Cybersicherheit als Compliance im Gesundheitswesen - Teil 7: Haftung nach dem Sicherheitsvorfall - KAPmed - Medizinrecht News Cyberangriff im Krankenhaus: Wer haftet?

Nach einem Cyberangriff beginnt neben der technischen Aufarbeitung regelmäßig die Suche nach Verantwortung. Betroffene verlangen Schadensersatz, Aufsichtsbehörden prüfen Bußgelder, die Geschäftsleitung muss ihre Entscheidungen erklären und Dienstleister verweisen auf Fehler des Kunden. Der erfolgreiche Angriff beantwortet die Haftungsfrage jedoch nicht. Entscheidend ist, welche Pflicht verletzt wurde, welcher Schaden daraus entstand und was die Einrichtung zu ihrer Entlastung belegen kann.

Wenn die Systeme wieder laufen, ist der Vorfall nicht vorbei

Drei Wochen nach einem Ransomware-Angriff arbeitet das Krankenhaus wieder weitgehend im Normalbetrieb. Inzwischen steht fest, dass Dateien mit Gesundheitsdaten abgeflossen sind. Ein Patient führt eine verspätete Behandlung auf einen während des Ausfalls nicht verfügbaren Befund zurück. Die Datenschutzaufsicht verlangt Nachweise zu den Sicherheitsmaßnahmen, der Cyberversicherer prüft seine Eintrittspflicht und der IT-Dienstleister bestreitet, für den kompromittierten Zugang verantwortlich zu sein.

Aus einem technischen Ereignis sind damit mehrere rechtliche Verfahren geworden. Sie folgen unterschiedlichen Voraussetzungen. Der datenschutzrechtliche Schadensersatz schützt die betroffene Person, das Bußgeld sanktioniert einen Verstoß, die Organhaftung betrifft den Schaden der Einrichtung und das Behandlungsrecht fragt nach den Folgen für den Patienten. Diese Ebenen dürfen nicht zu einer pauschalen Gesamthaftung vermischt werden.

Gemeinsam ist ihnen allerdings die Rückschau. Monate später muss rekonstruiert werden, welche Risiken bekannt waren, welche Entscheidungen getroffen wurden und wie die Beteiligten auf den Vorfall reagierten. Was vorher nicht dokumentiert wurde, lässt sich dann nur schwer nachholen.

Ein erfolgreicher Angriff beweist noch keine Pflichtverletzung

Cybersicherheit schuldet keinen absolut störungsfreien Betrieb. Art. 32 DSGVO und § 30 BSIG verlangen risikogerechte, geeignete und wirksame Maßnahmen, nicht die vollständige Beseitigung jedes Angriffsrisikos. Auch eine sorgfältig geschützte Einrichtung kann durch eine bislang unbekannte Schwachstelle oder einen hochentwickelten Angriff getroffen werden.

Der Europäische Gerichtshof hat für Art. 32 DSGVO klargestellt, dass ein unbefugter Zugriff durch Dritte allein nicht beweist, die technischen und organisatorischen Maßnahmen seien ungeeignet gewesen. Umgekehrt entlastet der Hinweis auf kriminelle Angreifer die Einrichtung nicht automatisch. Das Gericht muss die Maßnahmen konkret daraufhin prüfen, ob sie dem Risiko, dem Stand der Technik, den Kosten und den möglichen Folgen angemessen waren.

Die entscheidende Trennlinie verläuft daher nicht zwischen angegriffen und nicht angegriffen. Sie verläuft zwischen einem trotz angemessener Vorsorge eingetretenen Vorfall und einem Schaden, den vermeidbare Sicherheits- oder Organisationsdefizite ermöglicht oder vergrößert haben.

Art. 82 DSGVO verlangt Verstoß, Schaden und Kausalität

Ein Anspruch nach Art. 82 DSGVO setzt drei Elemente voraus: einen Verstoß gegen die DSGVO, einen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang zwischen beiden. Der bloße Regelverstoß genügt nicht. Auch die Tatsache, dass Gesundheitsdaten betroffen waren, ersetzt weder den Nachweis eines Schadens noch die Prüfung seiner Ursache.

Für immaterielle Schäden gilt allerdings keine Bagatellschwelle. Die betroffene Person muss keine bestimmte Erheblichkeit überwinden. Auch die begründete Befürchtung eines künftigen Missbrauchs kann nach der Rechtsprechung des Europäischen Gerichtshofs einen Schaden darstellen. Ob eine solche Beeinträchtigung tatsächlich vorliegt, bleibt eine Frage des Einzelfalls; bloßer Ärger über einen Verstoß ist nicht automatisch entschädigungsfähig.

Der Schadensersatz dient dem Ausgleich und nicht der Bestrafung. Seine Höhe muss den konkret erlittenen Schaden vollständig und wirksam kompensieren, darf aber nicht nach den Kriterien für ein Bußgeld bemessen werden. Bei einem Vorfall mit vielen Betroffenen kann sich dennoch ein erhebliches Gesamtrisiko ergeben, selbst wenn die einzelnen Beeinträchtigungen begrenzt sind.

Der Verantwortliche oder Auftragsverarbeiter kann sich nach Art. 82 Abs. 3 DSGVO entlasten, wenn er beweist, in keinerlei Hinsicht für das schadensauslösende Ereignis verantwortlich zu sein. Sind mehrere Beteiligte für dieselbe Verarbeitung verantwortlich, kann jeder von ihnen gegenüber der betroffenen Person für den gesamten Schaden einstehen müssen. Der interne Ausgleich richtet sich anschließend nach dem jeweiligen Verantwortungsanteil.

Die Dokumentation wird zum Entlastungsbeweis

Im Haftungsprozess genügt es nicht, auf eine Firewall, ein Zertifikat oder einen Vertrag mit einem IT-Dienstleister zu verweisen. Nachvollziehbar werden muss, welche Risiken die Einrichtung erkannt, wie sie ihre Maßnahmen ausgewählt, wer ihre Umsetzung kontrolliert und wie sie auf festgestellte Mängel reagiert hat. Dazu gehören Risikoanalysen, Freigabeentscheidungen, Prüfberichte, Patch- und Berechtigungsnachweise, Übungen sowie dokumentierte Abweichungen.

Ebenso wichtig ist die Dokumentation des Vorfalls. Ein belastbares Ereignis- und Entscheidungsprotokoll zeigt, wann die Einrichtung Kenntnis erlangte, welche Systeme und Daten betroffen waren, weshalb sie bestimmte Maßnahmen priorisierte und wie sie Schäden begrenzte. Widersprüchliche Zeitangaben oder nachträglich rekonstruierte Entscheidungswege schwächen nicht nur die Verteidigung gegenüber Ansprüchen, sondern können auch die Bußgeldbemessung beeinflussen.

Dokumentation ist damit kein bürokratischer Anhang der Cybersicherheit. Sie macht die Risikosteuerung nach außen beweisbar und zeigt, dass die Einrichtung ihre Pflichten nicht erst entdeckt hat, nachdem der Angreifer bereits im Netz war.

Bußgelder folgen einer eigenen Prüfung

Art. 83 DSGVO macht nicht jeden Sicherheitsvorfall zum Bußgeldfall. Eine Geldbuße setzt einen vorsätzlichen oder fahrlässigen Verstoß voraus. Bei ihrer Entscheidung berücksichtigt die Aufsichtsbehörde unter anderem Art, Schwere und Dauer des Verstoßes, die Sensibilität der Daten, den Grad der Verantwortung, frühere Verstöße, die Schadensminderung und die Zusammenarbeit mit der Behörde.

Für Unternehmen muss der Verstoß nicht zuvor einer bestimmten Leitungsperson zugerechnet werden. Organisationsmängel können daher auch dann relevant werden, wenn sich später nicht mehr feststellen lässt, welche einzelne Person eine Warnung übersehen oder eine Kontrolle unterlassen hat. Entscheidend bleibt jedoch, dass dem Verantwortlichen ein schuldhafter Verstoß nachgewiesen wird. Dies hat der EuGH in der Rechtssache C-807/21 klargestellt.

Daneben enthält § 65 BSIG eigene Bußgeldtatbestände, etwa für nicht, nicht richtig oder nicht rechtzeitig ergriffene Risikomanagementmaßnahmen und für eine unzureichende Dokumentation. Für dasselbe Verhalten darf allerdings nicht zusätzlich nach dem BSIG sanktioniert werden, wenn bereits eine DSGVO-Geldbuße verhängt wurde. Schadensersatz, aufsichtsrechtliche Maßnahmen und interne Haftung können gleichwohl nebeneinander bestehen.

Geschäftsleiterhaftung braucht eine konkrete Pflichtverletzung

Cybersicherheit ist keine Aufgabe, die die Geschäftsleitung mit der Beauftragung der IT vollständig abgeben kann. Sie muss für Zuständigkeiten, Ressourcen, Berichtslinien und wirksame Kontrollen sorgen. Für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verlangt § 38 BSIG ausdrücklich, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Hinzu kommt eine regelmäßige Schulungspflicht.

Verletzt die Geschäftsleitung diese Pflichten schuldhaft und entsteht der Einrichtung dadurch ein Schaden, verweist § 38 BSIG auf die gesellschaftsrechtlichen Haftungsregeln. Bei einer GmbH ist insbesondere § 43 GmbHG, bei einer Aktiengesellschaft § 93 AktG maßgeblich. Auch hier braucht es Pflichtverletzung, Verschulden, Schaden und Kausalität. Ein Angriff allein begründet deshalb keine persönliche Haftung.

Die ausdrückliche Regelung betrifft die Haftung gegenüber der eigenen Einrichtung. Sie macht ein Mitglied der Geschäftsleitung nicht automatisch zum persönlichen Anspruchsgegner jedes Patienten, dessen Daten oder Behandlung von dem Vorfall betroffen waren. Solche Außenansprüche benötigen weiterhin eine eigene Anspruchsgrundlage und deren Voraussetzungen.

Die unternehmerische Entscheidung über eine vertretbare Sicherheitsarchitektur lässt Spielraum. Dieser endet jedoch dort, wo gesetzliche Pflichten ignoriert, erkennbare Hochrisiken ohne sachlichen Grund hingenommen oder wiederholt gemeldete Mängel nicht verfolgt werden. Protokollierte Berichte, Beschlüsse, Budgets und Kontrollen schützen daher nicht nur die Einrichtung, sondern auch die handelnden Personen.

Systemausfälle können behandlungsrechtliche Folgen haben

Ein Ausfall des Krankenhausinformationssystems ist noch kein Behandlungsfehler. Haftungsrechtlich relevant wird er, wenn die Einrichtung die geschuldete Behandlung oder ihre Organisation nicht nach dem maßgeblichen fachlichen Standard gewährleistet und der Patient gerade dadurch einen Gesundheitsschaden erleidet. In Betracht kommen etwa unzureichende Ersatzverfahren, nicht verfügbare kritische Befunde oder Fehler bei der Übertragung provisorischer Medikationsdaten.

Die Kausalität bleibt gesondert zu prüfen. Der Patient muss grundsätzlich darlegen, dass nicht nur das System ausfiel, sondern eine konkrete Pflichtverletzung den behaupteten Schaden verursachte. Je nach Sachverhalt können die besonderen Beweisregeln des § 630h BGB eingreifen. Fehlt eine medizinisch gebotene wesentliche Aufzeichnung, wird vermutet, dass die Maßnahme nicht getroffen wurde. Ein bloß vorübergehender technischer Zugriffsausfall ist damit nicht ohne Weiteres gleichzusetzen.

Der Notbetrieb muss deshalb nicht nur medizinisch funktionieren. Papierunterlagen, nachträgliche Eingaben und Korrekturen müssen geordnet in die Behandlungsakte überführt werden. Andernfalls kann aus einem beherrschten IT-Ausfall ein Dokumentations- und schließlich ein Haftungsproblem werden.

Regress gegen Dienstleister beginnt lange vor dem Vorfall

Hat ein Wartungsunternehmen einen Zugang unzureichend geschützt oder ein Hosting-Dienstleister vereinbarte Sicherheitsmaßnahmen nicht umgesetzt, kommen vertragliche Schadensersatzansprüche in Betracht. Ob sie durchgreifen, hängt jedoch vom Vertrag ab. Leistungsbeschreibung, Sicherheitsniveau, Reaktionszeiten, Mitwirkungspflichten, Protokollzugang, Haftungsbegrenzungen und Versicherungsschutz entscheiden oft mehr als die allgemeine Zusage eines sicheren Betriebs.

Der Vertrag ersetzt auch hier nicht den Nachweis. Die Einrichtung muss Pflichtverletzung, Schaden und Kausalität belegen und sich eigenes Mitverschulden entgegenhalten lassen. Deshalb sind Logs, Tickets, Warnungen, Konfigurationsstände und die Kommunikation während des Vorfalls früh zu sichern. Wer erst nach Abschluss der Forensik nach den Protokollen des Dienstleisters fragt, kann feststellen, dass dessen Aufbewahrungsfrist bereits abgelaufen ist.

Bei datenschutzrechtlicher Mehrfachverantwortung ergänzt Art. 82 Abs. 5 DSGVO den vertraglichen Regress. Hat ein Beteiligter den Betroffenen vollständig entschädigt, kann er von den übrigen den Anteil verlangen, der ihrer Verantwortung entspricht. Klare Verträge erleichtern diesen Ausgleich, können die Rechte der betroffenen Person aber nicht beschneiden.

Am Ende zählt die beweisbare Organisation

Cyberversicherungen können Forensik-, Betriebsunterbrechungs- oder Haftpflichtkosten abfedern. Sie ersetzen jedoch weder Sicherheitsmaßnahmen noch eine funktionierende Krisenorganisation. Meldeobliegenheiten, Freigaben für externe Berater und Ausschlüsse müssen vor dem Vorfall bekannt sein. Sonst entsteht neben dem Cybervorfall noch ein Deckungsstreit.

Die entscheidende Frage lautet daher regelmäßig nicht, ob die Einrichtung angegriffen wurde. Sie lautet, ob sie nachvollziehbar belegen kann, dass sie ihre Risiken kannte, angemessene Maßnahmen traf, deren Wirksamkeit kontrollierte und auf den Vorfall vorbereitet war. Gerade im Gesundheitswesen kommt hinzu, ob die Patientenversorgung auch unter gestörten technischen Bedingungen sicher organisiert blieb.

Nach der Wiederherstellung sollte deshalb eine verbindliche Nachbereitung folgen. Erkannte Schwachstellen brauchen Verantwortliche, Fristen und eine Wirksamkeitskontrolle. Risikoanalyse, Notfallplan, Dienstleisterverträge und Ersatzverfahren sind anhand des tatsächlichen Verlaufs zu aktualisieren. Bleibt eine bekannte Lücke nach dem ersten Vorfall offen, wird sie beim nächsten Mal nur schwer als unvorhersehbar zu erklären sein.

Damit schließt sich der Kreis dieser Reihe. Cybersicherheit ist weder ein reines IT-Thema noch eine Sammlung isolierter Meldepflichten. Sie ist eine fortlaufende medizinrechtliche Compliance-Aufgabe, die Technik, Datenschutz, Organisation und Versorgung zusammenführt. Wer diese Verbindung im Alltag herstellt und dokumentiert, kann einen Angriff nicht sicher verhindern. Er kann aber verhindern, dass aus einem Sicherheitsvorfall zwangsläufig eine Haftungskrise wird.

Rechtliche Bezugspunkte: Art. 32, Art. 82 und Art. 83 DSGVO; § 30, § 38 und § 65 BSIG; § 254, § 278, § 280, § 630a, § 630f und § 630h BGB; § 43 GmbHG; § 93 AktG; EuGH, Urteile vom 4. Mai 2023 – C-300/21, vom 5. Dezember 2023 – C-807/21 und vom 14. Dezember 2023 – C-340/21 sowie vom 11. April 2024 – C-741/21. Rechtsstand: September 2026.

FAQ

Haftet ein Krankenhaus schon deshalb, weil ein Cyberangriff erfolgreich war?

Nein. Entscheidend sind die jeweils einschlägige Pflicht, eine mögliche Verletzung dieser Pflicht, der Schaden und der ursächliche Zusammenhang. Ein erfolgreicher Angriff beweist für sich genommen noch keine ungeeigneten Sicherheitsmaßnahmen.

Wann können Patienten wegen abgeflossener Gesundheitsdaten Schadensersatz verlangen?

Art. 82 DSGVO setzt einen Datenschutzverstoß, einen materiellen oder immateriellen Schaden und Kausalität voraus. Eine starre Bagatellschwelle gibt es nicht; ob eine begründete Sorge vor Datenmissbrauch einen Schaden darstellt, hängt vom Einzelfall ab.

Wann haften Geschäftsleiter persönlich?

§ 38 BSIG regelt Pflichten der Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. Eine Haftung gegenüber der Einrichtung setzt insbesondere eine schuldhafte Pflichtverletzung und einen dadurch verursachten Schaden voraus.

Ist ein Ausfall des Krankenhausinformationssystems automatisch ein Behandlungsfehler?

Nein. Maßgeblich ist, ob Behandlung oder Organisation den fachlichen Anforderungen nicht entsprachen und ob gerade daraus ein Gesundheitsschaden entstand. Auch die Dokumentation während des Notbetriebs kann dabei wichtig werden.