Wer für einen Verarbeitungsvorgang verantwortlich ist, muss ein Sicherheitsniveau schaffen, das zu den tatsächlichen Risiken passt. Angemessenheit ist flexibel, aber nicht beliebig. Sie entsteht aus einer nachvollziehbaren Risikoentscheidung, wirksamen Maßnahmen und regelmäßiger Kontrolle. Gerade im Krankenhaus entscheidet sich Compliance deshalb nicht am Sicherheitskonzept in der Schublade, sondern daran, ob die Einrichtung auch unter einem Angriff sicher handeln und anschließend geordnet zum Normalbetrieb zurückkehren kann.
Ein Backup, das nicht zurückkommt
Nach einem Ransomware-Angriff sind das Krankenhausinformationssystem, die digitale Medikationsdokumentation und Teile der Radiologie nicht mehr erreichbar. Die erste Erleichterung folgt schnell: Es gibt tägliche Datensicherungen und die Sicherungssoftware hat zuletzt keinen Fehler gemeldet. Beim Wiederanlauf zeigt sich jedoch, dass die jüngsten Sicherungen mitverschlüsselt wurden. Eine ältere Kopie ist zwar vorhanden, wurde aber nie vollständig zurückgespielt. Ob sie alle benötigten Daten enthält und wie lange die Wiederherstellung dauert, weiß niemand.
Auf dem Papier gab es damit ein Backup. Für die Versorgung gab es noch lange keine belastbare Wiederherstellung. Genau an dieser Stelle wird aus einer technischen Detailfrage eine Compliancefrage. Eine Maßnahme ist nicht schon deshalb angemessen, weil sie beschafft, beschrieben oder automatisch ausgeführt wurde. Sie muss das konkrete Risiko tatsächlich beherrschen und ihre Wirksamkeit muss überprüfbar sein.
Angemessen heißt risikogerecht
Art. 32 DSGVO verlangt kein für alle Einrichtungen identisches Sicherheitsprogramm. Bei der Auswahl der Maßnahmen sind der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung zu berücksichtigen. Maßgeblich sind außerdem die Eintrittswahrscheinlichkeit und die Schwere der Risiken für die Rechte und Freiheiten der betroffenen Personen. Das Sicherheitsniveau muss zu diesem Risiko passen.
Die Vorschrift nennt dafür unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die zeitnahe Wiederherstellung nach einem Zwischenfall sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Das ist keine starre Einkaufsliste. Welche Maßnahmen tragen, entscheidet sich im jeweiligen System und Versorgungsprozess.
Rechtlich wird deshalb weder absolute Sicherheit verlangt noch genügt irgendein branchenüblicher Mindestbestand. Ein erfolgreicher Angriff beweist nicht automatisch einen Verstoß. Umgekehrt belegt ein bisher störungsfreier Betrieb nicht, dass die Organisation angemessen geschützt war. Entscheidend ist die Perspektive vor dem Vorfall: Waren die Risiken erkennbar, wurden sie sachgerecht bewertet und mit geeigneten, wirksamen und nachvollziehbar ausgewählten Maßnahmen behandelt?
Für Krankenhäuser wird der Maßstab konkreter
§ 391 SGB V übersetzt diesen Ansatz in eine besondere Pflicht für Krankenhäuser. Sie müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen gegen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit treffen. Erfasst sind informationstechnische Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit des Krankenhauses und den Schutzbedarf der Patienteninformationen maßgeblich sind. Die Norm nimmt damit ausdrücklich nicht nur den Datenschutz, sondern auch die Versorgungsfähigkeit in den Blick.
Angemessen sind die Vorkehrungen nach dem Gesetz, wenn der erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung und zum Schutzbedarf der Patienteninformationen steht. Wirtschaftlichkeit darf also berücksichtigt werden. Sie ist aber kein Joker, mit dem sich erkennbare Risiken für kritische Behandlungsprozesse wegkalkulieren lassen. Je schwerer die möglichen Folgen, desto größer ist regelmäßig der sachlich zu rechtfertigende Aufwand.
Ein vom BSI als geeignet festgestellter branchenspezifischer Sicherheitsstandard kann nach § 391 Abs. 4 SGB V einen strukturierten Weg zur Erfüllung eröffnen. Er ist eine Möglichkeit und nicht die einzig zulässige Methode. Ein anderer Weg muss den gesetzlichen Maßstab ebenso nachweisbar erreichen. Absatz 5 berücksichtigt daneben Krankenhäuser, die bereits als Betreiber kritischer Anlagen entsprechende Vorkehrungen nach dem BSIG zu treffen haben.
Die Risikoanalyse beginnt beim Behandlungsprozess
Eine brauchbare Risikoanalyse beginnt nicht mit einer Produktliste, sondern mit den kritischen Leistungen des Krankenhauses. Welche Prozesse müssen auch bei einem IT-Ausfall fortgeführt werden? Welche Anwendungen, Daten, Schnittstellen, Endgeräte und externen Dienste werden dafür benötigt? Wer hat Zugriff und über welche Wartungswege kann von außen auf die Systeme zugegriffen werden? Erst wenn diese Abhängigkeiten bekannt sind, lässt sich beurteilen, an welcher Stelle ein Ausfall, eine Manipulation oder ein unbefugter Zugriff besonders schwere Folgen hätte.
Dabei genügt die Aussage nicht, ein System sei wichtig. Die Einrichtung muss auch bestimmen, wie lange der jeweilige Prozess ausfallen darf und wie viel Datenverlust noch vertretbar wäre. Für die Entgeltabrechnung kann ein zeitweiser Ausfall lästig sein. Bei Medikationsdaten, Laborbefunden oder der Steuerung dringlicher Eingriffe kann dieselbe Dauer unmittelbar behandlungsrelevant werden. Diese Unterschiede müssen sich in der Priorisierung der Schutz- und Wiederanlaufmaßnahmen wiederfinden.
Zu einer ehrlichen Bestandsaufnahme gehören auch Altsysteme, nicht mehr unterstützte Komponenten und informelle Lösungen. Was in keinem Inventar steht, kann kaum gepatcht, überwacht oder im Notfall geordnet ersetzt werden. Fehlende Transparenz ist deshalb selbst ein Sicherheitsrisiko.
Schutzmaßnahmen müssen ineinandergreifen
Aus der Risikoanalyse folgt ein Bündel aufeinander abgestimmter Maßnahmen. Bei den Zugriffsrechten gilt: Beschäftigte sollen nur die Berechtigungen erhalten, die sie für ihre Aufgaben benötigen. Privilegierte und von außen erreichbare Zugänge verlangen regelmäßig besonderen Schutz, etwa durch Mehrfaktorauthentisierung, getrennte Administrationskonten und Protokollierung. Ausscheidende Beschäftigte dürfen nicht noch Monate später digitale Generalschlüssel besitzen.
Netzwerksegmentierung soll verhindern, dass sich ein Angreifer nach der Kompromittierung eines Arbeitsplatzes ungehindert bis zum KIS, zur Medizintechnik und zu den Sicherungen bewegen kann. Fernwartungszugänge sollten freigegeben, zeitlich begrenzt und überwacht werden. Patch- und Schwachstellenmanagement wiederum verlangt einen aktuellen Überblick über Versionen, bekannte Lücken und die Dringlichkeit ihrer Behebung. Kann ein kritisches System nicht zeitnah aktualisiert werden, braucht es dokumentierte Ersatzmaßnahmen statt bloßer Hoffnung.
Auch Verschlüsselung, Protokollierung und Überwachung erfüllen ihren Zweck nur im Zusammenspiel. Verschlüsselte Daten helfen wenig, wenn dasselbe kompromittierte Konto auf Schlüssel und Klartext zugreifen kann. Protokolle helfen wenig, wenn sie im Angriff mitgelöscht oder nie ausgewertet werden. Gute Sicherheitsarchitektur setzt nicht auf ein Wunderprodukt, sondern auf mehrere Schutzschichten, die Fehler begrenzen und sichtbar machen.
Für Datensicherungen bedeutet das: Sie müssen vom Produktivbetrieb ausreichend getrennt, gegen nachträgliche Veränderung geschützt und mit gesonderten Berechtigungen versehen sein. Vor allem muss die Wiederherstellung unter realistischen Bedingungen erprobt werden. Ein grünes Häkchen in der Sicherungssoftware ist noch kein Beweis dafür, dass Stationen, Labor und Radiologie rechtzeitig wieder arbeitsfähig werden.
Notfallplanung muss bis ans Patientenbett reichen
Cybersicherheit endet nicht an der Tür des Serverraums. Fällt ein zentrales System aus, müssen klinische Ersatzverfahren greifen. Dazu gehören erreichbare Entscheidungswege, vorbereitete Papierformulare, sichere Verfahren zur Patientenidentifikation und Medikation sowie Regeln für die Kommunikation mit Labor, Radiologie, Rettungsdienst und anderen Einrichtungen. Papier ist dabei kein Notfallkonzept, wenn niemand weiß, wo es liegt oder wie die nachträgliche Übertragung in die Systeme kontrolliert wird.
Der Wiederanlauf muss deshalb technische und medizinische Prioritäten zusammenführen. Welche Systeme werden zuerst hergestellt? Welche Leistungen können bis dahin sicher fortgeführt werden und wann sind Verlegungen nötig? Wie werden während des Ausfalls entstandene Dokumentationen später abgeglichen, ohne Befunde doppelt zuzuordnen oder Medikationen zu übersehen? Diese Fragen lassen sich nicht sinnvoll von der IT-Abteilung allein beantworten.
Security-Awareness ohne Schuldzuweisung
§ 391 Abs. 2 SGB V zählt Maßnahmen zur Steigerung der Security-Awareness ausdrücklich zu den verpflichtenden Vorkehrungen. Eine jährliche Standardschulung wird dem nicht automatisch gerecht. Beschäftigte müssen typische Angriffe erkennen, verdächtige Vorgänge ohne Umwege melden und die vorgesehenen Ersatzprozesse sicher anwenden können. Schulungen sollten deshalb an den konkreten Rollen und Arbeitsabläufen ansetzen.
Der beliebte Satz vom Menschen als schwächstem Glied greift zu kurz. Sicherheitsorganisation muss damit rechnen, dass unter Zeitdruck geklickt, verwechselt oder zu spät nachgefragt wird. Technik und Prozesse sollten solche Fehler auffangen und ihre Folgen begrenzen. Awareness ersetzt keine sichere Architektur; umgekehrt trägt die beste Technik wenig, wenn Meldungen versanden oder Beschäftigte aus Angst vor Schuldzuweisungen schweigen.
Nur geprüfte Maßnahmen sind belastbar
Art. 32 Abs. 1 Buchst. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Welche Prüfung angemessen ist, hängt vom Risiko ab. In Betracht kommen Wiederherstellungs- und Schwachstellentests sowie Übungen der Alarmierungs- und Ersatzprozesse. Ein Penetrationstest kann sinnvoll sein, ist aber nicht für jedes System und jede Fragestellung die automatische Antwort.
Entscheidend ist, dass die Übung nicht mit dem Befund endet. Festgestellte Lücken benötigen eine verantwortliche Person, eine Frist und eine erneute Kontrolle. Nach wesentlichen Systemänderungen, neuen Angriffsmethoden oder einem tatsächlichen Vorfall ist außerdem zu prüfen, ob die bisherige Risikobewertung noch trägt. Ein jahrelang unverändertes Sicherheitskonzept bleibt nicht allein durch sein Alter besonders erprobt.
Dokumentation macht Angemessenheit nachweisbar
Der risikobasierte Ansatz eröffnet Spielraum, verlangt dafür aber Begründungen. Dokumentiert werden sollten insbesondere die kritischen Prozesse und Abhängigkeiten, die bewerteten Risiken, die ausgewählten Maßnahmen, Restrisiken und die Ergebnisse der Wirksamkeitsprüfungen. Auch Ausnahmen brauchen einen nachvollziehbaren Grund, kompensierende Maßnahmen und ein Ablaufdatum. Werden Restrisiken akzeptiert, muss klar sein, wer hierzu befugt war.
Ziel ist kein Aktenfriedhof. Die Unterlagen müssen aktuell, widerspruchsfrei und im Alltag nutzbar sein. Im Ernstfall zeigen sie, ob die Einrichtung ihre Entscheidungen auf der Grundlage der damals erkennbaren Risiken getroffen hat. Eine erst nach dem Angriff rekonstruierte Risikoanalyse wirkt ungefähr so überzeugend wie ein nachträglich ausgefülltes Wartungsbuch.
Angemessenheit ist kein Endzustand
Ein angemessenes Sicherheitsniveau lässt sich nicht einmal beschaffen und anschließend abhaken. Systeme, Schnittstellen, Bedrohungen und Behandlungsprozesse verändern sich. Damit verschiebt sich auch der Stand der Technik. Wer Risiken regelmäßig neu bewertet, Schutzmaßnahmen miteinander verzahnt, den Ernstfall übt und aus Befunden Konsequenzen zieht, erfüllt den Kern einer belastbaren Sicherheitsorganisation.
Die nächste Frage lautet, wer diesen Prozess auf Leitungsebene steuern und überwachen muss. Der folgende Teil widmet sich deshalb den Anforderungen des BSIG, der Umsetzung von NIS 2 und der persönlichen Verantwortung der Geschäftsleitung.
Rechtliche Bezugspunkte: Art. 5 Abs. 1 Buchst. f und Abs. 2, Art. 24 und Art. 32 DSGVO; § 391 SGB V. Rechtsstand: September 2026.
Häufige Fragen
Genügt es, wenn die Backup-Software eine erfolgreiche Sicherung meldet?
Eine Erfolgsmeldung sagt noch nicht, ob alle benötigten Daten wiederhergestellt werden können und wie lange der Wiederanlauf dauert. Art. 32 DSGVO nennt die Wiederherstellbarkeit und die regelmäßige Überprüfung der Wirksamkeit als Aspekte der Sicherheit der Verarbeitung.
Muss ein Krankenhaus den branchenspezifischen Sicherheitsstandard anwenden?
§ 391 Abs. 4 SGB V nennt einen vom BSI als geeignet festgestellten branchenspezifischen Sicherheitsstandard als Möglichkeit, die Pflichten nach den Absätzen 1 und 2 zu erfüllen. Die Vorschrift beschreibt ihn nicht als einzigen zulässigen Weg.
Verlangt die DSGVO für jedes Krankenhaus einen Penetrationstest?
Art. 32 DSGVO verlangt regelmäßige Verfahren zur Überprüfung der Wirksamkeit. Welche Prüfungen dafür geeignet sind, hängt von den konkreten Risiken und Systemen ab.
Quellen & Verweise
Wissen, was im Medizinrecht zählt.
Erhalten Sie aktuelle Urteile und Fachbeiträge direkt in Ihr Postfach.
