

Version	Ende des Supports laut Microsoft
Office 2016 (mit Access 2016)	14. Oktober 2025
Office 2019 (mit Access 2019)	14. Oktober 2025
Office LTSC 2021 (mit Access 2021)	13. Oktober 2026
Microsoft 365 Apps mit Access	laufend aktualisiert, solange das Abonnement besteht

Nach dem Supportende liefert Microsoft für die betroffene Version keine Fehlerbehebungen und keine Sicherheitsupdates mehr. Läuft eine Access-Datenbank nur noch mit einer solchen Version, ist das ein konkreter Anlass zum Handeln. Microsoft bietet zudem einen Weg, Access-Tabellen nach Dataverse, der Datenbasis der Power Platform, zu übertragen. Die Access-Formulare und -Berichte können danach über verknüpfte Tabellen zunächst weiterarbeiten. Das erleichtert einen schrittweisen Umstieg.

Wie gelingt die Bestandsaufnahme?

Kurze Antwort

Sammeln Sie die Insellösungen mit den Fachabteilungen, beschreiben Sie jede mit wenigen Merkmalen und bewerten Sie sie nach Datenart, Bedeutung und Personenabhängigkeit.

So finden Sie die Lösungen:

Abteilungen befragen: Ein kurzer Fragebogen an Chefärztinnen und Chefärzte, Pflegedirektion, Verwaltung, Controlling und Qualitätsmanagement – mit dem klaren Hinweis, dass es nicht um Kontrolle, sondern um Unterstützung geht.
Laufwerke auswerten: Access-Dateien (.accdb, .mdb) und Excel-Dateien mit Makros (.xlsm) auf Netzlaufwerken und in Cloud-Speichern suchen, nach Größe und letzter Änderung sortieren.
Datenflüsse nachverfolgen: Welche Exporte aus KIS, Labor oder Personalsystem werden regelmäßig gezogen, und wohin gehen sie?
Datenschutz einbeziehen: Das Verzeichnis der Verarbeitungstätigkeiten zeigt, wo bereits Verarbeitungen bekannt sind.

So bewerten Sie:

Kriterium	Niedrig	Hoch
Datenart	Keine personenbezogenen Daten	Patienten- oder Personaldaten
Nutzerkreis	Eine Person	Mehrere Abteilungen
Bedeutung	Arbeitshilfe	Grundlage für Versorgung, Abrechnung, Meldungen oder Steuerung
Personenabhängigkeit	Mehrere Personen können die Lösung pflegen	Nur eine Person versteht sie
Technischer Zustand	Aktuelle Software, gesichert, Rechte geregelt	Veraltete Version, lokal gespeichert, offene Freigaben

Lösungen mit mehreren „hoch“ kommen zuerst an die Reihe. Für alle anderen genügen oft einfache Regeln: Speicherort festlegen, Zugriffe einschränken, eine Vertretung benennen.

Welche Zielbilder kommen infrage?

Kurze Antwort

Je nach Anwendung eine Low-Code-Lösung mit Power Apps, eine zentrale Datenbank mit Web-Anwendung, ein Bericht in Power BI oder eine Funktion im KIS beziehungsweise einem vorhandenen Fachsystem.

Zielbild	Geeignet für	Zu beachten
Power Platform (Power Apps, Power Automate, Dataverse)	Erfassungen, Formulare, Genehmigungen, einfache Abläufe	Lizenzen, Umgebungs- und Rechtekonzept, Datenschutzprüfung der Cloud-Dienste
Datenbank und Web-Anwendung (zum Beispiel SQL Server, PostgreSQL)	Komplexe Fachlogik, viele Nutzer, Schnittstellen, Betrieb im eigenen Rechenzentrum	Entwicklungs- und Wartungsaufwand, Verantwortung für den Code
Power BI	Auswertungen und Kennzahlen, die bisher in Excel gerechnet werden	Saubere Datenquellen, Berechtigungen auf Zeilenebene, Lizenzmodell
Integration ins KIS oder Fachsystem	Abläufe nah an der Patientenversorgung	Herstellerabhängigkeit, Kosten, Zeitbedarf
Standardsoftware	Verbreitete Aufgaben wie Dienstplanung, Fortbildungsverwaltung, Gerätemanagement	Anpassung der Abläufe an die Software

Für Auswertungen ist Power BI oft der naheliegende Ersatz für Excel-Berichte. Wie das im Krankenhaus aussieht, beschreiben die Artikel Power BI im Krankenhaus und Krankenhaus-Controlling mit Power BI. Werden Daten aus mehreren Quellen zusammengeführt, kann eine Datenplattform wie Microsoft Fabric sinnvoll sein.

Wichtig bei Cloud-Diensten: Werden Gesundheits- oder Sozialdaten verarbeitet, gelten die Bedingungen des § 393 SGB V, einschließlich C5-Testat. Für Lösungen ohne Patientendaten ist die Prüfung einfacher.

Wie gehen Sie bei der Ablösung schrittweise vor?

Kurze Antwort

Mit einer kleinen, gut sichtbaren Lösung beginnen, zuerst die Daten in eine zentrale, gesicherte Datenbasis überführen und die Oberfläche danach erneuern – immer gemeinsam mit den Nutzerinnen und Nutzern.

Priorisieren: Aus der Bestandsaufnahme zwei oder drei Lösungen mit hohem Risiko und klarem Nutzen auswählen.
Anforderungen aufnehmen: Mit der Fachabteilung klären, was die Lösung heute leistet, was fehlt und was entfallen kann. Gewachsene Lösungen enthalten oft Funktionen, die niemand mehr nutzt.
Datenbestand prüfen: Dubletten, leere Pflichtfelder und uneinheitliche Schreibweisen bereinigen. Datenqualität entscheidet über den Erfolg der neuen Lösung.
Zielbild festlegen: Anhand der Tabelle oben – mit IT, Datenschutz und Informationssicherheit.
Daten zuerst umziehen: Die Daten wandern in eine zentrale, gesicherte Datenbank. Die alte Oberfläche kann übergangsweise darauf zugreifen.
Neue Oberfläche bauen und testen: Mit echten Abläufen und den künftigen Nutzern, nicht nur am Schreibtisch der Entwicklung.
Umstellen und abschalten: Einen Stichtag festlegen, die alte Datei schreibschützen und archivieren. Parallelbetrieb ohne Ende erzeugt neue Inseln.
Dokumentieren: Verzeichnis der Verarbeitungstätigkeiten, Anwendungsliste im ISMS, Rechtekonzept und Betriebshandbuch aktualisieren.

Bei Konzeption und Entwicklung von Anwendungen, Schnittstellen und Datenbanken unterstützt die Beratung Softwareentwicklung und Integration, bei Berichten und Kennzahlen die Power-BI-Beratung.

Wie sichern Betrieb und Governance den Erfolg?

Kurze Antwort

Mit klaren Verantwortlichkeiten, Regeln für Low-Code-Entwicklung, einem Freigabeprozess für neue Anwendungen und einem Angebot an die Fachabteilungen, damit Bedarf nicht wieder in neuen Inseln endet.

Rollen festlegen: Jede Anwendung hat eine fachlich verantwortliche Person und eine technische Betreuung mit Vertretung.
Plattformregeln: Für die Power Platform getrennte Umgebungen für Entwicklung, Test und Betrieb, Richtlinien für Konnektoren und Datenverbindungen sowie ein Überblick, welche Apps und Abläufe existieren.
Freigabeprozess: Neue Anwendungen mit personenbezogenen Daten werden vor dem Einsatz von Datenschutz und Informationssicherheit geprüft – mit einem einfachen, schnellen Verfahren.
Befähigen statt verbieten: Schulungen und Vorlagen für Key-User in den Fachabteilungen. Wer Daten und Werkzeuge kennt, baut bessere Lösungen und erkennt Grenzen früher.
Regelmäßig prüfen: Einmal im Jahr die Anwendungsliste mit den Abteilungen durchgehen, nicht mehr genutzte Lösungen stilllegen.

Welche Schulungen helfen bei der Ablösung?

Kurze Antwort

Key-User und IT brauchen Grundlagen der Power Platform, Datenbankwissen und Know-how zu Berichten und Datenqualität. Die Seminare lassen sich auch als Inhouse-Schulung für ein Projektteam durchführen.

Aufgabe	Passendes Seminar	Dauer
Möglichkeiten von Power Apps, Power Automate und Dataverse kennenlernen	PL-900 Introduction to Microsoft Power Platform	1 Tag
Datenmodelle und Datenbanken sauber entwerfen	SQL und Datenbankdesign Grundkurs	3 Tage
Einfache Listen und Formulare nach SharePoint Online verlagern	SharePoint Online – Strukturierte Team- und Fachbereichslösungen	2 Tage
Excel-Berichte durch Power BI ersetzen	Power BI Grundlagen: Daten, Reports & Dashboards	2 Tage
Verantwortung und Regeln für Daten festlegen	Data Governance Workshop	1 Tag
Datenbestände vor der Migration bereinigen	Datenqualität und Datenqualitäts-Management	1 Tag

Weitere Seminare finden Sie unter Dynamics 365 und Power Platform und Data Science & Analytics.

Fazit

Excel- und Access-Lösungen sind im Krankenhaus kein Versagen der Fachabteilungen, sondern Ausdruck von Bedarf, den die vorhandenen Systeme nicht decken. Zum Risiko werden sie, wenn Patientendaten, Abrechnung oder Versorgung an Dateien hängen, die nur eine Person versteht und die weder gesichert noch dokumentiert sind. Wer die Lösungen systematisch erfasst, nach Risiko ordnet und für jede ein passendes Zielbild wählt, gewinnt Sicherheit und Datenqualität. Ein Betriebsmodell mit klaren Regeln und befähigten Key-Usern sorgt dafür, dass neuer Bedarf künftig in betreuten Lösungen landet.

Quellen

Plan an upgrade from older versions of Office to Microsoft 365 Apps. Microsoft Learn: Supportende von Office 2016, 2019 und LTSC 2021 und seine Folgen.
Office 2021 – Microsoft Lifecycle. Microsoft Learn.
Microsoft Office 2019 – Microsoft Lifecycle. Microsoft Learn.
Get started: Migrate Access data to Dataverse. Microsoft Support.
Verordnung (EU) 2016/679 (DSGVO). Art. 9, 25, 30 und 32.
§ 30 BSIG – Risikomanagementmaßnahmen. Bundesministerium der Justiz.
§ 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
§ 393 SGB V – Cloud-Einsatz im Gesundheitswesen. Bundesministerium der Justiz.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

Excel- und Access-Insellösungen im Krankenhaus ablösen: Risiken, Bestandsaufnahme und Zielbilder

Warum entstehen Excel- und Access-Lösungen im Krankenhaus?

Welche Risiken bergen die Insellösungen?

Was gilt für Microsoft Access – endet der Support?

Wie gelingt die Bestandsaufnahme?

Welche Zielbilder kommen infrage?

Wie gehen Sie bei der Ablösung schrittweise vor?

Wie sichern Betrieb und Governance den Erfolg?

Welche Schulungen helfen bei der Ablösung?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.