IT-Sicherheit im Gesundheitswesen
Im Krankenhaus hängt an der IT die Versorgung. Ein verschlüsseltes Klinikinformationssystem bedeutet Abmeldung von der Notfallversorgung, verschobene Eingriffe und Dokumentation auf Papier. Gleichzeitig ist die Systemlandschaft heterogen wie in kaum einer anderen Branche: Medizingeräte mit alten Betriebssystemen, Speziallösungen je Fachabteilung, Zugriffe niedergelassener Ärzte.
- § 391 SGB V – verpflichtet Krankenhäuser auf den Stand der Technik – vormals § 75c SGB V
- 30.000 – vollstationäre Fälle im Jahr – ab dieser Schwelle gilt ein Krankenhaus als kritische Anlage
- 72 h – Frist für die Meldung einer Datenpanne mit Patientendaten nach Artikel 33 DSGVO
Was in dieser Branche bereits passiert ist
Zwei dokumentierte Fälle aus dem deutschen Gesundheitswesen. Der erste betrifft ein Haus direkt, der zweite den Dienstleister dahinter – und damit rund 80 Krankenkassen gleichzeitig.
September 2020: Universitätsklinikum Düsseldorf (Ransomware)
Rund 30 Server wurden verschlüsselt. Der Einstieg erfolgte über eine seit Dezember 2019 bekannte Citrix-Schwachstelle (CVE-2019-19781), für die längst ein Update bereitstand. Das Erpresserschreiben war an die Heinrich-Heine-Universität gerichtet – das Klinikum war nicht das eigentliche Ziel. Das Haus meldete sich von der Notfallversorgung ab und verschob geplante Eingriffe. Bis heute der meistdiskutierte Cybervorfall im deutschen Gesundheitswesen. Quelle: heise online.
April 2023: BITMARCK (Angriff auf den IT-Dienstleister)
Der IT-Dienstleister zahlreicher gesetzlicher Krankenkassen nahm ein Rechenzentrum vorsorglich vom Netz. Es war der zweite Zugriff binnen vier Monaten – der erste erfolgte bereits im Januar 2023. Rund 80 Krankenkassen waren von Störungen betroffen. Elektronische Arbeitsunfähigkeitsbescheinigungen wurden tagelang abgewiesen. Ein Lehrstück zur Lieferkette: Nicht das eigene Haus wurde angegriffen, betroffen war es trotzdem. Quelle: heise online.
Vorgaben, an denen Sie gemessen werden
§ 391 SGB V und B3S
Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen; ausdrücklich genannt sind auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als erfüllt gilt das insbesondere bei Anwendung eines branchenspezifischen Sicherheitsstandards (B3S), dessen Eignung das BSI festgestellt hat. Die Vorschrift wurde bis zur Neunummerierung als § 75c SGB V geführt.
Kritische Anlagen
Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus nach Anhang 5 der BSI-Kritisverordnung als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG.
NIS2
Der Sektor Gesundheit steht in Anhang I des NIS2-Umsetzungsgesetzes. Erfasst sind neben Krankenhäusern auch Labore, Forschungseinrichtungen und Hersteller bestimmter Medizinprodukte.
DSGVO
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Artikel 9. Für sie gilt ein erhöhtes Schutzniveau – und im Schadensfall ein entsprechend höheres Bußgeldrisiko.
Medizingeräte sind IT, die niemand anfassen darf
Ein Computertomograf läuft auf dem Betriebssystem, das der Hersteller freigegeben hat – und nur auf diesem. Ein Update außerhalb der Freigabe kostet im Zweifel den Support, ein Eingriff am Gerät die Konformität. Die Antwort liegt deshalb nicht am Gerät, sondern um das Gerät herum.
- Eigene Netzsegmente für Medizintechnik, mit eng gefassten Übergängen
- Bestandsaufnahme: welches Gerät spricht wohin, und aus welchem Grund
- Fernwartungszugänge der Gerätehersteller – befristet, protokolliert, überwacht
- Abstimmung mit der Medizintechnik statt an ihr vorbei
Über den Schaden entscheidet der Notbetrieb
Häuser, die einen Angriff vergleichsweise gut überstanden haben, hatten eines gemeinsam: einen geübten Betrieb ohne IT. Wer erst im Ernstfall überlegt, wie Aufnahme, Labor und Medikation auf Papier laufen, verliert die ersten und teuersten Stunden.
- Ausfallkonzept je Fachabteilung, schriftlich und regelmäßig geübt
- Wiederanlaufreihenfolge über Klinikinformationssystem, Bildarchiv, Labor und Medikation
- Sicherungen getrennt vom Produktivnetz, mit belegtem Rückspielen
- Melde- und Informationswege: BSI, Aufsichtsbehörde, Patienten, Presse
So kommt jemand in dieser Branche herein
Phishing in den Fachabteilungen
Bewerbungen, Arztbriefe, Rechnungen – im Klinikalltag werden täglich Anhänge von Unbekannten geöffnet. Das ist keine Nachlässigkeit, sondern Teil der Arbeit. Die Technik dahinter muss es abfangen.
Stationsrechner mit Sammelkonto
Ein Konto, das die ganze Station kennt, lässt sich weder gezielt entziehen noch einer Person zuordnen. Nach einem Vorfall ist damit nicht mehr rekonstruierbar, wer was getan hat.
Altsysteme in der Medizintechnik
Geräte, deren Betriebssystem seit Jahren keine Updates mehr erhält, stehen im selben Netz wie die Verwaltung. Von dort ist der Weg kurz.
Passende Leistungen
Security Assessments
Systematische Überprüfung Ihrer IT-Umgebung – ohne Betriebsunterbrechung, mit klaren Handlungsempfehlungen.
Penetration Testing
Manuelle Pentests für Web-Apps, Netzwerke, Active Directory & Cloud – inkl. CVSS-Bewertung.
Managed SOC
24/7 Security Operations Center – SIEM-Integration, MDR, Incident Response, NIS2-konform.
Incident Response
24/7 Reaktion auf Cyberangriffe: Triage, digitale Forensik, Bereinigung und Wiederaufbau.
Security Awareness
Mitarbeiterschulungen, Phishing-Simulationen und Sicherheitskampagnen für eine starke Sicherheitskultur.
Häufige Fragen
Gilt unser Krankenhaus als kritische Anlage?
Maßgeblich ist die BSI-Kritisverordnung: Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG. Unterhalb der Schwelle bleibt § 391 SGB V bestehen – die Pflicht zum Stand der Technik gilt für jedes Krankenhaus.
Was verlangt § 391 SGB V – früher § 75c – konkret?
Angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit zu vermeiden, und ausdrücklich auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als Weg, die Anforderung zu erfüllen, nennt das Gesetz den branchenspezifischen Sicherheitsstandard B3S. Praktisch heißt das: dokumentiertes Sicherheitsmanagement, nicht nur eingekaufte Technik. Die Vorschrift ist inhaltlich dieselbe wie der frühere § 75c, sie trägt nur eine neue Nummer.
Dürfen Sie an Medizingeräten testen?
Nicht ohne den Hersteller und Ihre Medizintechnik – und in der Regel auch nicht am Gerät selbst. Wir prüfen die Umgebung: Netzsegmentierung, Übergänge, Fernwartungszugänge, Rechte und Protokollierung. Genau dort liegt der Weg, den ein Angreifer nimmt; das Gerät selbst ist fast nie der Einstieg, sondern das Ziel.
Wir sind ein MVZ, eine Praxis oder eine Pflegeeinrichtung – gilt das auch für uns?
Die Schwellen für kritische Anlagen und § 391 SGB V zielen auf Krankenhäuser. Die DSGVO gilt jedoch unabhängig von der Größe, und Gesundheitsdaten stehen unter dem besonderen Schutz von Artikel 9. Für kleinere Einrichtungen ist der sinnvolle Zuschnitt deshalb ein anderer: die Grundlagen absichern – Sicherungen, Mehr-Faktor-Anmeldung, Fernzugänge, Endgeräte – statt eines Managementsystems, das niemand pflegen kann.
Wie fangen wir an, ohne den Betrieb zu belasten?
Mit einer Standortbestimmung, die ohne Betriebsunterbrechung läuft: externe Angriffsfläche, Grundkonfiguration von Microsoft 365, Netzübergänge, Sicherungskonzept. Daraus entsteht eine nach Risiko priorisierte Liste. Erst danach entscheiden Sie, was davon Projekt wird – und in welcher Reihenfolge.
Quellen und weiterführende Informationen
- § 391 SGB V – IT-Sicherheit in Krankenhäusern
- BSI-Kritisverordnung (BSI-KritisV) – Gesetze im Internet
- Verordnung (EU) 2016/679 (DSGVO) – EUR-Lex
Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.
Kontakt
Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr
Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.