Kritische Infrastruktur: Warum Kliniken ihre IT-Sicherheit neu denken müssen

Digitale Vernetzung ist für moderne Krankenhäuser unverzichtbar – zugleich macht sie die Kliniken angreifbar. Immer mehr Einrichtungen gelten als kritische Infrastruktur und stehen damit im Fokus von Cyberkriminellen. Der Schutz sensibler Patientendaten, die Sicherung medizinischer Geräte und die Aufrechterhaltung des Klinikbetriebs rücken in den Mittelpunkt einer strategischen IT-Sicherheit, die weit über klassische Virenscanner hinausgeht.

Kliniken als kritische Infrastruktur im Fadenkreuz

Krankenhäuser zählen in Deutschland zunehmend zur kritischen Infrastruktur, weil Ausfälle ihrer Systeme unmittelbare Auswirkungen auf die Versorgungssicherheit haben. Elektronische Patientenakten, vernetzte Medizintechnik und digitale Kommunikationswege sind längst Standard. Fällt diese Infrastruktur aus, geraten Diagnostik, Therapieplanung und Operationsabläufe ins Stocken – im Extremfall mit lebensbedrohlichen Folgen.

Mit der Einstufung als kritische Infrastruktur steigen die Anforderungen: Betreiber müssen nachweisen, dass sie angemessene organisatorische und technische Schutzmaßnahmen umgesetzt haben. Dazu gehören etwa Notfallkonzepte, Meldepflichten bei Sicherheitsvorfällen und regelmäßige Überprüfungen der eigenen IT-Landschaft. Die Verantwortung liegt ausdrücklich bei der Klinikleitung, nicht allein bei der IT-Abteilung.

Typische Angriffswege: Von Ransomware bis Social Engineering

Die Bedrohungslage für Krankenhäuser ist vielfältig. Besonders im Fokus stehen:

• Ransomware-Angriffe, bei denen Daten verschlüsselt und nur gegen Lösegeld wieder freigegeben werden sollen.
• Phishing-Kampagnen, die Mitarbeitende über gefälschte E-Mails oder Webseiten zur Preisgabe von Zugangsdaten verleiten.
• Schwachstellen in vernetzter Medizintechnik, etwa in bildgebenden Systemen oder Monitoringsystemen.
• Unzureichend gesicherte Fernzugänge, über die Dienstleister oder externe Partner auf Systeme zugreifen.

Besonders kritisch: Viele klinische Anwendungen laufen auf älteren Betriebssystemen, die nicht mehr regelmäßig mit Sicherheitsupdates versorgt werden. Zudem sind medizinische Geräte häufig über Jahre im Einsatz, ohne dass Sicherheitsfunktionen auf dem aktuellen Stand gehalten werden. Das eröffnet Angreifern zusätzliche Möglichkeiten, Schadsoftware einzuschleusen oder Daten abzugreifen.

Organisatorische Verantwortung und Sicherheitskultur

IT-Sicherheit in Kliniken ist keine reine Technikfrage, sondern eine Führungsaufgabe. Geschäftsführung und ärztliche Direktion müssen klare Zuständigkeiten definieren, Budgets bereitstellen und Sicherheitsziele festlegen. Ein zentrales Element ist der Aufbau einer gelebten Sicherheitskultur, die alle Berufsgruppen einbezieht.

Dazu gehören:

• Verbindliche Richtlinien für den Umgang mit Passwörtern, mobilen Geräten und externen Datenträgern.
• Regelmäßige Schulungen, die typische Angriffsmuster praxisnah vermitteln.
• Verfahren zur schnellen Meldung und Bewertung von IT-Sicherheitsvorfällen.
• Bewusstsein, dass Datenschutz und Patientensicherheit unmittelbar zusammenhängen.

Nur wenn Mitarbeitende verstehen, warum eine Maßnahme notwendig ist, werden sie diese im Alltag konsequent umsetzen. Kurze, wiederkehrende Trainingsformate, Fallbeispiele aus der Praxis und klare Ansprechpersonen für Fragen zur Informationssicherheit erhöhen die Akzeptanz.

Technische Schutzmaßnahmen: Vom Netzwerksegment bis zum Notfallplan

Auf technischer Ebene sind mehrschichtige Schutzkonzepte erforderlich. Ein zentrales Prinzip ist die Trennung von Netzen: Verwaltungs-IT, klinische Informationssysteme und Medizintechnik sollten nicht unkontrolliert miteinander verbunden sein. Segmentierung reduziert die Folgen eines erfolgreichen Angriffs, weil sich Schadsoftware nicht beliebig im gesamten Krankenhausnetz ausbreiten kann.

Weitere Bausteine sind:

• Aktuelle Firewalls und Intrusion-Detection-Systeme, die verdächtige Aktivitäten erkennen.
• Konsequentes Patch- und Update-Management, soweit dies mit der Medizintechnik kompatibel ist.
• Starke Authentifizierungsverfahren, etwa Zwei-Faktor-Authentifizierung für besonders kritische Zugänge.
• Verschlüsselung sensibler Daten – sowohl bei der Speicherung als auch bei der Übertragung.

Mindestens ebenso wichtig sind erprobte Notfall- und Wiederanlaufpläne. Kliniken müssen definieren, welche Prozesse bei einem IT-Ausfall manuell weitergeführt werden können, wie lange bestimmte Systeme maximal offline sein dürfen und wie die Kommunikation mit Rettungsdiensten, niedergelassenen Ärztinnen und Ärzten sowie Behörden im Krisenfall funktioniert.

Rechtliche Vorgaben und Zertifizierungen im Blick

Mit der Einordnung als kritische Infrastruktur gehen rechtliche Verpflichtungen einher. Krankenhäuser müssen Mindeststandards der Informationssicherheit nachweisen, etwa durch Orientierung an etablierten Normen wie ISO 27001 oder branchenspezifischen Sicherheitsstandards. Prüfungen durch unabhängige Stellen und regelmäßige Audits helfen, Schwachstellen systematisch zu identifizieren.

Parallel verschärfen Datenschutzvorgaben den Handlungsdruck. Die Verarbeitung hochsensibler Gesundheitsdaten erfordert technische und organisatorische Maßnahmen, die nachweisbar dem Stand der Technik entsprechen. Verstöße können nicht nur zu Bußgeldern führen, sondern auch das Vertrauen von Patientinnen und Patienten nachhaltig beschädigen.

Ausblick: IT-Sicherheit als Bestandteil der Versorgungsqualität

Die Absicherung kritischer Infrastruktur in Kliniken ist ein fortlaufender Prozess, kein einmaliges Projekt. Neue digitale Anwendungen, Telemedizin und vernetzte Versorgungsketten erweitern kontinuierlich die Angriffsfläche. Gleichzeitig wächst die Abhängigkeit von stabilen IT-Systemen für nahezu alle klinischen Abläufe.

Krankenhäuser, die IT-Sicherheit strategisch verankern, investieren damit direkt in ihre Versorgungsqualität. Robust geschützte Systeme, transparente Prozesse und geschulte Teams tragen dazu bei, Behandlungsabläufe auch im Krisenfall aufrechtzuerhalten. Entscheidend ist, dass medizinische Verantwortung und technische Expertise eng zusammenarbeiten – mit dem gemeinsamen Ziel, Patientensicherheit und Datenintegrität gleichermaßen zu gewährleisten.

Quellen und weiterführende Informationen

• https://www.bsi.bund.de
• https://www.bundesgesundheitsministerium.de
• https://www.gesundheitsdatenschutz.org
• https://www.kbv.de
• https://www.dkgev.de

Quelle: Deutsches Ärzteblatt