Technische Grundlagen und rechtliche Einordnung für Krankenhäuser
Wenn die IT ausfällt, steht nicht nur die Verwaltung. Im digitalisierten Krankenhaus kann ein Cybervorfall unmittelbar die Behandlung betreffen. In einem solchen Szenario wird Cybersicherheit zu einer Frage der Patientenversorgung und der rechtssicheren Organisation. Diese Reihe an Fachbeiträgen soll eine erste Orientierung im Thema Cybersicherheit und Datenschutz im Krankenhaus geben.
Wenn Systeme ausfallen
Am Montagmorgen in der Zentralen Notaufnahme. Das KIS ist nicht erreichbar. Vorbefunde lassen sich nicht aufrufen, Medikationspläne fehlen, Laborwerte kommen nur telefonisch und radiologische Bilder laden allenfalls sporadisch. Die Stationen wechseln auf Papier. Gleichzeitig besteht der Verdacht, dass Daten aus dem Netzwerk abgeflossen sein könnten.
Die erste juristische Frage lautet dann, ob es sich um eine Datenschutzverletzung handelt. Diese Frage ist berechtigt, sie greift aber zu kurz. In so einer Situation geht es nicht allein um die mögliche Offenlegung sensibler Gesundheitsdaten. Es geht ebenso um die Verfügbarkeit behandlungsrelevanter Informationen, um die Verlässlichkeit von Befunden und um sichere Abläufe unter Ausnahmebedingungen. Ein Cybervorfall kann deshalb zugleich Datenschutzereignis, Organisationsstörung und allem voran ein Risiko für die Patientensicherheit sein.
Da digitale Systeme längst Teil der Versorgungsstruktur der Leistungserbringer sind, liegt hierin der medizinrechtliche Kern. Ihre Sicherheit darf daher nicht als reine Betriebsfrage der IT-Abteilung behandelt werden. Sie gehört in das Risikomanagement der Einrichtung und damit in den Verantwortungsbereich ihrer Leitung.
Das Krankenhaus ist ein digitales Verbundsystem
Technisch betrachtet besitzt ein Krankenhaus nicht einfach eine einzige IT-Anlage, sondern es betreibt ein digitales Verbundsystem. Das Krankenhausinformationssystem ist mit der Patientenaufnahme, der Dokumentation, dem Labor, der Radiologie, der Apotheke und häufig mit medizintechnischen Komponenten verbunden. Hinzu kommen die Telematikinfrastruktur, die elektronische Patientenakte, Patientenportale, Termin- und Kommunikationsdienste, Cloud-Anwendungen sowie Zugänge externer Dienstleister.
Entscheidend sind dabei die Übergänge. Daten werden zwischen Systemen übertragen, Benutzerkonten werden über mehrere Anwendungen hinweg genutzt und Wartungszugänge reichen von außen in die interne Infrastruktur. Jeder Übergang schafft Abhängigkeiten und kann zu einer eigenen Angriffsfläche werden. Ein erfolgreicher Angriff muss deshalb keineswegs am zentralen Datenspeicher beginnen. Eine Phishing-Mail, ein kompromittiertes Passwort, eine fehlerhaft konfigurierte Schnittstelle oder ein unzureichend abgesicherter Fernwartungszugang können hierfür genügen.
Auch der Anschluss an eine besonders geschützte Infrastruktur nimmt der Einrichtung nicht jede Verantwortung für ihre lokale Umgebung. Sichere zentrale Dienste helfen nur, wenn Endgeräte, Netze, Berechtigungen und Arbeitsabläufe vor Ort ebenfalls angemessen organisiert sind. Cybersicherheit ist daher keine Eigenschaft eines einzelnen Produkts, sondern das Ergebnis eines abgestimmten Systems aus Technik, Organisation und Verhalten.
Vier Schutzziele mit medizinischer Bedeutung
Für den Einstieg reichen vier Schutzziele. Sie übersetzen technische Risiken in Fragen, die sich unmittelbar auf die Versorgung beziehen.
Vertraulichkeit. Gesundheitsdaten dürfen nur den Personen zugänglich sein, die sie für ihre Aufgaben benötigen. Werden Diagnosen, Bilddaten oder Therapieverläufe unbefugt gelesen oder veröffentlicht, kann dies die betroffenen Menschen erheblich belasten und ihre Rechte verletzen.
Integrität. Informationen müssen vollständig und unverfälscht sein. Ein manipulierter Medikationsplan, ein falsch zugeordneter Laborwert oder eine unbemerkte Änderung der Patientenakte kann unmittelbar zu einer fehlerhaften Behandlung führen.
Verfügbarkeit. Daten und Systeme müssen dann nutzbar sein, wenn sie benötigt werden. In einem Krankenhaus ist ein mehrstündiger Ausfall kein bloßes Komfortproblem. Er kann Diagnostik, Medikation, Operationen, Entlassungen und die Steuerung von Notfällen beeinträchtigen.
Authentizität. Es muss verlässlich feststehen, von wem eine Information oder Anweisung stammt. Werden Identitäten, Befunde oder elektronische Anordnungen vorgetäuscht, können scheinbar plausible Daten zu falschen Entscheidungen führen.
Der Blick auf diese vier Ziele korrigiert die in der öffentlichen Wahrnehmung sehr verbreitete Verkürzung auf den Datendiebstahl. Für die konkrete Behandlung können jedoch mangelnde Verfügbarkeit und fehlende Integrität die unmittelbar gefährlicheren Folgen haben. Gute Sicherheitsorganisation schützt deshalb nicht nur Geheimnisse, sondern vielmehr auch die Fähigkeit, richtige medizinische Entscheidungen rechtzeitig zu treffen.
Datenschutz und Cybersicherheit
Datenschutz und Cybersicherheit überschneiden sich, sind aber nicht dasselbe. Das Datenschutzrecht fragt zunächst, ob, zu welchem Zweck und durch wen personenbezogene Daten verarbeitet werden dürfen. Cybersicherheit fragt, wie Daten, Systeme und Prozesse gegen unbefugten Zugriff, Manipulation, Verlust und Ausfall geschützt werden.
Die Trennung ist analytisch nützlich, rechtlich bleiben dennoch beide Bereiche eng verbunden. Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihr hoher Schutzbedarf prägt daher auch die Anforderungen an die Sicherheit der Verarbeitung. Art. 5 Abs. 1 Buchst. f DSGVO verankert Integrität und Vertraulichkeit als Verarbeitungsgrundsatz. Art. 32 DSGVO verlangt risikoadäquate technische und organisatorische Maßnahmen und nennt ausdrücklich auch die Verfügbarkeit, Belastbarkeit und rasche Wiederherstellbarkeit von Systemen und Diensten.
Ein Ausfall ohne Datenabfluss kann deshalb datenschutzrechtlich relevant sein. Umgekehrt erschöpft sich die rechtliche Bewertung eines Cyberangriffs nicht in der DSGVO. Sobald Diagnostik, Behandlung oder Notfallabläufe betroffen sind, treten Anforderungen an eine ordnungsgemäße Betriebs- und Behandlungsorganisation hinzu. Wer nur prüft, ob Daten nach außen gelangt sind, übersieht einen wesentlichen Teil des Risikos.
Cybersicherheit als Complianceaufgabe
Art. 32 DSGVO gibt zunächst keinen starren Maßnahmenkatalog vor. Das ist allerdings kein Freibrief, sondern Ausdruck eines risikobasierten Ansatzes. Maßgeblich sind unter anderem der Stand der Technik, die Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Schäden. Die Einrichtung muss also ihre konkrete Risikolage kennen, angemessene Maßnahmen auswählen und deren Wirksamkeit regelmäßig prüfen.
Für Krankenhäuser konkretisiert § 391 SGB V diesen Gedanken. Danach sind nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen gegen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der maßgeblichen IT-Systeme, Komponenten und Prozesse zu treffen. Die Vorschrift bezieht ausdrücklich den Schutzbedarf der verarbeiteten Patienteninformationen ein und verlangt außerdem Maßnahmen zur Steigerung der Security-Awareness der Beschäftigten. Für Krankenhäuser, die bereits den Anforderungen des BSI-Gesetzes als Betreiber kritischer Anlagen unterliegen, gelten die dortigen Pflichten; § 391 SGB V sorgt im Übrigen dafür, dass IT-Sicherheit nicht an einer Größen- oder KRITIS-Schwelle endet.
Damit wird aus einem technischen Thema eine klassische Complianceaufgabe. Die Leitung muss Zuständigkeiten festlegen, Ressourcen bereitstellen, Risiken priorisieren und Entscheidungen nachvollziehbar dokumentieren. Die IT kann Schutzmaßnahmen umsetzen und fachlich beraten. Die organisatorische Verantwortung lässt sich aber nicht schlicht an sie delegieren.
Zunächst muss eine belastbare Bestandsaufnahme zeigen, welche Systeme für die Versorgung kritisch sind, welche Abhängigkeiten bestehen und welche Folgen ein Ausfall oder eine Manipulation hätte. Berechtigungskonzepte, Mehrfaktorauthentisierung, Segmentierung, sichere Wartungszugänge, Patchmanagement und geschützte Datensicherungen sind typische Bausteine eines risikoadäquaten Informationssicherheitskonzepts. Welche davon erforderlich sind, hängt vom konkreten Risiko ab. Aufbauend hierauf genügt ein Konzept in der Schublade jedoch noch nicht. Wiederherstellungstests, technische Prüfungen, Übungen und die Auswertung von Vorfällen müssen zeigen, ob Schutzmaßnahmen im Ernstfall tragen. Die entwickelten Notfallpläne müssen schließlich nicht nur die Technik, sondern auch die Versorgung abdecken. Dazu gehören analoge Ersatzprozesse, klare Eskalationswege, erreichbare Ansprechpartner und die Frage, welche Leistungen unter welchen Bedingungen fortgeführt werden können.
Keine absolute Sicherheit
Rechtlich wird keine unangreifbare Infrastruktur verlangt. Dies wäre vermutlich auch realitätsfern und nicht umsetzbar. Ein erfolgreicher Angriff beweist für sich genommen nämlich noch keinen Complianceverstoß. Entscheidend ist, ob die Einrichtung ihre Risiken systematisch bewertet, angemessene Schutzmaßnahmen nach dem Stand der Technik getroffen, deren Wirksamkeit geprüft und auf erkennbare Veränderungen reagiert hat.
Gerade weil sich Bedrohungen, Technik und Versorgungsprozesse verändern, muss Cybersicherheit als fortlaufender Organisationsprozess gedacht werden. Problematisch wird nicht erst der Angriff, sondern schon eine Struktur, in der niemand den Überblick über kritische Systeme hat, Verantwortlichkeiten unklar bleiben, Datensicherungen nie getestet werden oder Warnungen folgenlos versanden.
Der entscheidende Perspektivwechsel lautet deshalb: Können die konkret getroffenen Maßnahmen der Cybersicherheit die Handlungsfähigkeit der medizinischen Versorgung sichern? Wer sie ausschließlich als Angelegenheit der IT-Abteilung behandelt, organisiert ein Compliance- und Versorgungsrisiko.
Ausblick
In vernetzten Strukturen folgt auf diese Erkenntnis sofort die nächste Frage: Wer trägt für welchen Teil des Systems die datenschutzrechtliche und organisatorische Verantwortung? Das wird besonders bei der Telematikinfrastruktur, externen Plattformen und gemeinsam genutzten Diensten anspruchsvoll. Der nächste Beitrag nimmt deshalb die Verteilung der Verantwortung in den Blick.
Rechtliche Bezugspunkte: Art. 5 Abs. 1 Buchst. f, Art. 9, Art. 24 und Art. 32 DSGVO; § 391 SGB V. Rechtsstand: September 2026.
Häufige Fragen
Kann ein IT-Ausfall auch ohne Datenabfluss datenschutzrechtlich relevant sein?
Ja. Ist die Verfügbarkeit personenbezogener Daten betroffen, kann eine Verletzung des Schutzes personenbezogener Daten vorliegen. Ob eine Meldung erforderlich ist, richtet sich nach den Voraussetzungen des Art. 33 DSGVO.
Welche Vorschrift regelt die IT-Sicherheit in Krankenhäusern?
Eine krankenhausspezifische Regelung enthält § 391 SGB V. Daneben können je nach Einordnung des Krankenhauses Pflichten nach dem BSI-Gesetz gelten.
Reicht ein technischer Notfallplan aus?
Der Beitrag weist darauf hin, dass Notfallpläne auch die Versorgung abdecken müssen. Dazu zählen analoge Ersatzprozesse, Eskalationswege, erreichbare Ansprechpartner und Entscheidungen darüber, welche Leistungen bei einem Ausfall fortgeführt werden können.
Quellen & Verweise
Wissen, was im Medizinrecht zählt.
Erhalten Sie aktuelle Urteile und Fachbeiträge direkt in Ihr Postfach.
