Cybersicherheit im Gesundheitssektor Mangelndes IT-Bewusstsein und Unsicherheit bei NIS-2-Richtlinie erhöhen Handlungsdruck

Zum vierten Mal ist G DATA CyberDefense in Zusammenarbeit mit Statista und brand eins der Frage nachgegangen, wie es um die IT-Sicherheit in Deutschland steht. Ein Ergebnis für die Gesundheitsbranche: Die NIS-2-Richtlinie sorgt für Unsicherheit. Rund 68 Prozent der befragten Personen im Gesundheitssektor wissen nicht, ob die eigene Organisation von den neuen Anforderungen betroffen ist.

Die IT-Sicherheit ist für den Gesundheitssektor ein unverzichtbares Thema, denn Kliniken und Praxen verarbeiten besonders kritische personenbezogene und damit besonders schützenswerte Daten. Doch gerade in diesem Bereich zeigen sich erhebliche Defizite beim subjektiven Sicherheitsgefühl der Beschäftigten. Nur rund 17 Prozent der Angestellten schätzen ihre persönliche Kompetenz im Bereich IT-Sicherheit als (sehr) hoch ein – ein sehr niedriger Wert im Vergleich zum branchenübergreifenden Durchschnitt von rund 30 Prozent. Mehr als ein Drittel der Befragten attestiert sich sogar geringe bis sehr geringe Kenntnisse. IT-Sicherheit ist im Gesundheitswesen essenziell, trotzdem fehlt vielen Mitarbeitenden das notwendige Fachwissen, um mit den immer komplexeren Anforderungen Schritt zu halten. Dies beeinträchtigt das gesamte Schutzniveau der Einrichtungen und macht deutlich, dass gezielte Schulungen und Sensibilisierungsmaßnahmen dringend notwendig sind.

Die Studie belegt auch, dass es den Angestellten im Gesundheitssektor an Wissen fehlt, weil sie nicht ausreichend geschult werden: Nur ein Fünftel gibt an, dass in der eigenen Organisation regelmäßig (Online-)Schulungen, Veranstaltungen oder Trainings zum Thema Cybersicherheit angeboten werden. In vielen Einrichtungen beschränken sich die Sicherheitsmaßnahmen auf technische Lösungen wie Firewalls und Endpoint Protection, während die Schulung der Mitarbeitenden häufig vernachlässigt wird.

Dies führt dazu, dass viele Beschäftigte nicht ausreichend sensibilisiert sind, um potenzielle Bedrohungen wie Phishing oder unsichere Passwörter zu erkennen. Und das kann fatale Folgen haben, denn Hacker nehmen gezielt Angestellte ins Visier, weil menschliche Fehler leichter auszunutzen sind als technische Schwachstellen und oft der schnellste Weg ins Unternehmensnetzwerk sind.

Diskrepanz zwischen Wahrnehmung und Realität

Obwohl der Gesundheitssektor immer stärker ins Visier von Cyberkriminellen gerät und viele Unternehmen der kritischen Infrastruktur (KRITIS) bereits Opfer von Cyberangriffen wurden, wird die Bedrohung in diesem Bereich weiterhin unterschätzt. Rund 74 Prozent der Angestellten geben an, sich durch die vorhandenen IT-Sicherheitsmaßnahmen (sehr) gut geschützt zu fühlen.

Dieses hohe subjektive Sicherheitsgefühl steht jedoch in starkem Kontrast zur tatsächlichen Bedrohungslage. Allein im Jahr 2024 wurden 13,4 Milliarden Accounts als kompromittiert identifiziert. Besorgniserregend ist unter diesem Aspekt, dass mehr als die Hälfte der Befragten ihr Unternehmen nicht als lohnendes Ziel für Cyberkriminelle betrachtet. Rund 59 Prozent dieser Gruppe begründen diese Fehleinschätzung mit der Annahme, dass keine sensiblen oder wertvollen Informationen verarbeitet werden.

Diese Sichtweise ist insbesondere im Kontext von Krankenhäusern alarmierend, denn medizinische Daten zählen zu den sensibelsten und schützenswertesten Informationen und sind für Cyberkriminelle äußerst attraktiv. Dazu gehören beispielsweise Diagnosedaten, Behandlungshistorien, Laborergebnisse sowie Zahlungsinformationen und Versicherungsdaten. Die Ableitung oder die Offenlegung solcher Informationen kann nicht nur für die betroffenen Patienten, sondern auch für die Einrichtungen selbst erhebliche Folgen haben.

NIS-2-Richtlinie: Dringender Handlungsbedarf im Gesundheitssektor

Die NIS-2-Richtlinie (Network and Information Security Directive 2) erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich und zielt darauf ab, die Cybersicherheitsanforderungen in verschiedenen kritischen Sektoren der Wirtschaft umfassend zu stärken. Besonders betroffen sind kritische Infrastrukturen wie das Gesundheitswesen, das nicht nur Krankenhäuser umfasst, sondern auch Forschungseinrichtungen, Arzneimittelhersteller sowie Hersteller von Medizinprodukten und Labore. Trotz dieser weitreichenden Änderungen herrscht bei vielen IT-Verantwortlichen im Gesundheitssektor Unsicherheit über die Umsetzung der Richtlinie.

Die aktuelle Studie zeigt, dass rund 68 Prozent der Befragten nicht wissen, ob ihr Unternehmen von der NIS-2-Richtlinie betroffen ist. Alarmierend ist zudem, dass die Hälfte fälschlicherweise annimmt, die eigene Branche sei überhaupt nicht betroffen. Hier besteht dringender Handlungsbedarf. Auch wenn die von der EU vorgegebene Frist in Deutschland um mehrere Monate überschritten wird – Optimisten schätzen, dass NIS-2 im Frühjahr 2025 in Kraft tritt – müssen viele Unternehmen und Organisationen verpflichtende Sicherheitsmaßnahmen und Meldepflichten umsetzen. Wer sich erst jetzt mit der NIS-2-Richtlinie beschäftigt, verliert wertvolle Zeit.

Zeit, aufzuwachen

Die Ergebnisse der Studie „Cybersicherheit in Zahlen“ zeichnen ein klares Bild: Der Gesundheitssektor weist erhebliche Defizite in der IT-Sicherheit auf. Viele Angestellte fühlen sich zwar sicher, doch ihre tatsächlichen Kenntnisse im Bereich Cybersicherheit sind mangelhaft. Diese Diskrepanz erfordert sofortige Maßnahmen. Es ist unerlässlich, Schulungen und Sensibilisierungsprogramme für Beschäftigte zu implementieren, um den Herausforderungen von Cyberangriffen wirksam zu begegnen. Zudem müssen Einrichtungen angesichts der Unsicherheit über die NIS-2-Richtlinie und der bevorstehenden Fristen dringend proaktive Schritte ergreifen, um die geforderten Sicherheitsmaßnahmen fristgerecht zu erfüllen. Andernfalls drohen hohe Bußgelder.

Transformation des Gesundheitswesens

Der Aufstieg von KI in der Telemedizin

Digitale Forschung

Was Healthcare-Entscheider digitalpolitisch ändern würden

(ID:50212716)