Security Awareness im Krankenhaus
Warum Sensibilisierung der Beschäftigten gesetzlich vorgeschrieben ist, welche Inhalte im Klinikalltag wirken und wie Schulungen auch im Schichtdienst funktionieren.
Michael DeinhardGeschäftsführer, Berater und TrainerKurze Antwort
Security Awareness im Krankenhaus bezeichnet alle Maßnahmen, die Beschäftigte befähigen, Cyberangriffe zu erkennen, richtig zu reagieren und Patientendaten sicher zu behandeln. Sie ist Pflicht: § 391 SGB V verlangt Maßnahmen zur Steigerung des Sicherheitsbewusstseins, und unter NIS2 muss sich auch die Geschäftsleitung regelmäßig schulen. Wirksam sind kurze, praxisnahe Formate, die in den Schichtdienst passen.
Das Wichtigste in Kürze
- Viele erfolgreiche Angriffe beginnen mit einer E-Mail oder einem Anruf – Technik allein reicht nicht.
- Pflichten ergeben sich aus § 391 SGB V, aus dem BSI-Gesetz nach NIS2 und aus der DSGVO.
- Kurze, regelmäßige Lerneinheiten wirken besser als eine jährliche Pflichtveranstaltung.
- Eine offene Meldekultur ist wichtiger als fehlerfreie Klickraten.
Warum ist Security Awareness im Krankenhaus so wichtig?
Kurze Antwort
Krankenhäuser haben viele Beschäftigte, viele geteilte Arbeitsplätze und einen hektischen Alltag. Genau das nutzen Angreifer mit Phishing und Social Engineering aus. Aufmerksame Beschäftigte sind deshalb eine der wirksamsten Schutzschichten.
Im Klinikalltag werden E-Mails zwischen zwei Patientenkontakten gelesen, Arbeitsplätze von mehreren Personen genutzt und Anrufe von angeblichen Dienstleistern entgegengenommen. Eine überzeugend gefälschte Nachricht reicht, um Zugangsdaten abzugreifen oder Schadsoftware zu starten. Wer die typischen Merkmale kennt und Auffälligkeiten sofort meldet, verhindert oft Schlimmeres.
Welche Pflichten gelten?
Kurze Antwort
§ 391 SGB V schreibt Maßnahmen zur Sensibilisierung der Beschäftigten vor. Für Einrichtungen unter dem BSI-Gesetz zählen Schulungen und Cyberhygiene zum Risikomanagement, und die Geschäftsleitung muss nach § 38 BSIG selbst regelmäßig geschult werden.
- § 391 Abs. 2 SGB V: verpflichtende Maßnahmen zur Steigerung des Sicherheitsbewusstseins der Beschäftigten in allen Krankenhäusern.
- BSI-Gesetz (NIS2): Schulungen und grundlegende Cyberhygiene als Teil der Risikomanagementmaßnahmen; Schulungspflicht für die Geschäftsleitung nach § 38 Abs. 3 BSIG.
- DSGVO: Beschäftigte, die Gesundheitsdaten verarbeiten, müssen angewiesen und sensibilisiert werden (Art. 32 Abs. 4 und Art. 39 DSGVO).
Welche Inhalte wirken im Klinikalltag?
Kurze Antwort
Inhalte, die konkret an Situationen aus dem Arbeitsalltag anknüpfen: verdächtige E-Mails und Anrufe, geteilte Arbeitsplätze, Patientendaten, mobile Geräte, Meldewege und das Verhalten bei einem IT-Ausfall.
Themen und Zielgruppen
| Thema | Für wen besonders wichtig |
|---|---|
| Phishing und Social Engineering erkennen | Alle Beschäftigten |
| Passwörter, Mehr-Faktor-Authentifizierung, Abmelden am geteilten Arbeitsplatz | Pflege, ärztlicher Dienst, Verwaltung |
| Umgang mit Patientendaten, Ausdrucken und Weitergabe | Alle mit Patientenkontakt |
| Mobile Geräte, USB-Medien, private Messenger | Alle Beschäftigten |
| Meldung von Auffälligkeiten: wer, wie, wann | Alle Beschäftigten |
| Verhalten beim IT-Ausfall, Papierverfahren | Stationen, Notaufnahme, OP |
| Risikobewertung, Verantwortung, Meldepflichten | Geschäftsleitung, Führungskräfte |
| Sichere Administration, Fernwartung | IT, Medizintechnik |
Wie passen Schulungen in den Schichtdienst?
Kurze Antwort
Mit kurzen digitalen Einheiten von fünf bis zehn Minuten, die jederzeit abrufbar sind, ergänzt durch Präsenzformate für Führungskräfte und Schlüsselrollen.
- Basisschulung beim Eintritt: kompakt, mit den wichtigsten Regeln und Meldewegen.
- Kurze Impulse: monatlich wenige Minuten, zum Beispiel ein aktuelles Phishing-Beispiel.
- Jährliche Auffrischung: mit Neuerungen und Lessons Learned aus dem eigenen Haus.
- Phishing-Übungen: angekündigt, abgestimmt und mit sofortigem Lerneffekt statt Bloßstellung.
- Präsenzformate: für Geschäftsleitung, Führungskräfte, IT und Medizintechnik, etwa als Planspiel zum IT-Ausfall.
Wie misst man den Erfolg?
Kurze Antwort
Nicht allein an Klickraten, sondern vor allem daran, wie viele Beschäftigte verdächtige Nachrichten melden und wie schnell sie das tun.
Sinnvolle Kennzahlen sind die Teilnahmequote je Bereich, die Meldequote bei Phishing-Übungen, die Zeit bis zur ersten Meldung und die Zahl echter Verdachtsmeldungen. Steigende Meldungen sind ein gutes Zeichen: Sie zeigen, dass Beschäftigte aufmerksam sind und sich trauen, Auffälligkeiten anzusprechen.
Fazit
Security Awareness ist im Krankenhaus Pflicht und eine der wirksamsten Schutzmaßnahmen. Erfolgreich sind Programme, die kurz, regelmäßig und praxisnah sind, die Geschäftsleitung einbeziehen und eine offene Meldekultur fördern. Mehr zu technischen Maßnahmen im Artikel Cybersecurity im Krankenhaus.
Quellen
- § 391 SGB V – IT-Sicherheit in Krankenhäusern. Abs. 2: Maßnahmen zur Steigerung des Sicherheitsbewusstseins.
- § 38 BSIG – Pflichten der Geschäftsleitung. Bundesministerium der Justiz.
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie). Art. 20 und 21.
- Verordnung (EU) 2016/679 (DSGVO). Art. 32 und 39.
Passende Schulungen
Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.