IT-Sicherheit im Gesundheitswesen

Im Krankenhaus hängt an der IT die Versorgung. Ein verschlüsseltes Klinikinformationssystem bedeutet Abmeldung von der Notfallversorgung, verschobene Eingriffe und Dokumentation auf Papier. Gleichzeitig ist die Systemlandschaft heterogen wie in kaum einer anderen Branche: Medizingeräte mit alten Betriebssystemen, Speziallösungen je Fachabteilung, Zugriffe niedergelassener Ärzte.

Was in dieser Branche bereits passiert ist

Zwei dokumentierte Fälle aus dem deutschen Gesundheitswesen. Der erste betrifft ein Haus direkt, der zweite den Dienstleister dahinter – und damit rund 80 Krankenkassen gleichzeitig.

September 2020: Universitätsklinikum Düsseldorf (Ransomware)

Rund 30 Server wurden verschlüsselt. Der Einstieg erfolgte über eine seit Dezember 2019 bekannte Citrix-Schwachstelle (CVE-2019-19781), für die längst ein Update bereitstand. Das Erpresserschreiben war an die Heinrich-Heine-Universität gerichtet – das Klinikum war nicht das eigentliche Ziel. Das Haus meldete sich von der Notfallversorgung ab und verschob geplante Eingriffe. Bis heute der meistdiskutierte Cybervorfall im deutschen Gesundheitswesen. Quelle: heise online.

April 2023: BITMARCK (Angriff auf den IT-Dienstleister)

Der IT-Dienstleister zahlreicher gesetzlicher Krankenkassen nahm ein Rechenzentrum vorsorglich vom Netz. Es war der zweite Zugriff binnen vier Monaten – der erste erfolgte bereits im Januar 2023. Rund 80 Krankenkassen waren von Störungen betroffen. Elektronische Arbeitsunfähigkeitsbescheinigungen wurden tagelang abgewiesen. Ein Lehrstück zur Lieferkette: Nicht das eigene Haus wurde angegriffen, betroffen war es trotzdem. Quelle: heise online.

Vorgaben, an denen Sie gemessen werden

§ 391 SGB V und B3S

Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen; ausdrücklich genannt sind auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als erfüllt gilt das insbesondere bei Anwendung eines branchenspezifischen Sicherheitsstandards (B3S), dessen Eignung das BSI festgestellt hat. Die Vorschrift wurde bis zur Neunummerierung als § 75c SGB V geführt.

Kritische Anlagen

Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus nach Anhang 5 der BSI-Kritisverordnung als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG.

NIS2

Der Sektor Gesundheit steht in Anhang I des NIS2-Umsetzungsgesetzes. Erfasst sind neben Krankenhäusern auch Labore, Forschungseinrichtungen und Hersteller bestimmter Medizinprodukte.

DSGVO

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Artikel 9. Für sie gilt ein erhöhtes Schutzniveau – und im Schadensfall ein entsprechend höheres Bußgeldrisiko.

Medizingeräte sind IT, die niemand anfassen darf

Ein Computertomograf läuft auf dem Betriebssystem, das der Hersteller freigegeben hat – und nur auf diesem. Ein Update außerhalb der Freigabe kostet im Zweifel den Support, ein Eingriff am Gerät die Konformität. Die Antwort liegt deshalb nicht am Gerät, sondern um das Gerät herum.

Über den Schaden entscheidet der Notbetrieb

Häuser, die einen Angriff vergleichsweise gut überstanden haben, hatten eines gemeinsam: einen geübten Betrieb ohne IT. Wer erst im Ernstfall überlegt, wie Aufnahme, Labor und Medikation auf Papier laufen, verliert die ersten und teuersten Stunden.

So kommt jemand in dieser Branche herein

Phishing in den Fachabteilungen

Bewerbungen, Arztbriefe, Rechnungen – im Klinikalltag werden täglich Anhänge von Unbekannten geöffnet. Das ist keine Nachlässigkeit, sondern Teil der Arbeit. Die Technik dahinter muss es abfangen.

Stationsrechner mit Sammelkonto

Ein Konto, das die ganze Station kennt, lässt sich weder gezielt entziehen noch einer Person zuordnen. Nach einem Vorfall ist damit nicht mehr rekonstruierbar, wer was getan hat.

Altsysteme in der Medizintechnik

Geräte, deren Betriebssystem seit Jahren keine Updates mehr erhält, stehen im selben Netz wie die Verwaltung. Von dort ist der Weg kurz.

Passende Leistungen

Security Assessments

Systematische Überprüfung Ihrer IT-Umgebung – ohne Betriebsunterbrechung, mit klaren Handlungsempfehlungen.

Penetration Testing

Manuelle Pentests für Web-Apps, Netzwerke, Active Directory & Cloud – inkl. CVSS-Bewertung.

Managed SOC

24/7 Security Operations Center – SIEM-Integration, MDR, Incident Response, NIS2-konform.

Incident Response

24/7 Reaktion auf Cyberangriffe: Triage, digitale Forensik, Bereinigung und Wiederaufbau.

Security Awareness

Mitarbeiterschulungen, Phishing-Simulationen und Sicherheitskampagnen für eine starke Sicherheitskultur.

Häufige Fragen

Gilt unser Krankenhaus als kritische Anlage?

Maßgeblich ist die BSI-Kritisverordnung: Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG. Unterhalb der Schwelle bleibt § 391 SGB V bestehen – die Pflicht zum Stand der Technik gilt für jedes Krankenhaus.

Was verlangt § 391 SGB V – früher § 75c – konkret?

Angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit zu vermeiden, und ausdrücklich auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als Weg, die Anforderung zu erfüllen, nennt das Gesetz den branchenspezifischen Sicherheitsstandard B3S. Praktisch heißt das: dokumentiertes Sicherheitsmanagement, nicht nur eingekaufte Technik. Die Vorschrift ist inhaltlich dieselbe wie der frühere § 75c, sie trägt nur eine neue Nummer.

Dürfen Sie an Medizingeräten testen?

Nicht ohne den Hersteller und Ihre Medizintechnik – und in der Regel auch nicht am Gerät selbst. Wir prüfen die Umgebung: Netzsegmentierung, Übergänge, Fernwartungszugänge, Rechte und Protokollierung. Genau dort liegt der Weg, den ein Angreifer nimmt; das Gerät selbst ist fast nie der Einstieg, sondern das Ziel.

Wir sind ein MVZ, eine Praxis oder eine Pflegeeinrichtung – gilt das auch für uns?

Die Schwellen für kritische Anlagen und § 391 SGB V zielen auf Krankenhäuser. Die DSGVO gilt jedoch unabhängig von der Größe, und Gesundheitsdaten stehen unter dem besonderen Schutz von Artikel 9. Für kleinere Einrichtungen ist der sinnvolle Zuschnitt deshalb ein anderer: die Grundlagen absichern – Sicherungen, Mehr-Faktor-Anmeldung, Fernzugänge, Endgeräte – statt eines Managementsystems, das niemand pflegen kann.

Wie fangen wir an, ohne den Betrieb zu belasten?

Mit einer Standortbestimmung, die ohne Betriebsunterbrechung läuft: externe Angriffsfläche, Grundkonfiguration von Microsoft 365, Netzübergänge, Sicherungskonzept. Daraus entsteht eine nach Risiko priorisierte Liste. Erst danach entscheiden Sie, was davon Projekt wird – und in welcher Reihenfolge.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.