Penetrationstests im Krankenhaus: Sicherheitslücken erkennen, Versorgung schützen

Kurze Antwort

Ein Penetrationstest im Krankenhaus ist ein beauftragter, kontrollierter Angriff auf IT-Systeme, Netze und Anwendungen der Klinik, um Schwachstellen zu finden, bevor Angreifer sie ausnutzen. Gesetzlich ausdrücklich vorgeschrieben ist er nicht, doch § 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen, und der B3S Krankenhaus fordert regelmäßige Überprüfungen. Im Krankenhaus gilt dabei eine klare Regel: Die Patientensicherheit hat Vorrang vor der Testtiefe.

Stand: November 2026

Das Wichtigste in Kürze

• Ein Penetrationstest sucht gezielt nach Wegen, Schutzmaßnahmen zu umgehen. Ein Schwachstellenscan listet nur mögliche Lücken auf, ein Audit prüft die Umsetzung vereinbarter Maßnahmen.
• Weder § 391 SGB V noch das BSI-Gesetz nennen Pentests ausdrücklich. Sie sind aber ein anerkanntes Mittel, die Wirksamkeit von Maßnahmen technisch zu belegen.
• Typische Testobjekte sind Internetzugänge, Fernwartung, Active Directory, Patientenportale, WLAN und das Umfeld des KIS. Medizingeräte werden nur mit besonderer Vorsicht einbezogen.
• Voraussetzung ist ein schriftlicher Auftrag mit Prüfobjekt, Prüftiefe, Testfenster, Notfallkontakten und Abbruchkriterien.
• Der Wert entsteht erst durch die Nacharbeit: Bericht, Maßnahmenplan, Behebung, Nachprüfung und Einbindung ins ISMS.
• Schulungen braucht es für zwei Gruppen: Fachleute, die Tests steuern und Befunde beheben, und Spezialisten, die selbst testen.

Was ist ein Penetrationstest – und was nicht?

Kurze Antwort

Ein Penetrationstest stellt fest, wie erfolgreich ein gezielter Angriff auf ein Netz, ein System oder eine Anwendung wäre. Er geht damit weiter als ein Schwachstellenscan oder ein Audit, ist aber enger begrenzt als ein Red-Teaming.

Das BSI beschreibt den IS-Penetrationstest in seinem Praxis-Leitfaden als erprobtes Vorgehen, um das Angriffspotenzial festzustellen und die Wirksamkeit umgesetzter Maßnahmen zu überprüfen. Eine IS-Revision prüft dagegen, ob Maßnahmen wie vereinbart umgesetzt sind.

Verfahren	Frage	Vorgehen	Typisches Ergebnis
Schwachstellenscan	Welche bekannten Lücken könnten vorhanden sein?	weitgehend automatisiert, Versionen und Patchstände werden abgefragt, Lücken werden nicht ausgenutzt	lange Liste möglicher Schwachstellen, darunter Fehlalarme
Penetrationstest	Lassen sich die Schutzmaßnahmen tatsächlich umgehen?	Prüfer kombinieren Werkzeuge und Handarbeit, bestätigen Befunde, nutzen Lücken nur kontrolliert aus	bewertete, bestätigte Schwachstellen mit Empfehlungen
Red-Teaming	Erkennen und stoppen wir einen realistischen Angreifer?	zielorientierte Angriffssimulation über längere Zeit, oft verdeckt, ggf. mit Social Engineering	Aussage zu Erkennung und Reaktion der Organisation
Audit, IS-Revision	Sind die vorgesehenen Maßnahmen umgesetzt und dokumentiert?	Prüfung von Dokumenten, Interviews, Stichproben gegen einen Standard	Feststellungen zur Umsetzung, etwa nach B3S oder IT-Grundschutz

Das BSI empfiehlt Whitebox-Tests, bei denen die Prüfer Netzpläne und Systeminformationen erhalten: Sie finden mehr, riskieren weniger unbeabsichtigte Schäden und brauchen weniger Zeit als ein Blackbox-Test. Außerdem rät es zu einer moderaten Angriffsstärke: Schwachstellen nachweisen, aber nur mit gründlich getesteten Exploits und nur, wenn es unvermeidbar ist.

Was verlangen § 391 SGB V, B3S und NIS2?

Kurze Antwort

Keines der Regelwerke schreibt einen Penetrationstest ausdrücklich vor. Alle verlangen aber, dass Krankenhäuser die Wirksamkeit ihrer Sicherheitsmaßnahmen prüfen oder nachweisen – und dafür ist ein Pentest ein naheliegendes Werkzeug.

Regelwerk	Was gilt	Bezug zum Penetrationstest
§ 391 SGB V (alle Krankenhäuser, soweit nicht KRITIS-Betreiber)	angemessene Vorkehrungen nach dem Stand der Technik, Security-Awareness	keine ausdrückliche Prüfpflicht; ein Test zeigt, ob die Vorkehrungen wirken
B3S Krankenhaus, Version 1.3.1, Abschnitt 6.10	Wirksamkeit von Maßnahmen regelmäßig durch Audits überprüfen; externe Prüfungen vertraglich regeln, Versorgung hat Vorrang	Vorgaben zur sicheren Durchführung von Prüfungen im laufenden Betrieb gelten auch für Pentests
§ 30 Abs. 2 BSIG (wichtige und besonders wichtige Einrichtungen)	u. a. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen (Nr. 5) sowie Konzepte und Verfahren zur Bewertung der Wirksamkeit (Nr. 6)	anerkanntes Verfahren, um Wirksamkeit technisch zu bewerten
§ 39 BSIG (Betreiber kritischer Anlagen)	Nachweis alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen; festgestellte Mängel gehen an das BSI	Pentest-Ergebnisse können den Nachweis ergänzen, ersetzen ihn aber nicht

Wer zu welcher Gruppe gehört, erklärt der Leitartikel KRITIS und NIS2 im Gesundheitswesen. Wie der B3S aufgebaut ist und wie er zu NIS2 passt, steht im Artikel B3S Krankenhaus.

Gerade das Merkmal „wirksam“ in § 30 BSIG lässt sich mit Dokumenten allein schwer belegen.

Was wird im Krankenhaus getestet?

Kurze Antwort

Zuerst die Schnittstellen, über die Angreifer am wahrscheinlichsten eindringen, und die für die Versorgung kritischen Systeme. Das BSI rät, das Prüfobjekt nach Bedrohungslage und Schutzbedarf einzugrenzen und weitere Bereiche in Folgetests zu prüfen.

Testobjekt	Typische Fragen	Hinweise
Internet-Perimeter	Welche Dienste sind von außen erreichbar? Sind Firewall und VPN richtig konfiguriert?	guter Einstieg, geringes Risiko für den Betrieb
Fernwartungszugänge von Dienstleistern	Sind Zugänge dauerhaft offen, mit MFA geschützt, protokolliert?	Dienstleister und Hoster in den Vertrag einbeziehen
Active Directory und interne Netze	Kommt ein Angreifer mit einem normalen Benutzerkonto bis zu Administratorrechten?	häufigster Weg von Ransomware-Angriffen nach innen
Webportale (Patientenportal, Terminbuchung, Bewerberportal)	Lassen sich Daten anderer Personen abrufen oder Eingaben missbrauchen?	Testmethodik etwa nach dem OWASP Web Security Testing Guide; nach BSI vorab ein IS-Webcheck
WLAN	Sind Gäste-, Patienten- und Klinik-WLAN wirksam getrennt?	Prüfung vor Ort
KIS-Umfeld	Sind Server, Datenbanken und Schnittstellen gehärtet und Berechtigungen angemessen?	nur mit Hersteller und Systembetreuung abstimmen
Medizingeräte und Gebäudetechnik (OT)	Ist die Segmentierung wirksam? Erreicht man Geräte aus dem Büronetz?	Segmentierung von außen prüfen, Geräte selbst nur außer Betrieb oder im Testaufbau

Bei Medizintechnik kann schon ein Scan ein Gerät stören – mit unmittelbaren Folgen für Patientinnen und Patienten. Warum vernetzte Geräte ein eigenes Risiko sind, beschreibt der Artikel Cybersecurity im Krankenhaus.

Wie läuft ein Penetrationstest ab?

Kurze Antwort

Nach dem Praxis-Leitfaden des BSI gliedert sich ein Pentest in Vorbereitung, Einarbeitung der Prüfer, den eigentlichen Test und den Bericht. Der Test selbst besteht aus Anfangsgespräch, Einrichten der Arbeitsumgebung, praktischer Prüfung und Abschlussgespräch.

1. Vorbereitung: Prüfobjekt, Prüftiefe, Prüfort, Prüfzeitraum und Prüfbedingungen festlegen, Vertrag schließen. Das BSI empfiehlt, vorab eine IS-Kurzrevision der Basisabsicherung durchzuführen.
2. Einarbeitung: Das Krankenhaus stellt Netzpläne, Systembeschreibungen und Härtungsmaßnahmen bereit.
3. Anfangsgespräch und Arbeitsumgebung: Umfang abstimmen, Zugänge und Prüfgeräte freischalten; bei mehrtägigen Tests täglich kurz abstimmen.
4. Praktische Prüfung: Das BSI beschreibt Module: konzeptionelle Schwächen, Umsetzung der Härtung (offene Ports, Schnittstellen, Patchstände, Authentisierung, Regelwerke), bekannte Schwachstellen und – optional – den Einsatz von Exploits.
5. Abschlussgespräch: vorläufige Ergebnisse; kritische Lücken werden sofort angegangen.
6. Bericht: Beschreibung von Prüfobjekt und Bedingungen, Managementzusammenfassung, technische Einzelbefunde mit Bewertung und Empfehlungen.

Das BSI empfiehlt ein Testteam aus mindestens zwei Personen. Während des Tests sollten keine Änderungen oder Wartungsarbeiten an den Systemen erfolgen. Wird eine so gravierende Lücke entdeckt, dass sie sofort geschlossen werden muss, wird der Test unterbrochen und später fortgesetzt.

Was ist im Krankenhaus besonders zu beachten?

Kurze Antwort

Die Versorgung hat Vorrang. Testfenster, Abbruchkriterien und Notfallkontakte müssen feststehen, Medizingeräte im Patientenbetrieb bleiben ausgespart, und der Zugriff auf Patientendaten wird so weit wie möglich vermieden.

• Patientensicherheit vor Testtiefe: Der B3S verlangt, dass bei externen Prüfungen der Sicherstellung der Versorgung Vorrang eingeräumt wird und Prüfungen den Betrieb nicht stören (etwa durch Spiegelung von Systemen). Lieber eine Lücke als „wahrscheinlich ausnutzbar“ dokumentieren als ein Produktivsystem zum Absturz bringen.
• Testfenster: Zeiten mit wenig Betrieb wählen – aber auch nachts laufen Notaufnahme, Intensivstation und Labor. Betroffene Bereiche vorab informieren.
• Notfallkontakte und Abbruchkriterien: erreichbare Ansprechpartner auf beiden Seiten und festgelegte Kriterien, wann der Test sofort endet, etwa bei Störungen klinischer Systeme.
• Medizingeräte: keine aktiven Tests an Geräten im Patientenbetrieb. Geräte selbst nur außer Betrieb, im Testaufbau und nach Rücksprache mit dem Hersteller prüfen; Eingriffe ohne Abstimmung können Gewährleistung und Herstellerverantwortung berühren.
• Hersteller und Dienstleister: KIS-Hersteller, Rechenzentrumsbetreiber und Hoster vorab einbinden.
• Datenschutz und Schweigepflicht: Der B3S verlangt, die Kenntnisnahme von Gesundheitsdaten durch externe Prüfer so weit wie möglich auszuschließen, und nennt ergänzend die Verpflichtung nach § 203 StGB. Ob zusätzlich ein Vertrag zur Auftragsverarbeitung nötig ist, sollte der Datenschutzbeauftragte beurteilen, der nach BSI vor dem Test einzubeziehen ist.
• Social Engineering: Phishing- oder Telefontests nur unter genau definierten Bedingungen, mit Beteiligung von Betriebs- oder Personalrat und ohne Bloßstellung Einzelner. Wie Sensibilisierung im Haus gelingt, beschreibt der Artikel Security Awareness im Krankenhaus.

Was gehört in Vertrag und Auftrag?

Kurze Antwort

Ohne schriftlichen Auftrag des Berechtigten wird nicht getestet. Der Vertrag legt Prüfobjekt, Prüftiefe und Prüfzeitraum fest und regelt Haftung, Verschwiegenheit und den Umgang mit erhobenen Daten.

Das Eindringen in fremde, besonders gesicherte Systeme kann nach § 202a StGB strafbar sein; § 202c StGB stellt bereits Vorbereitungshandlungen unter Strafe. Das Bundesverfassungsgericht hat 2009 klargestellt, dass Penetrationstests im Auftrag und mit Einverständnis des Betreibers nicht „unbefugt“ sind und Werkzeuge, die auch für Sicherheitstests dienen, nicht allein wegen ihrer Eignung unter § 202c fallen. Der Auftrag muss deshalb vom Berechtigten kommen; bei ausgelagerten Systemen muss auch der Betreiber zustimmen.

In den Vertrag gehören nach dem BSI-Leitfaden mindestens:

• Prüfobjekt, Prüftiefe, Prüfort und Prüfzeitraum
• Kosten, Berichtsumfang und Mitwirkungspflichten des Krankenhauses
• Haftung und Verschwiegenheit (NDA)
• welche Daten erhoben werden dürfen, wo sie gespeichert und wann sie nachweislich gelöscht werden
• der Hinweis, dass Ergebnisse nur für den Testzeitpunkt gelten und nicht alle Fehler gefunden werden können

Dienstleisterauswahl: Der BSI-Leitfaden rät zu unabhängigen externen Prüfern, die weder an Aufbau noch Betrieb der Systeme beteiligt waren. Das BSI zertifiziert IT-Sicherheitsdienstleister im Geltungsbereich IS-Penetrationstests und veröffentlicht eine Liste dieser Anbieter. Davon zu unterscheiden sind die qualifizierten APT-Response-Dienstleister des BSI: Sie unterstützen bei der Bewältigung schwerer Angriffe, nicht bei Penetrationstests.

Wie nutzen Sie die Ergebnisse?

Kurze Antwort

Ein Pentest wirkt erst, wenn die Befunde behoben und im ISMS weiterverfolgt werden: Bericht prüfen, Risiken bewerten, Maßnahmen planen, umsetzen und die Behebung nachprüfen.

1. Bericht verteilen: vertraulich behandeln; die Managementzusammenfassung an die Geschäftsleitung, die technischen Befunde an IT und Systembetreuung.
2. Risiken bewerten: Schwachstellen werden meist nach Standards wie CVSS eingestuft; das BSI nutzt die Stufen hoch (sofort), mittel (kurzfristig), niedrig (mittelfristig) und „zur Information“. Entscheidend ist der Schutzbedarf: Dieselbe Lücke wiegt am KIS schwerer als im Gäste-WLAN.
3. Maßnahmenplan: Befunde mit Verantwortlichen, Fristen und Aufwand in den Maßnahmenplan des ISMS übernehmen. Gleichartige Befunde auf vielen Systemen gemeinsam beheben.
4. Nachprüfen: Viele Dienstleister bieten einen Nachtest an. Das BSI empfiehlt, die Behebung durch interne Qualitätssicherung oder IT mit reproduzierbaren Prüfverfahren zu kontrollieren und dieselben Prüfobjekte nicht wiederholt von denselben Prüfern testen zu lassen.
5. Berichten: Ergebnisse und Umsetzungsstand fließen in die Berichte an die Geschäftsleitung, die nach § 38 BSIG die Umsetzung überwachen muss. Wer das Sicherheitsmanagement steuert, beschreibt der Artikel Informationssicherheitsbeauftragter im Krankenhaus.
6. Wiederholen: Das BSI empfiehlt Wiederholungsprüfungen alle zwei bis drei Jahre, außerdem nach Inbetriebnahme neuer Systeme oder wesentlichen Änderungen. Das ist eine Empfehlung, keine gesetzliche Frist.

Wovon hängen Aufwand und Kosten ab?

Kurze Antwort

Vor allem von Umfang und Tiefe des Tests. Feste Preise lassen sich seriös erst nennen, wenn Prüfobjekt und Rahmenbedingungen klar sind.

• Anzahl und Vielfalt der Prüfobjekte: ein Webportal oder das ganze interne Netz mit mehreren Standorten
• Prüftiefe: technisches Audit, Schwachstellenscan oder aktive Eindringversuche mit Exploits
• Whitebox oder Blackbox: fehlende Unterlagen erhöhen den Aufwand deutlich
• Prüfort: Tests vor Ort, etwa für WLAN und interne Netze
• Klinikbedingungen: enge Testfenster, Abstimmung mit Herstellern, Tests in Randzeiten
• Interner Aufwand: Ansprechpartner, Bereitschaft der Systembetreuung und die anschließende Behebung

Nach Hinweis des BSI sinken die Kosten, wenn gleichartige Systeme nur stichprobenartig getestet werden.

Welche Schulungen passen zum Thema Penetrationstest?

Kurze Antwort

Zwei Gruppen brauchen Wissen: eigene Fachleute, die Pentests beauftragen, begleiten und Befunde beheben, und Spezialisten, die selbst testen – etwa im internen Sicherheitsteam oder beim Dienstleister.

Für die meisten Häuser ist die erste Gruppe wichtiger: Den Test übernehmen nach BSI-Empfehlung externe Prüfer, Behebung und Kontrolle bleiben im Haus.

Aufgabe	Passendes Seminar	Dauer
Pentests beauftragen und Ergebnisse ins ISMS übernehmen (ISB)	Informationssicherheitsbeauftragte(r) mit TÜV-Rheinland-geprüfter Qualifikation	3 Tage
Prüfobjekte nach Risiko auswählen, auch für Medizintechnik und OT	Risiko- und Bedrohungsanalyse für IT und OT	3 Tage
Schwachstellen verstehen, Systeme härten (Administration)	CompTIA Security+	5 Tage
Befunde analysieren, Schwachstellenmanagement betreiben	CompTIA CySA+	5 Tage
Medizingeräte- und OT-Netze absichern	OT/ICS Security Training	3 Tage
Reagieren, wenn im Test Spuren eines echten Angriffs auftauchen	BSI-Vorfall-Praktiker	2 Tage
Penetrationstests planen, durchführen und berichten	CompTIA PenTest+	5 Tage
Methoden und Werkzeuge von Angreifern kennen	Certified Ethical Hacker (CEH)	5 Tage
Penetrationstests praktisch beherrschen, mit OSCP+ als Nachweis	PEN-200 mit Kali Linux (OSCP+), inklusive OffSec Learn One	5 Tage + 1 Jahr Labs

Die Seminare sind auch als Inhouse-Schulung möglich. Alle Kurse zum Thema finden Sie unter Cybersecurity-Schulungen.

Wenn Sie einen Penetrationstest nicht selbst ausschreiben möchten: Unsere Cybersecurity-Beratung führt Penetrationstests für Gesundheitseinrichtungen durch und stimmt Umfang und Zeitpunkt mit dem Klinikbetrieb ab.

Fazit

Ein Penetrationstest zeigt, ob die Sicherheitsmaßnahmen eines Krankenhauses im Ernstfall halten – und liefert damit den Wirksamkeitsnachweis, den § 30 BSIG und der B3S verlangen, auch wenn sie den Pentest nicht ausdrücklich nennen. Im Klinikbetrieb gelingt er, wenn Prüfobjekt und Prüftiefe am Risiko ausgerichtet, Testfenster, Abbruchkriterien und Notfallkontakte vereinbart und Medizingeräte im Patientenbetrieb ausgespart sind. Den eigentlichen Nutzen bringen aber erst die Behebung der Befunde, die Nachprüfung und die Einbindung ins Informationssicherheitsmanagement.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

1. Ein Praxis-Leitfaden für IS-Penetrationstests (Version 1.2, November 2016). Bundesamt für Sicherheit in der Informationstechnik.
2. Geltungsbereich IS-Penetrationstests – Zertifizierung von IT-Sicherheitsdienstleistern. Bundesamt für Sicherheit in der Informationstechnik.
3. Qualifizierte Dienstleister: Vorgehensweisen, Hilfestellungen, Dienstleistungen (APT-Response). Bundesamt für Sicherheit in der Informationstechnik.
4. Informationssicherheit im Krankenhaus – Branchenspezifischer Sicherheitsstandard (B3S). Deutsche Krankenhausgesellschaft; B3S Version 1.3.1, Abschnitt 6.10.
5. § 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
6. § 30 BSIG – Risikomanagementmaßnahmen. Bundesministerium der Justiz.
7. § 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen. Bundesministerium der Justiz.
8. § 202c StGB – Vorbereiten des Ausspähens und Abfangens von Daten. Bundesministerium der Justiz.
9. Beschluss vom 18. Mai 2009, 2 BvR 2233/07 (§ 202c StGB). Bundesverfassungsgericht.
10. § 203 StGB – Verletzung von Privatgeheimnissen. Bundesministerium der Justiz.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

• CompTIA PenTest+5 Tage · nächster Termin 09.–13.11.2026
• Penetration Testing mit Kali Linux (PEN-200) – OSCP Zertifizierung5 Tage · nächster Termin 09.–13.11.2026
• Certified Ethical Hacker (CEH v13 AI)5 Tage · nächster Termin 09.–13.11.2026
• CompTIA CySA+5 Tage · nächster Termin 09.–13.11.2026
• Alle Seminare: CybersecurityTermine, Inhalte und Inhouse-Angebote