NIS-2 und Cybersecurity Informationssicherheit im Krankenhaus – mehr als ein IT-Projekt

Anbieter zum Thema

Proliance GmbH

FTAPI Software GmbH

Im Gesundheitswesen bedrohen Cyberangriffe direkt Menschenleben. Durch die NIS-2-Richtlinie müssen viele Einrichtungen nun dringend handeln. Warum Informationssicherheit dabei weit mehr als nur ein IT-Projekt ist.

Manchmal bemerken wir unsere größten blinden Flecken erst, wenn uns jemand von außen darauf hinweist. Führungsteams sind oft fest davon überzeugt: „So, wie wir das machen, ist es sicher.“ Doch genau darin liegt die Gefahr der Betriebsblindheit – man erkennt die eigenen Lücken selbst kaum noch.

Was wie eine klassische Management-Herausforderung klingt, ist ein Phänomen, das im Klinikalltag regelmäßig zu beobachten ist. Einrichtungen, die seit Jahren funktionieren, deren Abläufe eingespielt sind, bei denen das Tagesgeschäft läuft – die aber trotzdem gravierende Lücken in ihrer Informationssicherheit haben, weil der Blick von außen fehlt.

Bundeslagebild Cybercrime 2025

Die Bedrohung steigt, die Abwehr zieht nach

Im Zuge von NIS-2 (auch: NIS2) fallen viele dieser Einrichtungen jetzt in einen erweiterten Regulierungsbereich. Zulieferer, Dienstleister und Händler, die das Thema Informationssicherheit bislang nicht auf dem Schirm hatten, müssen sich erstmals damit auseinandersetzen. Das BSI geht von knapp 30.000 betroffenen Organisationen in Deutschland aus. Gemeldet haben sich Stand März dieses Jahres erst rund 11.000. Allein diese Zahl zeigt, wie weit der Weg noch ist.

Den Handlungsbedarf verdeutlicht auch eine Studie des DKI aus dem Jahr 2025: 20 Prozent der Allgemeinkrankenhäuser ab 100 Betten, und damit jedes fünfte Haus, waren in den letzten drei Jahren von meldepflichtigen Vorfällen (Cyberangriffe, Datenpannen) betroffen. 86 Prozent der Einrichtungen gehen davon aus, dass sich diese Bedrohungslage künftig noch verschärfen wird.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Warum das Schadenspotenzial in Kliniken eine andere Dimension hat

Betrachtet man den Krankenhaussektor aus nächster Nähe, zeigt sich ein Umstand, den andere Branchen so nicht kennen: Bei einem Sicherheitsvorfall steht Gesundheit auf dem Spiel, im schlimmsten Fall ein Menschenleben. Die Erwartungshaltung der Patientinnen und Patienten an die Verfügbarkeit ihrer Versorgung ist berechtigt hoch. Wer auf eine wichtige Operation wartet, für den ist ein Systemausfall kein IT-Problem.

Ein Cyberangriff auf ein Krankenhaus entfaltet seine verheerende Wirkung deshalb anders als ein Angriff auf ein Industrieunternehmen. Hacker kalkulieren mit dieser Drucksituation. Die Angreifer, die gezielt Gesundheitseinrichtungen ins Visier nehmen, wissen, dass die Bereitschaft zu zahlen steigt, wenn Menschenleben betroffen sind. Vor Gericht sieht das dann auch entsprechend aus. Wir reden nicht über Geldstrafen allein, sondern über Haftstrafen und persönliche Konsequenzen für die Verantwortlichen.

Auch geopolitische Konflikte verschärfen die Lage drastisch. Denn Krankenhäuser sind längst Teil der hybriden Kriegsführung geworden. Wir haben es 2023 erlebt, als staatlich motivierte Hackergruppen gezielt die Websites und Portale deutscher Kliniken angriffen, um politische Entscheidungen zu torpedieren.

Gepaart mit den komplexen Abhängigkeiten in der Lieferkette entsteht hier eine explosive Mischung: Wer den massiven Hackerangriff auf den Dienstleister Südwestfalen-IT im Hinterkopf hat, der auch Rettungsleitstellen wochenlang in den Notbetrieb zwang, kann sich vorstellen, wie angreifbar unsere vernetzten Infrastrukturen heute sind. Im Gesundheitswesen, wo die gesamte Wertschöpfung am Ende digital abgebildet wird, wiegt diese Verwundbarkeit schwerer als in fast jedem anderen Sektor.

Angriff auf das Gesundheitswesen

Hacker erbeuten Zehntausende Daten deutscher Patienten

Wo die Vorbereitung auf NIS-2 beginnen sollte

Wenn eine Healthcare-Einrichtung heute anfängt, sich auf NIS-2 vorzubereiten, stellt sich sofort die Frage nach den richtigen ersten Schritten. Die Antwort darauf ist weniger offensichtlich, als sie auf den ersten Blick scheint. Ein pragmatischer erster Schritt ist die Definition des Geltungsbereichs, also: „Was gehört zu meiner Organisation?“. Diese Frage klingt einfach, ist aber in der Praxis oft der Punkt, an dem die größten Fehleinschätzungen passieren.

Den Geltungsbereich festzulegen bedeutet, sich ehrlich anzuschauen, welche internen und externen Prozesse, welche Dienstleister und Zulieferer, welche Cloud-Umgebungen und Standorte tatsächlich zur eigenen Verantwortung gehören. Wer hier zu eng schneidet, riskiert später böse Überraschungen, weil NIS-2 verlangt, wirklich alles zu erfassen.

Im zweiten Schritt steht die Gap-Analyse. Wo stehen wir heute, wo wollen wir hin, und wie sieht der Weg dorthin aus? Bei dieser Bestandsaufnahme geht es um konkrete Abhängigkeiten, um Personal, Strukturen, Programme, Hardware, Lieferketten. Wer sich einmal eine halbe Stunde Zeit nimmt und die fünf wichtigsten Geschäftsprozesse aufschreibt, schafft damit bereits eine Grundlage, von der sich Prioritäten ableiten lassen. Das muss kein Mammutprojekt sein. Fünf Prozesse auf den Tisch, Abhängigkeiten benennen, Verantwortlichkeiten klären.

Und dann wird es ernst, weil es um Risiko geht. Risikobewertung heißt, Eintrittswahrscheinlichkeiten und Schadenshöhen gegeneinander abzuwägen. Im Gesundheitswesen ist die Schadenshöhe per se enorm. Ein Ausfall kann bedeuten, dass einzelne Dienste oder Produkte schlicht nicht mehr zur Verfügung stehen. Für Patienten mit akutem Versorgungsbedarf ist das keine abstrakte Kennzahl, sondern eine reale Gefahr.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Warum Perfektion der Feind des Fortschritts ist

Ein häufiger Fehler in der Praxis ist der Versuch, alles auf einmal perfekt machen zu wollen. Dieser Anspruch zeigt sich erfahrungsgemäß besonders bei Betrieben, die sich zum ersten Mal mit Informationssicherheit als Managementthema befassen. Sie wollen heute bereits alles abgesichert haben, und wenn es nach acht Tagen noch nicht steht, stellt sich schnell Frustration ein.

Das Gegenteil wäre „richtiger“. Fortschritt schlägt Perfektion. Eine kleine, praktikable Lösung, die sich in Zukunft verbessern lässt, ist wertvoller als ein perfekter Plan, der erst in drei Monaten Form annimmt. Wer sich auf Perfektion konzentriert, erlaubt sich den Fehler nicht, der zum Lernen gehört. Und genau hier liegt eine der größten kulturellen Herausforderungen.

Konkret gesagt: Wenn ein Fehler passiert, gibt es zwei Möglichkeiten. Die erste ist, den Fehler unter den Teppich zu kehren und einen Schuldigen zu suchen. Die zweite ist, offen damit umzugehen und zu fragen, was die Organisation tun kann, damit dieser Fehler nicht mehr auftritt.

Cybervorfall bei Rezeptprüfer

Mehr als 70.000 Patientendaten nach Hackerangriff gefährdet

Im Diskurs um Organisationskultur wird häufig zwischen einer Fehlerkultur und einer Lernkultur unterschieden. In einer Fehlerkultur werden Fehler vertuscht, während sie in einer Lernkultur als Anlass für Verbesserung dienen. Um diese Erkenntnis auf die Themen Informations- und Cybersicherheit zu übersetzen: Eines der häufigsten Einfallstore für Ransomware ist der unbedachte Klick auf einen Phishing-Link.

Passiert das einer Pflegekraft oder einem Arzt am Ende einer anstrengenden Nachtschicht, ist die Reaktion der Organisation entscheidend. Herrscht eine negative Fehlerkultur, wird die Person aus Angst vor Abmahnung, Ärger oder Spott schweigen. Die E-Mail wird schnell gelöscht in der Hoffnung, dass niemand etwas merkt. Das gibt der Schadsoftware die wertvolle Zeit, die sie braucht, um sich lautlos im gesamten Kliniknetzwerk auszubreiten – bis Tage später der Notbetrieb ausgerufen werden muss.

In einer echten Lernkultur dagegen greift die gleiche Person sofort zum Hörer und meldet den Klick. Der betroffene Rechner wird in Minuten isoliert, der Angriff im Keim erstickt. Ein einziger Anruf und volle Transparenz verhindern hier Schlimmeres. Genau deshalb ist Informationssicherheit kein IT-Projekt, sondern bedingt zwingend eine Kultur des Vertrauens.

Security-Insider Podcast – Folge 116

So ergänzt das KRITIS-Dachgesetz die NIS-2-Richtlinie

Kommunikation entscheidet über Vertrauen

Ein letzter, entscheidender Erfolgsfaktor betrifft die Kommunikation. Im Gesundheitswesen sind die Anspruchsgruppen zahlreich. Patientinnen und Patienten, Mitarbeitende, Geschäftspartner, Lieferanten, Behörden. Sie alle haben ein berechtigtes Interesse daran, dass eine Organisation ihre Informationssicherheit im Griff hat.

In der Praxis lässt sich jedoch häufig ein Schweigen beobachten, das Vertrauen zerstört. Wenn ein Fehler passiert, gibt es Organisationen, die versuchen, ihn auszusitzen und unter den Teppich zu kehren. Das funktioniert aber nicht in einem Sektor, in dem Patienten mit dringenden Nöten vor der Tür stehen.

Transparenz, schnelles Benennen des Problems und ein realistischer Zeitrahmen wirken stärker als jede Pressemitteilung. Zwischen fünf und vierzehn Tagen ist in den meisten Fällen ein realistischer Zeitraum, um die Konsequenzen eines Vorfalls aufzuarbeiten. Wer das ehrlich kommuniziert, stärkt Vertrauen, statt es zu verspielen. Ein Patient, der erfährt, dass es ein Problem gibt und wann er voraussichtlich mit einer Lösung rechnen kann, reagiert ganz anders als ein Patient, der von dem Vorfall erst aus der Presse erfährt.

NIS-2-Umsetzung in Deutschland mit Haftung und Meldepflicht im Fokus

NIS 2 in der Praxis zeigt die 6 typischen Fehler bei der Umsetzung

Eine Frage der Haltung

Im Kern geht es bei NIS-2 im Gesundheitswesen um eine Haltungsfrage. Informations­sicher­heit ist kein Thema, das die IT-Abteilung allein lösen kann. Es ist ein Managementthema, ein Organisationsthema, ein Kulturthema. Die Geschäftsführung muss es für sich annehmen, die Mitarbeitenden müssen es verstehen, und die Kommunikation muss stimmen. Wer diese Verantwortung ernst nimmt und den Mut aufbringt, mit Fehlern offen umzugehen, statt sie zu vertuschen, wird feststellen, dass der Weg zu besserer Sicherheit kein einmaliger Sprint ist. Er ist ein fortlaufender Prozess. Und der erste Schritt ist, ehrlich hinzuschauen.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

(ID:50870489)