Ein Cybervorfall kann im Krankenhaus mehrere Meldepflichten zugleich auslösen. Während die DSGVO auf die Risiken für betroffene Personen blickt, erfasst das BSIG erhebliche Auswirkungen auf Dienste und Einrichtungen. Beide Prüfungen beginnen, bevor Ursache und Umfang feststehen. Eine vorbereitete Krisenorganisation muss deshalb Patientenversorgung, Eindämmung, Beweissicherung und rechtliche Bewertung von der ersten Stunde an verbinden.
Wenn am Morgen das Krankenhausinformationssystem schweigt
Um 4.40 Uhr erkennt die IT ungewöhnliche Anmeldeversuche. Gegen 6 Uhr sind Teile des Krankenhausinformationssystems und die elektronische Medikationsdokumentation nicht mehr erreichbar. Auf mehreren Servern erscheinen verschlüsselte Dateien. Ein externer Dienstleister bestätigt den Verdacht auf Ransomware, kann einen Abfluss von Patientendaten aber weder belegen noch ausschließen.
Die Stationen wechseln auf Ersatzverfahren. Die IT trennt betroffene Netzbereiche, die Geschäftsführung verlangt eine Lageeinschätzung und der Datenschutzbeauftragte benötigt Angaben zu den betroffenen Daten. Gleichzeitig fehlen Protokolle, weil auch das zentrale Überwachungssystem ausgefallen ist. Noch ist unklar, wie der Angreifer eingedrungen ist. Die gesetzlichen Fristen warten auf diese Antwort nicht.
Das Krankenhaus muss den Betrieb stabilisieren, Tatsachen ermitteln, Risiken bewerten und Meldeentscheidungen dokumentieren.
Ein Ereignis kann mehrere rechtliche Begriffe erfüllen
Ein Cyberangriff beschreibt Ursache oder Vorgehensweise. Die gesetzlichen Meldepflichten richten sich nach seinen Auswirkungen. Das BSIG versteht unter einem Sicherheitsvorfall ein Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. Erheblich ist er insbesondere, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder andere Personen erheblich schädigt oder schädigen kann. Die Begriffe sind in § 2 Nr. 11 und 40 BSIG definiert.
Die DSGVO verwendet einen anderen Anknüpfungspunkt. Eine Verletzung des Schutzes personenbezogener Daten liegt vor, wenn eine Sicherheitsverletzung zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang führt. Eine Ransomware-Verschlüsselung kann daher bereits wegen des Verlusts der Verfügbarkeit eine Datenschutzverletzung sein. Ein nachgewiesener Datenabfluss ist dafür nicht erforderlich. Maßgeblich ist die Begriffsbestimmung in Art. 4 Nr. 12 DSGVO.
Die Begriffe überschneiden sich, sind aber nicht deckungsgleich. Der Ausfall eines technischen Dienstes ohne Personenbezug kann unter das BSIG fallen, ohne Art. 33 DSGVO auszulösen. Eine fehlgeleitete E-Mail mit einem Arztbrief kann eine meldepflichtige Datenschutzverletzung darstellen, ohne ein erheblicher Sicherheitsvorfall nach dem BSIG zu sein.
Die Kenntnis setzt die Fristen in Gang
Ein technischer Alarm begründet noch nicht zwingend Kenntnis von einer Datenschutzverletzung. Eine kurze Erstprüfung darf klären, ob personenbezogene Daten tatsächlich betroffen sind. Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses besteht Kenntnis, sobald mit hinreichender Sicherheit feststeht, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat. Die vertiefte forensische Untersuchung kann danach fortgesetzt werden.
Diese Erstprüfung muss sofort beginnen. Langsame interne Eskalation oder fehlende Zuständigkeiten verschieben den Fristbeginn nicht beliebig. Das Krankenhaus sollte den ersten Hinweis, seine fachliche Bewertung, den Zeitpunkt hinreichender Gewissheit und die Meldeentscheidung dokumentieren.
Auch § 32 BSIG knüpft seine Fristen an die Kenntniserlangung vom erheblichen Sicherheitsvorfall. Eine Einrichtung darf daher nicht auf den Abschluss der Ursachenanalyse warten, wenn die vorhandenen Tatsachen die Erheblichkeit bereits erkennen lassen.
Die DSGVO verlangt eine Risikoentscheidung
Nach Art. 33 DSGVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Die Meldung entfällt nur, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Gesundheitsdaten erhöhen wegen ihrer Sensibilität regelmäßig das Schadenspotenzial. Sie machen jedoch nicht jede technische Störung automatisch meldepflichtig.
Die Bewertung muss den konkreten Vorfall erfassen. Entscheidend sind insbesondere Art und Umfang der Daten, Identifizierbarkeit und Zahl der Betroffenen, mögliche Folgen, Dauer der Beeinträchtigung sowie wirksame Schutzmaßnahmen. Im Krankenhaus gehört dazu auch die Frage, ob fehlende oder veränderte Informationen die Behandlung gefährden können.
Die Meldung beschreibt die Art der Verletzung, die betroffenen Personengruppen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlen nach 72 Stunden noch Angaben, erlaubt Art. 33 Abs. 4 DSGVO eine schrittweise Information. Eine verspätete Meldung muss begründet werden. Der Auftragsverarbeiter muss das Krankenhaus als Verantwortlichen ohne unangemessene Verzögerung informieren; eine eigene Frist von 72 Stunden steht ihm dafür nicht zur Verfügung.
Jede Datenschutzverletzung ist nach Art. 33 Abs. 5 DSGVO zu dokumentieren. Das gilt auch dann, wenn das Krankenhaus nach seiner Risikobewertung keine Meldung abgibt. Gerade diese Entscheidung muss später anhand der damals verfügbaren Tatsachen nachvollziehbar sein.
Betroffene werden bei hohem Risiko informiert
Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, verlangt Art. 34 DSGVO zusätzlich deren unverzügliche Benachrichtigung. Bei Gesundheitsdaten können etwa drohende Erpressung, Diskriminierung, Identitätsmissbrauch oder die Offenlegung vertraulicher Diagnosen ein hohes Risiko begründen. Die Information soll Betroffene in die Lage versetzen, sich zu schützen. Sie darf deshalb nicht allein nach Gesichtspunkten der Außenkommunikation behandelt werden.
Die Mitteilung muss in klarer und einfacher Sprache die Art der Verletzung, eine Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen erläutern. Sie kann entfallen, wenn wirksame Schutzmaßnahmen wie eine nicht kompromittierte Verschlüsselung die Daten für Unbefugte unzugänglich gemacht haben, spätere Maßnahmen das hohe Risiko beseitigt haben oder eine individuelle Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde. Im letzten Fall ist grundsätzlich eine öffentliche oder vergleichbar wirksame Information erforderlich.
Daneben kann das BSI nach § 35 BSIG anordnen, dass die Empfänger eines beeinträchtigten Dienstes unterrichtet werden. Diese Befugnis folgt einem anderen Zweck und ersetzt die eigenständige Prüfung nach Art. 34 DSGVO nicht.
Das BSIG arbeitet mit gestuften Meldungen
Für wichtige und besonders wichtige Einrichtungen verlangt § 32 BSIG bei einem erheblichen Sicherheitsvorfall eine Meldung an die gemeinsame Meldestelle von BSI und BBK. Zunächst ist unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, eine frühe Erstmeldung abzugeben. Sie soll insbesondere erkennen lassen, ob der Verdacht einer rechtswidrigen oder böswilligen Handlung besteht oder grenzüberschreitende Auswirkungen möglich sind.
Unverzüglich, spätestens innerhalb von 72 Stunden folgt eine Meldung, welche die ersten Angaben bestätigt oder aktualisiert und eine erste Bewertung von Schweregrad und Auswirkungen enthält. Soweit vorhanden, gehören auch Kompromittierungsindikatoren hinein. Auf Ersuchen des BSI sind Zwischenmeldungen abzugeben. Spätestens einen Monat nach der 72-Stunden-Meldung folgt der Abschlussbericht mit Ursache, Auswirkungen und Abhilfemaßnahmen. Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an seine Stelle.
Die 24-Stunden-Meldung ist damit bewusst eine frühe Lageinformation und kein Obduktionsbericht. Betreiber kritischer Anlagen müssen zusätzlich die betroffene Anlage und kritische Dienstleistung sowie die möglichen Auswirkungen auf diese Dienstleistung benennen. Die Meldepflicht nach § 32 BSIG gilt frühestens ab Einrichtung des gesetzlich vorgesehenen Meldewegs.
Eine Meldung ersetzt die andere nicht
Derselbe Ransomware-Angriff kann eine Meldung nach Art. 33 DSGVO und mehrere Meldungen nach § 32 BSIG erfordern. Die DSGVO bewertet vor allem die Folgen für natürliche Personen. Das BSIG blickt auf Dienste, Betriebsstörungen und weitere erhebliche Schäden. Auch Fristen, Empfänger und Meldeinhalte unterscheiden sich. Eine Meldung an das BSI erfüllt daher nicht zugleich die Pflicht gegenüber der Datenschutzaufsicht.
Die internen Fakten sollten dennoch aus einer gemeinsamen Lageführung stammen. Zeitpunkt, betroffene Systeme, Datenarten, Ausfallumfang, Verdachtsmomente und Gegenmaßnahmen müssen in allen Meldungen konsistent bleiben. Neue Erkenntnisse dürfen zu Aktualisierungen führen; ungeklärte Punkte sollten als solche bezeichnet werden, statt sie durch scheinbar sichere Vermutungen zu ersetzen.
Je nach Sachverhalt kommen weitere Schritte hinzu, etwa die Einbindung von Strafverfolgungsbehörden, Versicherern, Dienstleistern oder Vertragspartnern. Diese Kontakte folgen eigenen Voraussetzungen und dürfen im Meldeplan nicht mit den gesetzlichen Meldungen vermischt werden.
Die ersten 24 Stunden brauchen eine feste Reihenfolge
Zuerst sind Patientenversorgung und Eindämmung zu sichern. Betroffene Netzbereiche und Konten werden kontrolliert isoliert, Ersatzverfahren aktiviert und kritische Behandlungen priorisiert. Zugleich tritt die Krisenorganisation zusammen. Sie braucht klare Entscheidungswege und eine Kommunikationsmöglichkeit außerhalb des möglicherweise betroffenen Netzes.
In den ersten Stunden entsteht ein gemeinsames Lagebild. IT und Forensik klären die Reichweite. Medizinische und administrative Bereiche bewerten die Folgen für Versorgung und Betrieb. Informationssicherheit, Datenschutz und Recht prüfen die Meldewege. Die Geschäftsleitung entscheidet über Ressourcen, Prioritäten und externe Kommunikation. Ein fortlaufendes Ereignis- und Entscheidungsprotokoll hält fest, welche Tatsachen zu welchem Zeitpunkt vorlagen.
Vor Ablauf der ersten Fristen muss das Krankenhaus auf dieser Grundlage vorläufig entscheiden. Eine Meldung kann ausdrücklich kenntlich machen, dass Reichweite und Ursache noch untersucht werden. Parallel sind Dienstleister zu verbindlichen Auskünften und zur Sicherung ihrer Protokolle aufzufordern. Der Wunsch nach vollständiger Gewissheit darf nicht zum organisatorischen Stillstand führen.
Beweissicherung und Wiederanlauf müssen zusammenpassen
Ein schneller Neustart kann die Versorgung stabilisieren, zugleich aber flüchtige Spuren vernichten. Protokolle, Zeitstempel, betroffene Konten, Systemabbilder und Kommunikation mit dem Angreifer können für Aufklärung, Aufsicht, Strafverfahren und Regress wichtig werden. Systeme sollten deshalb nicht unkoordiniert neu installiert oder bereinigt werden.
Die Forensik darf umgekehrt keinen medizinisch erforderlichen Wiederanlauf blockieren. Vorbereitete Prioritäten bestimmen, welche Systeme zuerst isoliert, untersucht und aus sauberen Sicherungen wiederhergestellt werden. Wo aus Gründen der Versorgung von der idealen Beweissicherung abgewichen werden muss, sollte auch diese Entscheidung mit Anlass und Folgen dokumentiert werden.
Zum Wiederanlauf gehört schließlich die Rückkehr aus den Ersatzverfahren. Papierdokumentation und nachträgliche Eingaben müssen geordnet in die Behandlungsdokumentation übernommen werden. Sonst endet der technische Vorfall, während das Risiko unvollständiger oder widersprüchlicher Patienteninformationen fortbesteht.
Vorbereitung entscheidet über die Reaktionsfähigkeit
Kurze Meldefristen lassen sich während des Vorfalls nicht improvisieren. Das Krankenhaus braucht vorab benannte Verantwortliche und Stellvertretungen, aktuelle Kontaktdaten, Zugänge zu den Meldeportalen, vorbereitete Entscheidungskriterien und vertraglich abgesicherte Mitwirkung der Dienstleister. Auch alternative Kommunikationswege und der Zugriff auf Notfallunterlagen müssen funktionieren, wenn das reguläre Netz ausgefallen ist.
Übungen können zeigen, ob diese Organisation trägt. Ein realistisches Szenario sollte neben der technischen Reaktion auch Patientenversorgung, Datenschutzbewertung, BSIG-Meldung, Entscheidungen der Geschäftsleitung und Kommunikation erfassen. Entscheidend ist, ob erkannte Lücken tatsächlich geschlossen werden.
Die Meldepflichten sind damit ein Teil der Vorfallsbewältigung und kein nachgelagerter Schriftverkehr. Ein vorbereitetes Krankenhaus kann früh handeln, vorläufige Erkenntnisse sauber kennzeichnen und seine Entscheidungen später erklären. Genau diese Nachvollziehbarkeit wird auch für die Haftung entscheidend.
Der abschließende Teil der Reihe behandelt deshalb die Folgen eines Sicherheitsvorfalls. Im Mittelpunkt stehen Schadensersatz und Bußgelder, Organisations- und Geschäftsleiterhaftung, Regress gegenüber Dienstleistern sowie mögliche behandlungsrechtliche Konsequenzen eines Systemausfalls.
Rechtliche Bezugspunkte: Art. 4 Nr. 12, Art. 28 und Art. 32 bis 34 DSGVO; § 2 Nr. 11 und 40 BSIG, § 32 BSIG und § 35 BSIG; § 391 SGB V; Europäischer Datenschutzausschuss, Leitlinien 9/2022 zu Datenschutzverletzungen. Rechtsstand: September 2026.
Häufige Fragen
Beginnt die Meldefrist schon mit dem ersten technischen Alarm?
Nicht zwingend. Eine kurze Erstprüfung darf klären, ob personenbezogene Daten beeinträchtigt sind. Sie muss unverzüglich erfolgen. Für die Kenntnis einer Datenschutzverletzung sind die Leitlinien 9/2022 des Europäischen Datenschutzausschusses maßgeblich; § 32 BSIG knüpft an die Kenntnis eines erheblichen Sicherheitsvorfalls an.
Muss ein Ransomware-Angriff auch ohne nachgewiesenen Datenabfluss nach DSGVO geprüft werden?
Ja. Auch der Verlust der Verfügbarkeit personenbezogener Daten kann eine Datenschutzverletzung nach Art. 4 Nr. 12 DSGVO sein. Ob eine Meldung erforderlich ist, hängt von der Risikobewertung nach Art. 33 DSGVO ab.
Welche Fristen sieht § 32 BSIG vor?
Bei einem erheblichen Sicherheitsvorfall verlangt § 32 BSIG für erfasste Einrichtungen grundsätzlich eine frühe Erstmeldung spätestens nach 24 Stunden, eine weitere Meldung spätestens nach 72 Stunden und später einen Abschlussbericht. Das Gesetz enthält weitere Vorgaben für Zwischen- und Fortschrittsmeldungen.
Ersetzt die Meldung an das BSI die Meldung an die Datenschutzaufsicht?
Nein. § 32 BSIG und Art. 33 DSGVO haben unterschiedliche Voraussetzungen, Adressaten und Inhalte. Beide Pflichten sind für denselben Vorfall gesondert zu prüfen.
Quellen & Verweise
Wissen, was im Medizinrecht zählt.
Erhalten Sie aktuelle Urteile und Fachbeiträge direkt in Ihr Postfach.
