Cybersicherheit als Compliance im Gesundheitswesen – Teil 5: Cloudanbieter und sichere Lieferketten

/ Compliance und Datenschutz / Von /

Krankenhäuser können Rechenleistung, Softwarebetrieb und Wartung auslagern. Ihre Verantwortung für Versorgung, Datenschutz und Informationssicherheit bleibt aber bestehen. Wer einen klinisch relevanten Cloud-Dienst einkauft, muss deshalb den Anbieter prüfen, Abhängigkeiten kennen, Sicherheitsanforderungen vertraglich absichern und auch den Ausstieg vorbereiten. § 30 BSIG und § 393 SGB V machen daraus eine eigenständige Compliance-Aufgabe.

Wenn die Medikationssoftware nur noch eine Statusseite zeigt

Ein Krankenhaus nutzt eine cloudbasierte Anwendung für Medikationsplanung und -dokumentation. Am Montagmorgen lässt sich der Dienst nicht mehr aufrufen. Die Statusseite des Anbieters meldet eine Beeinträchtigung. Der Support kann keine Wiederanlaufzeit nennen, weil die Störung bei einem technischen Unterauftragnehmer liegt. Auf den Stationen wird auf Papier weitergearbeitet. Der letzte lokal verfügbare Datenexport ist mehrere Wochen alt.

Nach dem Ausfall verweist der Einkauf auf die vereinbarte Verfügbarkeit von 99,9 Prozent und das C5-Testat des Anbieters. Die IT verweist auf den ausgelagerten Betrieb. Der Anbieter verweist auf seinen Unterauftragnehmer. Offen bleibt, welche Daten vollständig wiederhergestellt werden können, wann belastbare Informationen vorliegen und wer die erforderlichen Nachweise für mögliche Meldungen bereitstellt.

Der Vorfall zeigt das Grundproblem des Outsourcings. Das Krankenhaus gewinnt zwar technische Leistungsfähigkeit und spezialisiertes Wissen, wird aber sukzessive immer mehr von Systemen und Unternehmen außerhalb der eigenen Organisation abhängig. Diese Abhängigkeit muss ebenso gesteuert werden wie ein selbst betriebenes System.

Verantwortung bleibt beim Krankenhaus

Verarbeitet ein Cloud-Anbieter Patientendaten im Auftrag des Krankenhauses, darf nach Art. 28 DSGVO nur ein Dienstleister eingesetzt werden, der hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet. Der Vertrag zur Auftragsverarbeitung konkretisiert Weisungen, Vertraulichkeit, Unterstützung, Kontrollen und den Umgang mit den Daten nach Vertragsende. Die Rechenschaftspflicht des Krankenhauses geht dadurch nicht auf den Anbieter über.

Die Rollen müssen zunächst sauber bestimmt werden. Ein Softwareunternehmen ist nicht schon deshalb Auftragsverarbeiter, weil seine Leistung technisch erbracht wird. Entscheidet es für eigene Zwecke über die Verwendung der Daten, kann es selbst oder gemeinsam mit dem Krankenhaus verantwortlich sein. Diese Einordnung bestimmt, welche Vereinbarung benötigt wird und wer Informationspflichten, Betroffenenrechte und Sicherheitsaufgaben erfüllen muss.

Daneben gelten die sektorspezifischen Sicherheitsanforderungen. Krankenhäuser müssen nach § 391 SGB V angemessene Vorkehrungen zum Schutz ihrer für den Betrieb und die Patienteninformationen maßgeblichen Systeme treffen. Für wichtige und besonders wichtige Einrichtungen treten die Anforderungen des BSIG hinzu. Der Dienstleister kann einzelne Maßnahmen ausführen. Auswahl, Einbindung und Überwachung bleiben Aufgaben der Einrichtung.

Das BSIG erfasst die Lieferkette

§ 30 Abs. 2 Nr. 4 BSIG nennt ausdrücklich die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Nr. 5 erfasst außerdem Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen sowie das Management und die Offenlegung von Schwachstellen. Die Beschaffung eines Systems wird damit Teil des gesetzlichen Risikomanagements.

Die Prüfung muss sich an der Bedeutung des jeweiligen Dienstes orientieren. Eine Anwendung für die Speisekarte der Cafeteria erzeugt andere Risiken als ein cloudbasiertes Labor-, Radiologie- oder Medikationssystem. Maßgeblich ist, welche Versorgungsprozesse von dem Dienst abhängen, wie lange sie ohne ihn fortgeführt werden können und welche Daten oder Fernzugänge der Anbieter kontrolliert.

Zum Blick auf die Lieferkette gehört auch die technische Abhängigkeit hinter dem Vertragspartner. Mehrere klinische Anwendungen können denselben Identitätsdienst, dieselbe Cloud-Region oder dasselbe Rechenzentrum nutzen. Dann führt ein einzelner Ausfall zu einer Konzentration von Risiken, die in einer bloßen Liste von Einzelverträgen kaum sichtbar wird. Das Krankenhaus braucht deshalb ein aktuelles Bild seiner kritischen Dienstleister und der wesentlichen Unterauftragnehmer.

Cloudnutzung im Gesundheitswesen hat eigene Regeln

§ 393 SGB V erlaubt Leistungserbringern und ihren Auftragsverarbeitern die Verarbeitung von Sozial- und Gesundheitsdaten über Cloud-Computing-Dienste nur unter besonderen Voraussetzungen. Die Verarbeitung muss im Inland, in der Europäischen Union, in einem gleichgestellten Staat oder in einem Drittstaat mit Angemessenheitsbeschluss stattfinden. Die datenverarbeitende Stelle muss außerdem über eine Niederlassung im Inland verfügen.

Für die Prüfung reicht die Anschrift des vertraglichen Anbieters nicht aus. Entscheidend ist die tatsächliche Architektur einschließlich Speicherorten, Sicherungskopien und möglicher Supportzugriffe. Bei Drittlandsbezügen bleiben zudem die Anforderungen der DSGVO an internationale Datenübermittlungen zu beachten.

Hinzu kommen angemessene Sicherheitsmaßnahmen und ein aktuelles C5-Testat für die eingesetzten Cloud-Systeme und die Cloud-Technik. Seit dem 1. Juli 2025 verlangt § 393 SGB V grundsätzlich ein C5-Typ2-Testat. Für ein nach dem 30. Juni 2025 erstmals in Verkehr gebrachtes System genügt während der ersten 18 Monate ein C5-Typ1-Testat. Ein Testat oder Zertifikat nach einem vergleichbaren oder höherwertigen Standard kann unter den gesetzlichen Voraussetzungen an die Stelle des C5-Testats treten.

Besonders wichtig ist § 393 Abs. 3 Nr. 3 SGB V. Das Krankenhaus muss die im Prüfbericht beschriebenen korrespondierenden Kriterien für Kunden selbst umsetzen. Der Gesetzgeber behandelt Cloud-Sicherheit damit ausdrücklich als geteilte praktische Aufgabe. Das Testat des Anbieters deckt die kundenseitige Konfiguration und Organisation nicht ab.

Ein C5-Testat ist kein Freifahrtschein

Der aktuelle Kriterienkatalog des BSI ist C5:2026. Für die Prüfung des konkreten Dienstes kommt es jedoch auf den vorliegenden Bericht an. Er muss genau die eingesetzte Leistung, die relevante technische Umgebung und den maßgeblichen Zeitraum erfassen. Auch nicht vom Prüfungsumfang erfasste Unterauftragnehmer, festgestellte Abweichungen und Einschränkungen des Prüfurteils gehören in die Bewertung.

Zu beachten ist, dass ein Testat für ein anderes Produkt des Konzerns oder eine Infrastruktur, auf der die eigentliche Anwendung nur teilweise betrieben wird, wenig hilft. Das Krankenhaus muss den Geltungsbereich mit seiner Nutzung abgleichen und offene Punkte in die eigene Risikoanalyse übernehmen.

Die Prüfung endet auch nicht mit der Beschaffung. Testate verlieren ihre Aktualität, Dienste ändern sich und Anbieter wechseln Unterauftragnehmer oder technische Plattformen. Für kritische Dienste braucht es daher feste Zeitpunkte und Anlässe, zu denen Nachweise erneut angefordert und bewertet werden.

Verträge müssen den Störfall mitdenken

Der Vertrag zur Auftragsverarbeitung bildet nur den datenschutzrechtlichen Sockel. Bei klinisch relevanten Diensten müssen Hauptvertrag und Leistungsbeschreibung zusätzlich festlegen, wie Verfügbarkeit, Wiederherstellung und Zusammenarbeit im Sicherheitsvorfall funktionieren. Allgemeine Zusagen zum Stand der Technik helfen wenig, wenn für eine kritische Schwachstelle weder Reaktionszeit noch Eskalationsweg vereinbart sind.

Eine Verfügbarkeit von 99,9 Prozent kann rechnerisch fast neun Stunden Ausfall im Jahr zulassen. Wartungsfenster oder bestimmte Störungsursachen werden in vielen Verträgen zusätzlich aus der Berechnung herausgenommen. Für das Krankenhaus sind deshalb die zulässige Wiederanlaufzeit und der tolerierbare Datenverlust entscheidend. Diese technisch klingenden Werte beantworten sehr praktische Fragen: Wie lange kann eine Station ohne den Dienst arbeiten und welche Eingaben fehlen nach der Wiederherstellung?

Vereinbart werden sollten außerdem belastbare Melde- und Mitwirkungspflichten. Das Krankenhaus benötigt frühzeitig Angaben zu Ursache, betroffenen Systemen und Daten, Gegenmaßnahmen und Beweissicherung. Der Anbieter muss Protokolle erhalten und bei der Erfüllung gesetzlicher Meldepflichten unterstützen. Eine Gutschrift auf die nächste Monatsrechnung ersetzt weder diese Informationen noch eine funktionierende Medikationsdokumentation.

Ebenso wichtig sind Regeln für Schwachstellen, Sicherheitsupdates und das Ende der Produktunterstützung. Der Anbieter sollte kritische Lücken nach festgelegten Kriterien melden, Fristen für die Behebung nennen und Änderungen ankündigen, die Schnittstellen oder Sicherheitsfunktionen betreffen. Das Krankenhaus muss erkennen können, wann aus einem technischen Produktproblem ein eigenes Versorgungsrisiko wird.

Unterauftragnehmer und Fernzugänge brauchen Kontrolle

Nach Art. 28 DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss das Krankenhaus über beabsichtigte Änderungen informiert werden und widersprechen können. Die Pflichten aus dem Hauptvertrag sind an die weitere Verarbeitungskette weiterzugeben.

In der Praxis braucht das Krankenhaus deshalb eine zugängliche und aktuelle Übersicht über Funktion, Sitz und Verarbeitungsorte der wesentlichen Unterauftragnehmer. Ein unauffälliger Link auf eine laufend veränderte Anbieterliste schafft hierbei keine wirksame Steuerung. Änderungsmitteilungen müssen vielmehr eine fachliche Prüfung und gegebenenfalls einen Widerspruch ermöglichen, bevor der neue Dienstleister eingesetzt wird.

Besondere Aufmerksamkeit verdienen Wartungszugänge. Personenbezogene Konten, starke Authentisierung, Freigabe, zeitliche Begrenzung und Protokollierung sollten technisch und vertraglich vorgesehen sein. Erhalten externe Beschäftigte Zugriff auf Patientengeheimnisse, müssen zusätzlich die Anforderungen der beruflichen Verschwiegenheit nach § 203 StGB berücksichtigt werden.

Auch der Ausstieg gehört in den Vertrag

Ein Cloud-Vertrag ist erst dann vollständig, wenn auch sein Ende geregelt ist. Art. 28 DSGVO verlangt nach Abschluss der Leistung grundsätzlich die Rückgabe oder Löschung der personenbezogenen Daten nach Wahl des Verantwortlichen. Für den Krankenhausbetrieb genügt ein beliebiger Datenexport jedoch nicht. Format, Metadaten, Protokolle, Fristen und Unterstützung bei der Migration müssen so bestimmt sein, dass die Informationen in einem anderen System tatsächlich weiterverwendet werden können.

Der Exit-Plan muss auch eine Kündigung, die Insolvenz des Anbieters und einen länger dauernden Ausfall erfassen. Je nach Kritikalität können unabhängige Sicherungskopien, regelmäßige Exporte, dokumentierte Ersatzverfahren oder befristete Weiterbetriebsrechte erforderlich sein. Eine vollständige Parallelplattform wird nicht für jeden Dienst verhältnismäßig sein. Das Krankenhaus muss aber wissen, wie es die Versorgung fortführt und wie es an seine Daten gelangt, wenn der Regelbetrieb des Anbieters endet.

Der Einkauf wird Teil der Sicherheitsorganisation

Lieferkettensicherheit beginnt vor der Unterschrift. Einkauf, IT, Informationssicherheit, Datenschutz, Recht und die betroffene Fachabteilung müssen früh genug eingebunden werden, um die Kritikalität des Dienstes und die erforderlichen Nachweise zu bestimmen. Ein standardisierter Prüfprozess verhindert, dass Sicherheitsfragen erst auftauchen, wenn der Vertrag verhandelt oder das System bereits ausgewählt ist.

Nach Vertragsschluss braucht jeder kritische Dienst einen Verantwortlichen, Prüfintervalle und Eskalationswege. Änderungen des Leistungsumfangs, neue Unterauftragnehmer, nicht mehr aktuelle Testate, bekannte Schwachstellen und wiederholte Störungen müssen in die laufende Bewertung einfließen. Lieferantenmanagement ist damit keine Ablage für Vertrags-PDFs, sondern ein fortlaufender Teil der Sicherheitsorganisation.

Auslagerung braucht Steuerbarkeit

Ein Krankenhaus kann Cloud-Technik und spezialisiertes Wissen sinnvoll nutzen, wenn es die damit verbundenen Abhängigkeiten beherrscht. Dafür muss es die Verarbeitungskette kennen, Nachweise inhaltlich prüfen, eigene Kundenpflichten erfüllen und den Vertrag auf Störung, Wiederherstellung und Beendigung ausrichten.

Der nächste Beitrag behandelt den Sicherheitsvorfall selbst. Im Mittelpunkt stehen die ersten Stunden, die parallelen Meldepflichten nach DSGVO und BSIG sowie die Frage, wie Krisenorganisation, Beweissicherung und Patientenversorgung zusammengeführt werden.

Rechtliche Bezugspunkte: Art. 24, 28, 32, 33 und 44 ff. DSGVO; Art. 21 Abs. 2 und 3 der Richtlinie (EU) 2022/2555; § 30 Abs. 2 Nr. 4 und 5 BSIG; § 391 SGB V und § 393 SGB V; § 203 StGB; BSI, Kriterienkatalog Cloud Computing C5:2026. Rechtsstand: September 2026.

Häufige Fragen

Reicht ein C5-Testat des Cloud-Anbieters für das Krankenhaus aus?

Nein. Das Testat muss den tatsächlich genutzten Dienst und die relevante Technik erfassen. Außerdem verlangt § 393 Abs. 3 Nr. 3 SGB V, dass die im Prüfbericht genannten korrespondierenden Kriterien für Kunden umgesetzt werden.

Welches C5-Testat verlangt § 393 SGB V seit Juli 2025?

Grundsätzlich ein aktuelles C5-Typ2-Testat. Für nach dem 30. Juni 2025 erstmals in Verkehr gebrachte Systeme lässt § 393 Abs. 4 SGB V während der ersten 18 Monate ein C5-Typ1-Testat zu. Unter den gesetzlichen Voraussetzungen kommt auch ein Testat oder Zertifikat nach einem vergleichbaren oder höherwertigen Standard in Betracht.

Was muss bei neuen Unterauftragnehmern geschehen?

Bei einer allgemeinen schriftlichen Genehmigung muss der Auftragsverarbeiter das Krankenhaus über beabsichtigte Änderungen informieren und ihm Gelegenheit zum Widerspruch geben. Das regelt Art. 28 Abs. 2 DSGVO.

Warum sollte der Vertrag einen Ausstieg regeln?

Das Krankenhaus muss seine Daten zurückerhalten oder deren Löschung veranlassen können und zugleich die Versorgung fortführen. Art. 28 Abs. 3 Buchst. g DSGVO regelt die Rückgabe oder Löschung personenbezogener Daten nach Abschluss der Verarbeitung.

Quellen & Verweise

Wissen, was im Medizinrecht zählt.

Erhalten Sie aktuelle Urteile und Fachbeiträge direkt in Ihr Postfach.

JETZT ABONNIEREN

Ähnliche Beiträge