Krankenhaus Cybersicherheit: von der Achillesferse zum Innovationstreiber

Anbieter zum Thema

Detecon International GmbH

Governikus GmbH & Co. KG

Krankenhäuser agieren längst als digitale Organisationen mit sensiblen Infrastrukturen und benötigen dafür eine belastbare Sicherheitsstrategie. Andrea Tribelhorn und Pascal Frank erläutern, wie Gesundheitseinrichtungen diese Herausforderung meistern und wie sich Cybersicherheit als Chance für Innovationen nutzen lässt.

Von der elektronischen Patientenakte über Telemedizin bis hin zu KI-gestützten Diagnoseverfahren, scheinen die Möglichkeiten im Gesundheitswesen fast grenzenlos. Roboter-assistierte Chirurgie, 3D-gedruckte Implantate und personalisierte Medizin auf Basis von Big-Data-Analysen sind bereits Realität in vielen Kliniken und versprechen enorme Vorteile: präzisere Diagnosen, effizientere Behandlungen, bessere Patientenerfahrungen und eine höhere Lebensqualität für Millionen von Menschen.

Doch mit den Chancen wachsen auch die Risiken: Jedes vernetzte Gerät, jede Datenbank und jede Cloud-Anwendung ist ein potenzielles Einfallstor für Cyberkriminelle. Diese können mit den gestohlenen, hochsensiblen Patientendaten auf dem Schwarzmarkt hohe Preise erzielen – denn im Gegensatz zu Kreditkartendaten lassen sich medizinische Informationen weder sperren noch ersetzen und bleiben dadurch langfristig missbrauchbar. Ein erfolgreicher Angriff kann zudem lebensbedrohliche Folgen haben und macht die Einrichtungen damit erpressbar.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt daher in seinem aktuellen Lagebericht vor einer zunehmenden Bedrohung für Gesundheitseinrichtungen. Beunruhigend sind auch die Ergebnisse einer umfassenden Studie des Schweizer Nationalen Testinstituts für Cybersicherheit (NTC). Die Experten untersuchten gängige Klinikinformationssysteme und stießen dabei auf ein gravierendes Ausmaß an Sicherheitsmängeln. In sämtlichen getesteten Systemen fanden sie insgesamt über 40 kritische Sicherheitslücken, drei davon mit höchster Kritikalität. Diese Erkenntnisse machen deutlich, dass Gesundheitseinrichtungen ihre digitale Infrastruktur dringend modernisieren und widerstandsfähiger aufstellen müssen.

Besonders kleine und mittlere Häuser sind anfällig für Cyberangriffe, weil ihnen oft eigene IT-Abteilungen und ein strukturiertes Informationssicherheitsmanagement fehlen. Die technische Komplexität verschärft die Lage: Moderne Geräte wie C-Bögen arbeiten mit mehreren integrierten Servern, die jeweils ein potenzielles Einfallstor für Angriffe darstellen. Viele dieser Systeme laufen im Dauerbetrieb, sodass Betreiber notwendige Sicherheitsupdates häufig nicht einspielen. Auch nachträglich integrierte Drittanbieter-Systeme, Telemedizinplattformen und mobile Endgeräte erhöhen das Risiko. Sie lassen sich nur schwer in bestehende Schutzkonzepte einfügen.

NIS-2: Neue regulatorische Anforderungen als Chance

Angesichts dieser Schwachstellen wird deutlich, wie zentral verbindliche Anforderungen an die Cybersicherheit im Gesundheitswesen sind. Genau hier setzt die EU mit der neuen NIS-2-Richtlinie an. Mit der Richtlinie stärkt die EU die Cybersicherheit im Gesundheitswesen und erweitert die bestehenden Vorgaben für Krankenhäuser deutlich. Künftig erfassen die Richtlinien neben Maximalversorgern auch mittlere und kleinere Einrichtungen. Dabei unterscheidet die Europäische Union zwischen „wichtigen Einrichtungen“ (ab 50 Mitarbeitenden oder zehn Millionen Euro Jahresumsatz) und „besonders wichtigen Einrichtungen“ (ab 250 Mitarbeitenden oder 50 Millionen Euro Jahresumsatz).

Mit den neuen Anforderungen sind Kliniken beispielsweise dazu verpflichtet, regelmäßige Sicherheitsschulungen für alle Mitarbeitenden durchzuführen. Diese gelten für alle Bereiche, von der Verwaltung bis zum OP-Personal. Auf technischer Ebene sind unter anderem Multi-Faktor-Authentifizierung, verschlüsselte Datenspeicherung und automatische Backup-Systeme vorgeschrieben. Organisatorisch müssen die Einrichtungen ein systematisches Risikomanagement etablieren, Notfallpläne entwickeln und einen Informationssicherheitsbeauftragten benennen.

Bei Verstößen gegen diese Vorgaben drohen neben Bußgeldern von bis zu 20 Millionen Euro auch persönliche Haftungsrisiken für die Geschäftsführung. Im Extremfall ist sogar der Entzug der Betriebserlaubnis möglich. Die neuen Regularien verschärfen zudem die Meldepflichten: Kliniken müssen Sicherheitsvorfälle binnen 24 Stunden den Behörden melden.

Was zunächst nach zusätzlicher Belastung klingt, bietet Krankenhäusern aber auch die Chance, ihre digitale Infrastruktur nachhaltig zu stärken. Ein systematisches Vorgehen hilft dabei, Angriffe zu vermeiden und das Krankenhaus als modernen, vertrauenswürdigen Gesundheitsdienstleister zu positionieren. Fünf zentrale Schritte helfen Kliniken dabei, von der reinen Reaktion auf Vorfälle zu einer aktiven Präventionsstrategie zu gelangen.

Prävention statt Reaktion

Um den wachsenden Cyberbedrohungen effektiv zu begegnen und die Anforderungen der NIS-2-Richtlinie umzusetzen, müssen Krankenhäuser von einem reaktiven zu einem aktiven Sicherheitsansatz übergehen:

• Systematische Risikoanalyse durchführen: Eine gründliche Bestandsaufnahme ist der Ausgangspunkt jedes Sicherheitskonzeptes. Eine Kurzanalyse der bestehenden Schutzmaßnahmen und strukturierte Risikobewertung nach B3S-Standard und CIA-Triade (Vertraulichkeit, Integrität, Verfügbarkeit) helfen Kliniken, Prioritäten zu setzen. Typischerweise werden 500 bis 1.000 Risiken identifiziert, von denen sich etwa 70 Prozent mit einfachen Maßnahmen reduzieren lassen.

• Technische Schutzmaßnahmen implementieren: Basierend auf der Risikoanalyse können Kliniken anschließend gezielte technische Schutzmaßnahmen umsetzen. Dazu zählen regelmäßige Updates, zentrale Passwortverwaltung, sichere Authentifizierung, Datenverschlüsselung, Netzwerksegmentierung sowie Backup- und Recovery-Konzepte.

• Netzwerksicherheit optimieren: Eine klare Trennung zwischen Verwaltungs- und Medizintechniknetzwerken erhöht die Sicherheit deutlich. Zusätzlich verbessert der Einsatz von Zero-Trust-Architekturen die Resilienz. Sie begrenzen Zugriffsrechte konsequent, isolieren Angriffe frühzeitig und reduzieren deren potenzielle Auswirkungen.

• Organisatorische Strukturen schaffen: Parallel zu den technischen Maßnahmen müssen die Einrichtungen organisatorische Strukturen aufbauen. Dies umfasst die Etablierung eines Informationssicherheits-Managementsystems (ISMS), klare Prozessdokumentation, Entwicklung von Incident Response Plänen und regelmäßige Audits.

• Mitarbeitende schulen und sensibilisieren: Der Mensch bleibt der wichtigste und oft unterschätzte Faktor. Kurze, praxisorientierte und zielgruppenspezifische Awareness-Schulungen für alle Berufsgruppen sowie regelmäßige Notfallübungen („Cybersecurity Drills“), verbessern die Reaktionsfähigkeit des Personals kontinuierlich.

Nur durch das systematische Zusammenspiel all dieser Maßnahmen schaffen Gesundheitseinrichtungen ein robustes Schutzniveau und sind in der Lage, die wachsenden Cyberbedrohungen effektiv abzuwehren.

Cybersicherheit als Innovationstreiber

Mit der neuen NIS-2-Richtlinie wird Cybersicherheit für Kliniken von einer technischen Notwendigkeit zu einer strategischen Aufgabe. Zukünftig wird Cybersicherheit hier ebenso wichtig sein für den Erfolg wie die Qualität der medizinischen Versorgung oder die Zufriedenheit der Patientinnen und Patienten. Krankenhäuser, die Sicherheit als integralen Bestandteil ihrer Markenidentität verstehen, können sie daher als aktives Differenzierungsmerkmal nutzen.

Eine gut umgesetzte Cybersicherheit schafft Vertrauen, sowohl bei Patientinnen und Patienten als auch bei Mitarbeitenden. Wichtig dabei: Cybersicherheit ist ein kontinuierlicher Prozess, bei dem technische Maßnahmen und geschultes Personal Hand in Hand arbeiten müssen. Gesundheitseinrichtungen, die diesen Wandel proaktiv gestalten, positionieren sich als zukunftsorientierte und vertrauenswürdige Akteure in einem zunehmend digitalisierten Gesundheitsmarkt.

Die Autoren:

Andrea Tribelhorn ist Partnerin und Unternehmensberaterin bei der Detecon sowie Präsidentin des ISACA Switzerland Chapters und Vorstandsmitglied der Information Security Society Switzerland.

Pascal Frank ist Manager und Co-Head für die Health Industrie bei Detecon Alpine. Seit 2018 berät er Kliniken im DACH-Raum in den Bereichen Digitalisierung, Prozessoptimierung, Strategie, Künstliche Intelligenz und Security.

IT-Sicherheit

Warum sind Hacker so heiß auf medizinische Daten?

(ID:50664547)