Cyberangriffe auf Krankenhäuser Budget- und Personalmangel sind die größten Schwachstellen

Anbieter zum Thema

TREND MICRO Deutschland GmbH

Governikus GmbH & Co. KG

Das Klinikum Ingolstadt, die Wertachkliniken oder die Kliniken der Johannesstift Diakonie: Das sind nur ein paar Beispiele an Krankenhäusern, die im vergangenen Jahr von Cyberangriffen betroffen waren. Warum sind Gesundheitseinrichtungen so anfällig für Cybervorfälle und wie können sie sich besser schützen?

Seit einigen Jahren sieht sich das Gesundheitswesen verstärkt im Fokus von Cyberkriminellen. Immer wieder berichten die Medien über Cyberangriffe, die den Krankenhaus-Betrieb beeinträchtigen. Da bei Weitem nicht alle Vorfälle gemeldet werden, dürfte die Dunkelziffer noch deutlich höher sein. Vorbei sind die Zeiten, in denen Cyberkriminelle Kliniken aus ethischen Gründen verschonten oder Daten, die sie versehentlich als „Beifang“ verschlüsselt hatten, wieder bereitwillig freigaben. Heute greifen Ransomware-Akteure sogar gezielt Krankenhäuser an, weil sie sich dort gute Erfolge ausrechnen.

Cybersicherheit im Gesundheitswesen 2025

Patientensicherheit und Aufrechterhaltung des Betriebs im Fokus

Cybercrime ist ein florierendes Geschäftsmodell, bei dem der Profit im Vordergrund steht. Das wichtigste Ziel besteht darin, Lösegeld zu erpressen. Da es im Gesundheitswesen um sensible personenbezogene Daten geht und sogar Menschenleben auf dem Spiel stehen, sind die Opfer meist zahlungswillig. Auch ein Backup einzuspielen, ist oft keine praktikable Alternative, weil die Wiederherstellung zu lange dauert oder die Daten zu alt sind, um damit weiterzuarbeiten.

An mangelndem Engagement liegt es nicht

IT-Teams in Krankenhäusern geben ihr Bestes, um ihre Organisation zu schützen. In vielen Fällen scheitern sie jedoch an den strukturellen Bedingungen. Oft fehlt schlichtweg das Budget, um in moderne Security-Lösungen zu investieren. Viele der kleineren Häuser stehen finanziell mit dem Rücken zur Wand. Wenn dann zur Wahl steht, entweder ein neues MRT oder ein System zur Angriffserkennung anzuschaffen, hat das Security-Projekt das Nachsehen.

Und selbst wenn es Security-Verantwortlichen gelingt, ihre Wünsche durchzusetzen, fehlt es häufig an Zeit und Personal, um die Technologie einzuführen und zu betreiben. Daran hat auch das Krankenhauszukunftsgesetz wenig geändert. So manche Klinik hat im Rahmen des Förderprogramms zwar Security-Lösungen angeschafft. Doch diese liegen jetzt im Schrank und warten auf bessere Zeiten. Denn mit der Software alleine ist es nicht getan – man muss sie auch managen und monitoren. Kleine IT-Teams haben dafür meist weder das Know-how noch die Zeit und sind auf externe Unterstützung durch einen Managed Services Provider angewiesen. Doch auch das kostet Geld. Diese Folgekosten sind bisher nicht förderfähig und bleiben an den Kliniken selbst hängen.

Das können Security-Verantwortliche tun

IT-Teams in Krankenhäusern kämpfen also unter erschwerten Bedingungen und stehen unter hohem Druck. Dabei müssen sie komplexe Umgebungen absichern. Denn gerade medizintechnische Systeme arbeiten häufig mit veralteter Software und haben offene Schwachstellen, die sich nur schwer oder gar nicht patchen lassen. Ein aktueller Bericht unterstreicht die Dringlichkeit dieser Maßnahmen: Insgesamt wurden in diesem 162 Schwachstellen auf medizinischen Geräten identifiziert, von denen viele auf veraltete Windows-Betriebssysteme zurückzuführen sind. Für Schutz sorgen können zum Beispiel Security-Lösungen, die Sicherheitslücken mit Virtual Patching abdecken. Sie schließen Schwachstellen auf Netzwerkebene, sodass sie nicht mehr von außen ausnutzbar sind.

Außerdem brauchen Krankenhäuser geeignete Technologie, um Cyberangriffe über alle Vektoren der IT-Umgebung hinweg schnell zu erkennen und Cyberrisiken zu managen. Am besten gelingt das mit einer ganzheitlichen Cybersecurity-Plattform, die XDR (Extended Detection & Response) und ASRM (Attack Surface Risk Management) vereint. Beide Technologien arbeiten KI-gestützt und hochautomatisiert. Sie korrelieren und analysieren sowohl interne als auch externe Security Informationen und greifen nahtlos ineinander. Zusammen ermöglichen sie es, sowohl die Eintrittswahrscheinlichkeit als auch das Schadensausmaß eines Cyberangriffs zu mindern.

Neben Angriffserkennung und Cyber-Risikomanagement müssen Kliniken außerdem Vorkehrungen für den Ernstfall treffen. Dazu gehört, sich Zugriff auf ein professionelles Incident Response Team zu sichern. Damit die Spezialisten schnell und effizient arbeiten können, brauchen sie die richtige Datengrundlage. Auch hier kommt wieder die Security-Plattform ins Spiel, die diese Daten jederzeit auf Abruf bereitstellt.

Security als SaaS ist alternativlos

Schon aufgrund der riesigen Datenmengen, die verarbeitet werden müssen, sind solche Lösungen praktisch zwangsläufig cloudbasiert. Sie lassen sich jedoch problemlos Compliance-konform im Gesundheitswesen einsetzen. De facto gibt es in Deutschland kein Gesetz, das den Einsatz von SaaS-basierten Security-Lösungen in Krankenhäusern verbietet. Sie nicht zu nutzen, ist dagegen ein deutlich größeres Risiko. Höchste Zeit also, die übertriebene Skepsis zu überwinden, die mancherorts noch gegen SaaS-basierte Services besteht.

Für Kliniken, die zu den KRITIS-Organisationen zählen, schreibt das IT-Sicherheitsgesetz 2.0 explizit Systeme zur Angriffserkennung vor. Was darunter zu verstehen ist, hat das BSI in einer Orientierungshilfe vom September 2022 spezifiziert. Es gibt keine On-Premises-Lösung, die diese Vorgaben umsetzen kann. Der Einsatz von cloudbasierter Security zur Angriffserkennung ist damit zumindest für KRITIS-Betreiber alternativlos und ist für alle anderen dringend angeraten.

Die Klinikleitung ist gesetzlich in der Pflicht

Mit der NIS2-Richtlinie kommen auch auf kleinere Häuser ab 50 Mitarbeitenden strengere gesetzliche Security-Vorgaben zu. Zudem sind Krankenhäuser aller Größen laut SGB V §391 in der Pflicht, sich mit Cybersecurity auseinanderzusetzen. Als verbindliche Grundlage für den sicheren IT-Betrieb gilt der branchenspezifische Sicherheitsstandard B3S.

Zu den Anforderungen, die unbedingt erfüllt werden müssen, zählt Cyber-Risikomanagement: Nach Abschnitt 5.2 ANF-202 muss die Krankenhausleitung Kriterien zur Bewertung von Risiken auf Basis einer qualitativen Abschätzung von Eintrittswahrscheinlichkeiten und Schadenspotenzialen vorgeben. Sie muss sich außerdem in angemessen Abständen über die Risikosituation berichten lassen (ANF-0216). Security-Verantwortliche haben damit eine gute Argumentationsgrundlage, um die Klinikleitung von der Dringlichkeit ihrer Themen zu überzeugen. Abschnitt 6.11 B3S ANF-0092 formuliert außerdem, dass Unterstützungsanforderungen für den Fall eines akuten Sicherheitsvorfalls geklärt werden müssen. Am besten gelingt das in Form eines Managed Services-Pakets, das Incident Response einschließt.

Frühzeitig mit der Planung beginnen

Die gesetzlichen Vorgaben und die wachsende Bedrohungslage verstärken den Druck auf Krankenhäuser, mehr in Cybersecurity zu investieren. Auch wenn das Bewusstsein für die Notwendigkeit da ist, genießen Security-Themen aber oft noch nicht die nötige Priorität. Hier müssen CISOs/ISBs und IT-Leiter noch mehr Überzeugungsarbeit bei der Klinikleitung leisten. Außerdem empfiehlt es sich, möglichst frühzeitig mit der Planung und Budgetierung von Security-Projekten zu starten.

Gerade bei schwieriger Finanzierungslage ist es wichtig, frühestmöglich in die Diskussionen und Verhandlungen mit internen Stakeholdern sowie Security-Anbietern einzusteigen. Denn die Probleme lösen sich nicht von allein. Falls das Geld im darauffolgenden Jahr nicht ausreicht, gelingt es dann wenigstens im übernächsten Jahr. Auch der Gesetzgeber sollte noch einmal nachlegen und Förderprogramme sowie die Krankenhausfinanzierung auf Managed Security Services ausweiten. Denn ohne Unterstützung von externen Spezialisten haben Kliniken angesichts knapper personeller Ressourcen kaum eine Chance, die wachsenden Security-Herausforderungen zu stemmen.

Datenschutz

Bedrohung durch Ransomware wächst: mehr Transparenz notwendig

(ID:50300327)