IT-Sicherheit in Kliniken: Warum kritische Infrastruktur unter Druck steht
Deutsche Krankenhäuser geraten zunehmend ins Visier von Cyberkriminellen. Als Teil der kritischen Infrastruktur tragen sie eine besondere Verantwortung für die Verfügbarkeit sensibler Systeme – von der Notaufnahme bis zur Intensivstation. Gleichzeitig verschärfen gesetzliche Vorgaben den Druck, Informationssicherheit professionell zu organisieren und nachweisbar abzusichern.
Gesundheitswesen als kritische Infrastruktur im Fokus
Krankenhäuser gelten in Deutschland als zentrale Säule der kritischen Infrastruktur. Fällt ihre IT aus, sind nicht nur Verwaltungsprozesse betroffen, sondern unter Umständen auch Diagnostik, Therapie und die gesamte Notfallversorgung. Genau deshalb haben Angriffe auf Kliniknetze in den vergangenen Jahren immer wieder Schlagzeilen gemacht – mit Stillständen, OP-Verschiebungen und aufwendigen Wiederanläufen.
Parallel dazu haben Bund und Länder den rechtlichen Rahmen geschärft. Das IT-Sicherheitsgesetz und darauf aufbauende Verordnungen definieren, welche Einrichtungen als Betreiber kritischer Infrastrukturen gelten und welche Mindeststandards sie erfüllen müssen. Für größere Kliniken bedeutet dies: Sie müssen ihre technischen und organisatorischen Maßnahmen systematisch planen, dokumentieren und regelmäßig überprüfen lassen.
Rechtliche Anforderungen: Vom IT-Sicherheitsgesetz bis zur Aufsicht
Für Krankenhäuser, die als kritische Infrastruktur eingestuft sind, gelten besondere Pflichten. Sie müssen unter anderem:
- ein Informationssicherheits-Managementsystem (ISMS) etablieren,
- geeignete technische Schutzmaßnahmen wie Firewalls, Segmentierung und Monitoring nachweisen,
- Sicherheitsvorfälle an zuständige Stellen wie das BSI melden,
- regelmäßig unabhängige Prüfungen oder Zertifizierungen durchführen lassen.
Die Aufsichtsbehörden erwarten, dass IT-Sicherheit nicht als einmaliges Projekt verstanden wird, sondern als fortlaufender Prozess. Dazu gehören Risikoanalysen, Notfall- und Wiederanlaufpläne sowie klare Zuständigkeiten. Kliniken, die diese Vorgaben ignorieren oder nur halbherzig umsetzen, riskieren nicht nur Sanktionen, sondern auch massive Störungen im Versorgungsalltag.
Typische Schwachstellen: Von veralteten Systemen bis zu fehlenden Prozessen
In vielen Häusern zeigt sich ein ähnliches Bild: Medizinische Geräte, die über Jahre im Einsatz sind, basieren häufig auf veralteten Betriebssystemen und lassen sich nur eingeschränkt patchen. Gleichzeitig wurden Netzwerke historisch gewachsen und ohne konsequente Sicherheitsarchitektur aufgebaut. Das Ergebnis sind komplexe, schwer überschaubare Strukturen mit zahlreichen Angriffspunkten.
Hinzu kommen organisatorische Lücken:
- fehlende oder unklare Verantwortlichkeiten für Informationssicherheit,
- unzureichend geschulte Mitarbeitende im Umgang mit Phishing und Social Engineering,
- keine regelmäßig getesteten Notfall- und Wiederherstellungsprozesse,
- mangelnde Integration von IT-Sicherheit in Beschaffungs- und Projektentscheidungen.
Angreifer nutzen diese Schwachstellen gezielt aus – etwa über präparierte E-Mails, kompromittierte Fernwartungszugänge oder ungeschützte Systeme im Netzwerk. Einmal im Klinikverbund, können Schadprogramme sich rasch ausbreiten und ganze Standorte lahmlegen.
Strategische Antworten: Informationssicherheit professionell verankern
Um ihre Rolle als kritische Infrastruktur verlässlich zu erfüllen, müssen Kliniken Informationssicherheit als Führungsaufgabe begreifen. Dazu gehört zunächst eine klare Governance-Struktur: Ein benannter Informationssicherheitsbeauftragter, abgestimmte Richtlinien und ein Management, das Prioritäten setzt und Ressourcen bereitstellt.
Empfohlen wird ein schrittweises Vorgehen:
- systematische Bestandsaufnahme von IT-Systemen, Anwendungen und medizinischen Geräten,
- Risikobewertung mit Fokus auf Verfügbarkeit, Vertraulichkeit und Integrität,
- Einführung eines ISMS auf Basis etablierter Standards,
- technische Härtung der Netze, inklusive Segmentierung von Medizin- und Verwaltungs-IT,
- regelmäßige Schulungen aller Berufsgruppen, insbesondere im klinischen Alltag.
Ein weiterer Baustein ist das Notfallmanagement. Kliniken benötigen belastbare Pläne für den Ausfall zentraler Systeme – inklusive manueller Ersatzprozesse, Kommunikation mit Rettungsdiensten und klar definierten Eskalationswegen. Nur so lässt sich sicherstellen, dass die Patientenversorgung auch unter Krisenbedingungen aufrechterhalten werden kann.
Kooperation, Standards und Austausch als Erfolgsfaktoren
Da viele Häuser vor ähnlichen Herausforderungen stehen, gewinnt der Austausch innerhalb des Gesundheitswesens an Bedeutung. Fachgesellschaften, Verbände und spezialisierte Arbeitskreise entwickeln gemeinsam Leitlinien, Best-Practice-Empfehlungen und branchenspezifische Sicherheitsstandards. Diese Orientierungshilfen erleichtern es Kliniken, ihre Rolle als Betreiber kritischer Infrastruktur strukturiert wahrzunehmen.
Gleichzeitig ist die Zusammenarbeit mit Herstellern medizinischer Geräte und Software entscheidend. Sicherheitsanforderungen sollten bereits bei der Beschaffung vertraglich fixiert werden – etwa regelmäßige Updates, definierte Support-Zeiten und transparente Informationen zu bekannten Schwachstellen. Nur wenn alle Beteiligten entlang der Versorgungskette Verantwortung übernehmen, lässt sich das Sicherheitsniveau nachhaltig erhöhen.
Quellen und weiterführende Informationen
- https://www.bsi.bund.de
- https://www.bundesgesundheitsministerium.de
- https://www.gesundheitswesen.de
- https://www.kbv.de
- https://www.dkgev.de
Quelle: Deutsches Ärzteblatt
