1. Warum IT-Sicherheit heute über den Betrieb entscheidet

Ohne funktionierende IT steht in einer medizinischen Einrichtung heute alles: Terminplanung, Dokumentation, Abrechnung, Laboranbindung, zunehmend auch die Behandlung selbst. Gleichzeitig gehören Gesundheitsdaten zu den wertvollsten Datenkategorien im kriminellen Handel, sie erzielen dort ein Vielfaches des Preises von Kreditkartendaten. Diese Kombination macht Praxen, MVZ und Kliniken zu bevorzugten Zielen, unabhängig von ihrer Größe.

Die Angriffsformen haben sich dabei weiterentwickelt. Ransomware verschlüsselt nicht mehr nur Daten, sondern droht zusätzlich mit deren Veröffentlichung. Phishing-Nachrichten werden mit KI-Unterstützung erstellt und sind sprachlich kaum noch von echten Nachrichten eines Labors oder einer Abrechnungsstelle zu unterscheiden. Und immer häufiger läuft der Angriff nicht direkt gegen die Einrichtung, sondern über einen kompromittierten Dienstleister oder eine Softwarekomponente in der Lieferkette.

Die Folgen eines erfolgreichen Angriffs reichen weit über den IT-Schaden hinaus: Behandlungsausfälle und Terminabsagen, gesetzliche Meldepflichten, mögliche Bußgelder, persönliche Haftungsrisiken der Leitung und ein Vertrauensverlust bei Patienten, der sich nicht per Update einspielen lässt. IT-Sicherheit ist damit keine Technikfrage mehr, sondern Betriebssicherung.

2. Der rechtliche Rahmen 2026

Kaum ein Bereich hat sich in den letzten zwei Jahren so stark verändert wie die Regulierung. Wer seine Sicherheitsstrategie vor 2025 aufgesetzt hat, arbeitet mit hoher Wahrscheinlichkeit an den aktuellen Pflichten vorbei.

NIS2 und das neue BSI-Gesetz

Mit dem NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ein grundlegend erweitertes BSI-Gesetz, ohne Übergangsfrist. Das Gesundheitswesen zählt zu den regulierten Sektoren. Betroffen sind neben Kliniken auch größere ambulante Strukturen, als Faustregel ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz. Die Pflichten haben es in sich: Registrierung beim BSI, systematisches Risikomanagement, gestufte Meldepflichten bei Sicherheitsvorfällen und eine persönliche Verantwortung der Geschäftsleitung, die auch selbst an Sicherheitsschulungen teilnehmen muss. Verstöße können mit empfindlichen Bußgeldern belegt werden.

KBV-IT-Sicherheitsrichtlinie

Für vertragsärztliche Praxen bleibt die IT-Sicherheitsrichtlinie nach § 75b SGB V die verbindliche Grundlage. Sie staffelt die Anforderungen nach Praxisgröße, von der Einzelpraxis bis zur Großpraxis mit umfangreicher Datenverarbeitung, und verlangt unter anderem aktuelle Systeme, geregelte Zuständigkeiten, Schulungen und dokumentierte Schutzmaßnahmen.

DSGVO und § 393 SGB V

Gesundheitsdaten genießen unter der DSGVO den höchsten Schutzstatus. Neu hinzugekommen ist § 393 SGB V: Wer Gesundheits- und Sozialdaten in der Cloud verarbeitet, darf das nur noch mit Anbietern, die ein aktuelles C5-Testat vorweisen und die Daten in Deutschland beziehungsweise der EU verarbeiten. Das betrifft nicht nur große Systeme, sondern auch das cloudbasierte PVS, die Online-Terminbuchung und Kollaborationsdienste wie Microsoft 365.

KRITIS, B3S und KHZG

Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr gelten als kritische Infrastruktur und müssen ihre IT-Sicherheit nach dem branchenspezifischen Sicherheitsstandard (B3S Krankenhaus) nachweisen. Für alle geförderten Digitalisierungsvorhaben nach dem Krankenhauszukunftsgesetz gilt zudem: Mindestens 15 Prozent der Mittel müssen in die Verbesserung der Informationssicherheit fließen.

Telematikinfrastruktur und ePA

Mit der elektronischen Patientenakte für alle und der Weiterentwicklung der TI wächst der digitale Datenaustausch, und mit ihm die Anforderungen an Konnektoren, Kartenterminals, KIM-Kommunikation und die sichere Einbindung dieser Komponenten in das Praxisnetz. Die Vorgaben der gematik definieren hier die Mindeststandards.

3. Die technische Schutzarchitektur

Einzelmaßnahmen schützen nicht. Wirksam wird IT-Sicherheit erst als Architektur, in der die Ebenen ineinandergreifen und ein Angreifer an jeder Stufe erneut gestoppt wird.

Netzwerk

Die Basis ist ein segmentiertes Netz: Verwaltung, Medizintechnik, Telematikinfrastruktur und Gäste-WLAN werden logisch getrennt, sodass ein kompromittiertes Gerät nicht das gesamte Haus gefährdet. Next-Generation-Firewalls kontrollieren den Datenverkehr auf Anwendungsebene, eine Zugangskontrolle stellt sicher, dass nur bekannte Geräte ins Netz kommen.

Endpoints

Auf Arbeitsplätzen, Notebooks und Servern ersetzt moderne Endpoint Detection and Response (EDR) den klassischen Virenscanner. Sie erkennt verdächtiges Verhalten in Echtzeit und kann betroffene Geräte automatisch isolieren. Dazu gehören konsequentes Patch-Management, gehärtete Systeme und die Kontrolle von USB-Geräten.

Identitäten und Zugriffe

Die meisten erfolgreichen Angriffe beginnen mit einem gestohlenen Zugang. Multi-Faktor-Authentifizierung für alle Konten, ein sauberes Rollen- und Rechtekonzept, zentrales Passwort-Management und besonders geschützte Administrationszugänge sind deshalb heute Pflicht. Als Leitprinzip setzt sich Zero Trust durch: Kein Zugriff wird als vertrauenswürdig vorausgesetzt, jeder wird geprüft.

Verschlüsselung

Daten werden auf dem Übertragungsweg wie auch auf den Geräten selbst verschlüsselt. Verlorene Notebooks oder ausgemusterte Festplatten werden damit vom Datenschutzvorfall zum Ärgernis. Perspektivisch gehört auch die Vorbereitung auf quantensichere Verfahren in die Planung.

4. Backup und Notfallwiederherstellung

Gegen Ransomware gibt es keinen wichtigeren einzelnen Schutz als eine durchdachte Datensicherung. Bewährt hat sich die 3-2-1-Regel: drei Kopien der Daten, auf zwei unterschiedlichen Medien, davon eine außer Haus. Entscheidend ist, dass mindestens eine Kopie unveränderlich gespeichert wird, sodass auch ein Angreifer mit weitreichenden Rechten sie nicht verschlüsseln oder löschen kann.

Ein Backup ist allerdings nur so gut wie seine Wiederherstellung. Zur Strategie gehören deshalb definierte Wiederanlaufzeiten, regelmäßige Wiederherstellungstests und ein Notfallplan, der festlegt, wer im Ernstfall was tut, bis hin zum geordneten Papier-Notbetrieb, damit die Behandlung auch dann weiterläuft, wenn die Systeme stehen.

5. Medizintechnik und Cloud

Vernetzte Medizingeräte sind ein Sonderfall der IT-Sicherheit: Ultraschall-, Röntgen-, Labor- und Monitoring-Systeme laufen oft auf alten Betriebssystemen, die sich nicht ohne Weiteres aktualisieren lassen, und bleiben zehn Jahre und länger im Einsatz. Der wirksame Schutz besteht in konsequenter Netztrennung, gezieltem Monitoring und einem Lifecycle-Management, das Sicherheitsfragen schon bei der Beschaffung mitdenkt. Für Kliniken ist das ein zentrales Prüffeld, für größere Praxen mit bildgebenden Systemen aber ebenso relevant.

In der Cloud gilt seit § 393 SGB V eine klare Leitplanke: Gesundheitsdaten gehören nur zu Anbietern mit C5-Testat. Dazu kommt die sichere Konfiguration der Dienste selbst, von Microsoft 365 über das Cloud-PVS bis zur Online-Terminbuchung, sowie ein Mobile Device Management, das Tablets und Diensthandys zentral absichert, Stichwort Visite, Pflege und mobile Dokumentation.

6. Organisation und Mensch

Der Großteil erfolgreicher Angriffe beginnt mit einem Klick. Regelmäßige Schulungen und realistische Phishing-Simulationen machen aus dem Team die erste Verteidigungslinie statt des größten Risikos. Neu ist: Auch die Leitungsebene muss nachweislich geschult sein, das verlangt das neue BSI-Gesetz ausdrücklich.

Ab einer gewissen Größe braucht Sicherheit zudem Struktur: ein Informationssicherheits-Managementsystem (ISMS), orientiert an ISO 27001, dem BSI IT-Grundschutz oder für Krankenhäuser am B3S, mit klaren Verantwortlichkeiten, Risikobewertung und gelebten Prozessen. Dazu gehört die Steuerung von Dienstleistern und Lieferketten, denn Verträge, Zugriffsrechte und Sicherheitsniveau externer Partner sind längst Teil der eigenen Angriffsfläche.

Nicht zuletzt verlangen inzwischen auch Cyber-Versicherer nachweisbare Mindeststandards wie MFA, EDR und getestete Backups. Wer sie nicht erfüllt, bekommt keine Police oder im Schadensfall Probleme bei der Regulierung.

7. Was für welche Einrichtung gilt

Einzelpraxen und kleine Berufsausübungsgemeinschaften orientieren sich an der KBV-IT-Sicherheitsrichtlinie im Basisniveau. In der Praxis heißt das: professionell verwaltete Firewall, EDR auf allen Geräten, unveränderliche Backups, MFA und ein geschultes Team, betrieben von einem Partner, der im Notfall sofort erreichbar ist.

MVZ und große Praxen erfüllen die erweiterten Stufen der KBV-Richtlinie und sollten prüfen, ob sie unter das neue BSI-Gesetz fallen. Ist das der Fall, kommen Registrierung, Meldewege und nachweisbares Risikomanagement hinzu. Technisch rücken zentrales Monitoring, ein strukturiertes Rechtekonzept und die Steuerung externer Dienstleister in den Vordergrund.

Kliniken und Krankenhäuser bewegen sich im anspruchsvollsten Rahmen: KRITIS-Pflichten ab 30.000 vollstationären Fällen, Umsetzung des B3S, NIS2-Anforderungen inklusive Nachweispflichten, dazu die Absicherung der Medizintechnik und in vielen Fällen ein Security Operations Center oder Managed Detection and Response für die Überwachung rund um die Uhr. Das KHZG liefert dafür einen finanziellen Hebel, 15 Prozent jeder Fördermaßnahme sind für Informationssicherheit reserviert.

8. Handlungsempfehlungen

Der Weg zu einem nachweisbaren Sicherheitsniveau ist planbar. Diese Reihenfolge hat sich bewährt:

1. Bestandsaufnahme und Risikoanalyse: Systeme, Datenflüsse, Zuständigkeiten und Schwachstellen erfassen, inklusive Medizintechnik und Dienstleistern.
2. Regulatorische Einordnung: Klären, welche Pflichten gelten, KBV-Stufe, neues BSI-Gesetz, C5-Anforderungen, für Kliniken KRITIS und B3S.
3. Basisschutz schließen: MFA, EDR, Firewall, Patch-Management und unveränderliche Backups zuerst, hier liegt der größte Risikoabbau pro investiertem Euro.
4. Notfallfähigkeit herstellen: Incident-Response-Plan, Wiederanlaufzeiten, Wiederherstellungstests, Papier-Notbetrieb.
5. Team und Leitung schulen: Awareness-Programm mit Phishing-Simulationen, Schulungsnachweise auch für die Leitungsebene.
6. Struktur aufbauen: ISMS in angemessener Tiefe, Dokumentation, Dienstleistersteuerung, auf Wunsch Vorbereitung einer Zertifizierung.
7. Dauerhaft betreiben: Monitoring, Schwachstellenscans, regelmäßige Tests und Übungen, denn IT-Sicherheit ist ein Betriebszustand, kein Projektabschluss.