IT Security im Krankenhaus: Die häufigsten Angriffsvektoren und wie Sie sich schützen

Ein verschlüsseltes Krankenhaus ist kein IT-Problem, sondern ein Versorgungsproblem: Notaufnahme abgemeldet, OP-Pläne auf Papier, Laborwerte per Telefon. Die Lageberichte des Bundesamts für Sicherheit in der Informationstechnik (BSI) führen das Gesundheitswesen seit Jahren als besonders betroffenen Sektor. Die gute Nachricht: Die Angriffswege sind bekannt und wiederholen sich — wer sie systematisch adressiert, senkt sein Risiko erheblich. Dieser Beitrag beschreibt die häufigsten Angriffsvektoren im Krankenhausumfeld und die Schutzmaßnahmen, die sich in der Praxis bewährt haben.

Was sind die häufigsten Angriffsvektoren im Krankenhaus?

Die häufigsten Angriffsvektoren auf Krankenhäuser sind Phishing und Social Engineering, Ransomware, ungepatchte Schwachstellen in erreichbaren Systemen, unzureichend gesicherte Fernzugänge (etwa VPN- und Wartungszugänge) sowie verwundbare Medizingeräte mit veralteten Betriebssystemen. In der Regel kombinieren Angreifer mehrere dieser Wege: Der Erstzugang erfolgt über eine Phishing-Mail oder einen offenen Fernzugang, dann folgen Rechteausweitung, Ausbreitung im Netz und schließlich Verschlüsselung und Erpressung.

Warum Krankenhäuser besonders im Visier stehen

Krankenhäuser vereinen mehrere Eigenschaften, die sie für Angreifer attraktiv machen:

• Hoher Verfügbarkeitsdruck: Wer die Versorgung nicht unterbrechen darf, steht bei Erpressung unter besonderem Zahlungsdruck.
• Heterogene, gewachsene IT-Landschaft: KIS, RIS, PACS, Labor, Verwaltung, Gebäudetechnik und Medizingeräte unterschiedlichster Generationen — jede Komponente ist potenzielle Angriffsfläche.
• 24/7-Betrieb: Wartungsfenster sind knapp, Updates werden aufgeschoben.
• Sensible Daten: Gesundheitsdaten sind besonders geschützte Daten nach Art. 9 DSGVO — ihr Abfluss ist für die Einrichtung auch rechtlich und reputativ gravierend.
• Viele Nutzer, hoher Zeitdruck: Ideale Bedingungen für Social Engineering.

Die fünf wichtigsten Angriffsvektoren im Detail

1. Phishing und Social Engineering

Der Klassiker bleibt der wirksamste Einstieg: gefälschte E-Mails mit Schadanhängen oder Links auf nachgebaute Anmeldeseiten, zunehmend sprachlich fehlerfrei und auf die Einrichtung zugeschnitten. Wirksam dagegen sind technische Filter, Mehr-Faktor-Authentisierung (damit ein erbeutetes Passwort allein nicht genügt) und regelmäßige, praxisnahe Sensibilisierung — nicht als jährliche Pflichtfolie, sondern als geübter Umgang mit Verdachtsfällen inklusive einfachem Meldeweg.

2. Ransomware

Ransomware ist weniger ein eigener Vektor als das Ziel der meisten Angriffe: Daten werden verschlüsselt, zunehmend zusätzlich vor der Verschlüsselung ausgeleitet und mit Veröffentlichung gedroht. Entscheidend ist deshalb die Begrenzung des Schadens: Netzsegmentierung (damit ein kompromittierter Arbeitsplatz nicht das PACS erreicht), restriktive Administratorrechte, gehärtete Backups — und ein geübter Notfallplan.

3. Ungepatchte Schwachstellen

Öffentlich bekannte Schwachstellen in Servern, Appliances und Anwendungssoftware werden oft innerhalb kurzer Zeit nach Bekanntwerden aktiv ausgenutzt. Ein strukturiertes Patch- und Schwachstellenmanagement — Inventar aller Systeme, Bewertung nach Kritikalität, definierte Einspielfristen, Umgang mit nicht patchbaren Altsystemen — gehört deshalb zum Fundament. Systeme, die nicht zeitnah gepatcht werden können, müssen kompensierend isoliert werden.

4. Fernzugänge und Dienstleisterzugriffe

VPN-Zugänge ohne Mehr-Faktor-Authentisierung, dauerhaft offene Wartungszugänge von Geräteherstellern, Fernwartungstools mit schwachen Passwörtern: Fernzugänge sind ein häufig unterschätztes Einfallstor — gerade im Krankenhaus mit seinen vielen externen Technikpartnern. Bewährt haben sich personalisierte Zugänge statt Sammelkonten, Mehr-Faktor-Pflicht, zeitlich begrenzte Freischaltung je Wartungseinsatz und die Protokollierung aller Zugriffe.

5. Medizingeräte und veraltete Systeme

Modalitäten, Laborgeräte und Steuerrechner laufen oft auf Betriebssystemen, die keine Sicherheitsupdates mehr erhalten — und dürfen als Medizinprodukte nicht ohne Herstellerfreigabe verändert werden. Die Antwort ist selten das Patchen des Geräts, sondern seine Isolation: eigene Netzsegmente für Medizintechnik, streng gefilterte Übergänge zu KIS/RIS/PACS, kein direkter Internetzugang, Überwachung des Datenverkehrs auf Anomalien.

Der unterschätzte sechste Vektor: Dienstleister und Lieferkette

Zunehmend erfolgen Angriffe nicht direkt auf das Krankenhaus, sondern über seine Partner: kompromittierte Software-Updates, gekaperte Dienstleisterzugänge, Angriffe auf Labor- oder Abrechnungsdienstleister mit Datenzugriff. Die Konsequenz für die Praxis: Sicherheitsanforderungen gehören in jeden Dienstleistervertrag (Zugriffsregeln, Meldepflichten bei Vorfällen, Auditrechte), und die eigene Architektur sollte so segmentiert sein, dass ein kompromittierter Partnerzugang nicht die gesamte Systemlandschaft öffnet.

Vektoren und Gegenmaßnahmen im Überblick

Rechtlicher Rahmen: § 75c SGB V, KRITIS und B3S

Die IT-Sicherheit im Krankenhaus ist keine freiwillige Kür:

• § 75c SGB V verpflichtet seit dem 1. Januar 2022 alle Krankenhäuser — unabhängig von ihrer Größe —, angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik zu treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme zu vermeiden.
• KRITIS: Krankenhäuser, die als Betreiber kritischer Infrastrukturen gelten, unterliegen zusätzlich den Pflichten des BSI-Gesetzes (§ 8a BSIG): angemessene Vorkehrungen nach dem Stand der Technik und regelmäßige Nachweise gegenüber dem BSI. Ob eine Einrichtung unter die KRITIS-Regelung fällt, bestimmt sich nach der BSI-Kritisverordnung und sollte konkret geprüft werden.
• B3S Krankenhaus: Der branchenspezifische Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus konkretisiert, was „Stand der Technik” im Krankenhausumfeld bedeutet — er ist auch für Nicht-KRITIS-Häuser der praktikabelste Orientierungsrahmen zur Umsetzung von § 75c SGB V.
• NIS2: Die europäische NIS2-Richtlinie weitet Sicherheits- und Meldepflichten auf deutlich mehr Einrichtungen aus, auch im Gesundheitssektor. Der Stand der deutschen Umsetzungsgesetzgebung und die daraus folgenden konkreten Pflichten sollten für die eigene Einrichtung aktuell geprüft werden — verlässliche Anlaufstelle ist das BSI.

Notfallvorsorge: Wenn es trotzdem passiert

Hundertprozentige Prävention gibt es nicht — die Reaktionsfähigkeit entscheidet über das Schadensausmaß:

1. Notfallpläne auf Papier: Wer im Verschlüsselungsfall auf das Intranet angewiesen ist, hat keine Notfallpläne. Erreichbarkeiten, Meldewege und Wiederanlaufreihenfolgen müssen offline verfügbar sein.
2. Backups, die einen Angriff überleben: Mindestens eine Sicherungskopie offline oder unveränderbar (immutable), getrennt von der Produktivdomäne — und regelmäßig getestete Wiederherstellung.
3. Übungen: Ein Notfallplan, der nie geprobt wurde, ist eine Hypothese. Kommunikations- und Wiederanlaufübungen decken Lücken auf, bevor es ernst wird.
4. Melde- und Unterstützungswege kennen: Zuständige Behörden, Datenschutz-Meldepflichten (Art. 33 DSGVO), Cyber-Versicherung, forensische Dienstleister — die Kontakte gehören in den Plan, nicht in die Recherche am Tag X. Für KRITIS-Einrichtungen kommen die Meldepflichten gegenüber dem BSI hinzu.

Häufige Fragen

Gilt die Pflicht zur IT-Sicherheit auch für kleine Krankenhäuser?

Ja. § 75c SGB V verpflichtet alle Krankenhäuser zu angemessenen Vorkehrungen nach dem Stand der Technik — unabhängig von der KRITIS-Einstufung. Der Maßstab „angemessen” berücksichtigt die Verhältnisse der Einrichtung, entbindet aber nicht von Grundmaßnahmen wie Backup-Konzept, Berechtigungsmanagement und Notfallvorsorge.

Was ist der B3S Krankenhaus?

Der branchenspezifische Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus beschreibt, welche organisatorischen und technischen Maßnahmen im Krankenhausumfeld dem Stand der Technik entsprechen. KRITIS-Häuser können mit ihm ihre Nachweise führen; für alle anderen ist er eine praxisnahe Umsetzungshilfe.

Womit sollte eine Einrichtung anfangen, die wenig Ressourcen hat?

Mit den Maßnahmen, die das Schadensausmaß am stärksten begrenzen: Mehr-Faktor-Authentisierung für alle Fern- und Administratorzugänge, getestete und angriffsresistente Backups, Netzsegmentierung zwischen Verwaltung, klinischen Systemen und Medizintechnik sowie ein offline verfügbarer Notfallplan. Danach folgt der strukturierte Ausbau entlang B3S.

Fazit

Die Angriffsvektoren auf Krankenhäuser sind bekannt und wiederholen sich — Phishing, Ransomware, Schwachstellen, Fernzugänge, Medizingeräte. Ebenso bekannt sind die Gegenmaßnahmen. Der Unterschied zwischen betroffenen und glimpflich davongekommenen Häusern liegt selten in Spezialtechnologie, sondern in konsequenter Umsetzung der Grundlagen: Segmentierung, Authentisierung, Patch-Prozess, geübte Notfallpläne und getestete Backups.

Wenn Sie Ihre Sicherheitslage strukturiert bewerten und verbessern wollen: easequence unterstützt Kliniken mit IT-Security-Leistungen von der Sicherheitsberatung bis zum Notfallkonzept — und hält mit Managed IT Services Patch-Management, Monitoring und Backups im laufenden Betrieb auf Stand.