IT-Sicherheit im Krankenhaus – Auf einen Blick

• Was bedeutet IT-Sicherheit im Krankenhaus? IT-Sicherheit schützt Patientendaten, medizinische Geräte, Netzwerke und klinische Prozesse vor unbefugten Zugriffen, Manipulationen und Ausfällen.
• Warum ist Informationssicherheit für Krankenhäuser so wichtig? Cyberangriffe können Behandlungen verzögern, Systeme lahmlegen und die Patientenversorgung gefährden. IT-Sicherheit ist deshalb unmittelbar mit Patientensicherheit verbunden.
• Welche gesetzlichen Vorgaben müssen Krankenhäuser beachten? § 391 SGB V verpflichtet alle Krankenhäuser zu angemessenen technischen und organisatorischen Schutzmaßnahmen. Für kritische Anlagen gelten zusätzliche Anforderungen aus dem BSI-Gesetz und der BSI-Kritisverordnung.
• Wie unterstützt ein Security Assessment die Cybersicherheit? Es erfasst den aktuellen Sicherheitsstand, deckt Schwachstellen auf und zeigt, welche Maßnahmen zum Schutz von Systemen, Daten und Versorgungsprozessen priorisiert werden sollten.
• Welche Rolle spielt der B3S im Krankenhaus? Der branchenspezifische Sicherheitsstandard übersetzt gesetzliche Anforderungen in konkrete Maßnahmen für Risikomanagement, Notfallvorsorge, Zugriffsrechte und den Schutz kritischer Systeme.

Die Bedeutung von Informationssicherheit im Krankenhaus

Die Digitalisierung vernetzt im Krankenhaus immer mehr Systeme, medizinische Geräte und klinische Anwendungen miteinander. Die Nutzung digitaler Patientenakten, automatisierter Prozesse, Entscheidungsunterstützung und Fernzugriffe kann die Versorgung verbessern, erhöht aber zugleich die Abhängigkeit von einer stabilen und geschützten IT-Infrastruktur.

In kaum einer anderen Branche haben IT-Ausfälle so unmittelbare Folgen: Fällt ein zentrales System aus, können Verwaltungsabläufe, Diagnostik, Therapie und Patientenversorgung beeinträchtigt werden. Informationssicherheit bedeutet daher weit mehr als den Schutz einzelner Computer. Sie soll Datenschutz und Datensicherheit gewährleisten, indem sie die Vertraulichkeit, Integrität und Verfügbarkeit von Patientendaten, Geräten und IT-Systemen schützt.

Angriffe von Cyber-Kriminellen, Schadsoftware oder unberechtigte Zugriffe können sensible Daten offenlegen, klinische Abläufe unterbrechen und im Ernstfall die Behandlung von Patienten gefährden.

Eine wirksame Cybersecurity berücksichtigt sowohl technische als auch organisatorische Risiken. Dazu gehören unter anderem:

• sichere Netzwerke und voneinander getrennte Systembereiche
• aktuelle Software, Sicherheitsupdates und geschützte Zugänge
• klare Berechtigungen für Mitarbeitende und externe Dienstleister
• regelmäßige Datensicherungen und Notfallkonzepte
• Schulungen zum sicheren Umgang mit E-Mails, Passwörtern und Geräten

Dabei bleibt der Mensch ein entscheidender Faktor. Selbst moderne Sicherheitssysteme können ihre Schutzwirkung nur entfalten, wenn Mitarbeitende Risiken erkennen und festgelegte Prozesse einhalten. Krankenhäuser benötigen deshalb eine Sicherheitsstrategie, die Technik, Organisation und Schulung miteinander verbindet und kontinuierlich an neue Bedrohungen angepasst wird.

Security Assessment der IT-Systeme als Basis

Ein Security Assessment schafft einen strukturierten Überblick über den aktuellen Stand der IT-Sicherheit im Krankenhaus. Dabei werden bestehende Systeme, Netzwerke, Zugänge, medizinische Geräte und organisatorische Prozesse auf Schwachstellen und Sicherheitslücken geprüft. Gleichzeitig zeigt die Analyse, welche Schutzmaßnahmen bereits wirksam sind und an welchen Stellen zusätzlicher Handlungsbedarf besteht.

Auf dieser Grundlage lässt sich eine passende Cybersecurity-Strategie entwickeln. Das Assessment klärt unter anderem:

• welche Systeme und Daten besonders schützenswert sind,
• welche Bereiche miteinander kommunizieren dürfen,
• wo Risiken und Abhängigkeiten bestehen,
• welche Maßnahmen priorisiert werden sollten,
• wie das Krankenhaus im Falle eines Angriffs reagiert.

So vermeiden Kliniken unnötige Einzelmaßnahmen und richten ihre Investitionen gezielt am tatsächlichen Bedarf aus. Externe IT-Sicherheitsexperten können bei Analyse, Priorisierung und Umsetzung unterstützen. Managed Services entlasten dabei die interne IT und helfen, Sicherheitsmaßnahmen dauerhaft zu überwachen und an neue Bedrohungen anzupassen.

Gesetzliche Vorgaben und Richtlinien zur Cybersicherheit

IT-Sicherheit ist für Krankenhäuser unabhängig von ihrer Größe gesetzlich vorgeschrieben. Maßgeblich ist heute § 391 SGB V, der frühere § 75c SGB V. Demnach müssen alle Kliniken nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu vermeiden. Dabei geht es sowohl um die Funktionsfähigkeit des Krankenhauses als auch um den Schutz der verarbeiteten Patienteninformationen.

Für Krankenhäuser, die als wichtige oder besonders wichtige Einrichtungen beziehungsweise als Betreiber kritischer Anlagen gelten, ergeben sich zusätzliche Anforderungen aus dem BSI-Gesetz und dem IT-Sicherheitsgesetz. Die BSI-Kritisverordnung legt ergänzend fest, ab welchem Versorgungsumfang ein Krankenhaus als kritische Anlage einzustufen ist. Verstöße gegen IT-Sicherheitsanforderungen können Bußgelder in Millionenhöhe nach sich ziehen.

BSI-Gesetz

Das BSI-Gesetz bildet eine wichtige rechtliche Grundlage für die Informationssicherheit in Deutschland. Medizinische Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen, um Sicherheitsvorfälle zu vermeiden und deren Folgen möglichst gering zu halten. Die Maßnahmen sollen dem Stand der Technik entsprechen und müssen nachvollziehbar dokumentiert werden.

Abhängig von der Einordnung des Krankenhauses gehören dazu unter anderem:

• ein systematisches Risiko- und Informationssicherheitsmanagement,
• Verfahren zur Erkennung und Meldung von Sicherheitsvorfällen,
• Schutzmaßnahmen für Netzwerke, Systeme und Zugänge,
• Notfall- und Wiederanlaufkonzepte,
• regelmäßige Schulungen der verantwortlichen Personen.

Für Betreiber kritischer Anlagen gelten weitergehende Anforderungen. Dazu zählt insbesondere der Einsatz geeigneter Systeme zur Angriffserkennung. Auch Geschäftsleitungen werden ausdrücklich in die Verantwortung genommen: Sie müssen die Umsetzung der Sicherheitsmaßnahmen überwachen und regelmäßig an Schulungen zur Bewertung von Cyberrisiken teilnehmen.

BSI-KRITIS-Verordnung

Die BSI-Kritisverordnung konkretisiert, welche Anlagen aufgrund ihrer Bedeutung für die Versorgung der Bevölkerung als kritisch gelten. Im Bereich der stationären medizinischen Versorgung liegt der Schwellenwert für Krankenhäuser derzeit bei 30.000 vollstationären Fällen pro Jahr. Wird dieser Wert erreicht oder überschritten, gilt das Krankenhaus im Sinne der Verordnung als kritische Anlage.

Damit gehen zusätzliche Registrierungs-, Melde- und Nachweispflichten einher. Betreiber müssen unter anderem besondere Maßnahmen zum Schutz versorgungsrelevanter IT-Systeme umsetzen und deren Einhaltung gegenüber dem Bundesamt für Sicherheit in der Informationstechnik nachweisen. Krankenhäuser unterhalb des Schwellenwerts sind jedoch nicht von der IT-Sicherheitspflicht befreit: Für sie gelten weiterhin die Anforderungen aus § 391 SGB V und gegebenenfalls weitere Vorgaben des BSI-Gesetzes.

B3S: Anforderungen an die Cyber-Sicherheit im Krankenhaus

Der branchenspezifische Sicherheitsstandard, kurz B3S, übersetzt die gesetzlichen Anforderungen in konkrete Vorgaben für Krankenhäuser. Er wurde von der Deutschen Krankenhausgesellschaft gemeinsam mit Fachgremien entwickelt und durch das BSI auf seine Eignung geprüft. Die aktuelle Fassung ist die redaktionell überarbeitete Version 1.3.1 vom 6. Januar 2026.

Der B3S berücksichtigt unter anderem:

• den Aufbau eines Informationssicherheitsmanagementsystems,
• die Bewertung und Behandlung von Risiken,
• die Absicherung kritischer Krankenhaus- und Medizintechniksysteme,
• das Notfall- und Kontinuitätsmanagement,
• Zugriffsrechte und Verantwortlichkeiten,
• Maßnahmen zur Erkennung und Bewältigung von Cyberangriffen.

Die Anwendung des B3S ist grundsätzlich freiwillig, wird in § 391 SGB V jedoch ausdrücklich als Möglichkeit zur Erfüllung der gesetzlichen Pflichten genannt. Damit bietet er sowohl KRITIS-Kliniken als auch kleineren Häusern einen anerkannten Rahmen, um Sicherheitslücken strukturiert zu schließen und das bestehende Versorgungsniveau auch bei IT-Störungen aufrechtzuerhalten. Eine Zertifizierung nach ISO 27001 ist für die Anwendung beziehungsweise den Nachweis der B3S-Maßnahmen nicht zwingend erforderlich.

Telematikinfrastruktur: Das sichere Netz für Krankenhäuser

Neben den Anforderungen an die IT-Sicherheit besteht eine weitere digitale Pflicht: Nach § 341 Abs. 7 SGB V mussten sich Krankenhäuser bis zum 1. Januar 2021 an die Telematikinfrastruktur anschließen, um auf die elektronische Patientenakte zugreifen zu können. Wer dieser Pflicht nicht nachkommt, muss mit Kürzungen der Vergütung nach dem Krankenhausentgeltgesetz rechnen.

Die Telematikinfrastruktur ist selbst ein geschlossenes, kryptografisch abgesichertes Netz. Die Sicherheitsaufgabe liegt an der Schnittstelle, denn der Anschluss verbindet das Krankenhausnetz dauerhaft mit einer externen Infrastruktur. Zugangskomponenten, Institutions- und Heilberufsausweise sowie die Berechtigungen für den ePA-Zugriff gehören deshalb in dasselbe Sicherheitskonzept wie Firewalls, Serverlandschaft und Medizintechnik.

Fördermöglichkeiten der IT-Sicherheit im Krankenhaus

Das Krankenhauszukunftsgesetz hat die Verbesserung der IT- und Cybersicherheit als festen Bestandteil der Krankenhausförderung verankert. Über den Krankenhauszukunftsfonds konnten Kliniken technische und organisatorische Maßnahmen finanzieren, die ihre IT-Systeme an den Stand der Technik anpassen und die Verfügbarkeit, Integrität und Vertraulichkeit von Patienteninformationen schützen. Mindestens 15 % der Mittel jedes geförderten Vorhabens waren für Maßnahmen zur Informationssicherheit einzuplanen.

Der Fördertatbestand 10 umfasste insbesondere Maßnahmen in vier Bereichen:

• Prävention: etwa Netzwerksegmentierung, Firewalls, sichere Authentifizierung, Schwachstellenscanner, verschlüsselte Datenübertragung und Informationssicherheitsmanagementsysteme
• Detektion: beispielsweise Security Operations Center, Log-Management, SIEM-Systeme sowie Lösungen zur Angriffs- und Schadsoftwareerkennung
• Schadensbegrenzung: unter anderem automatisierte Backups und zentral gesteuerte Schutzsysteme
• Awareness: regelmäßige Risikoanalysen, Schulungen, Informationskampagnen und Maßnahmen zur Sensibilisierung der Mitarbeitenden

Auch Beratungsleistungen für die Planung, erforderliche technische Ausstattung und Schulungen konnten grundsätzlich zu den förderfähigen Kosten gehören. Entscheidend war, dass die Maßnahmen einem konkreten Vorhaben zugeordnet und durch entsprechend berechtigte IT-Dienstleister bestätigt wurden.

Neue Anträge für den Krankenhauszukunftsfonds können allerdings nicht mehr gestellt werden: Die Antragsfrist beim Bundesamt für Soziale Sicherung endete am 31. Dezember 2021. Bereits bewilligte Projekte werden weiterhin nach den jeweiligen Förderbescheiden umgesetzt und nachgewiesen. Krankenhausträger sollten deshalb prüfen, ob für geplante Sicherheitsmaßnahmen noch bewilligte KHZF-Mittel, landesspezifische Programme oder andere Investitionsbudgets zur Verfügung stehen.

Häufige Fragen und Antworten

Warum ist IT-Sicherheit für Mitarbeiter im Krankenhaus so wichtig?

Mitarbeitende greifen täglich auf sensible Patientendaten, medizinische Systeme und vernetzte Geräte zu. Ein sicherer Umgang mit E-Mails, Passwörtern und Zugriffsrechten hilft, Cyberangriffe und Systemausfälle zu verhindern, und trägt zur Aufrechterhaltung der Patientenversorgung bei. Krankenhäuser müssen dafür nach § 391 SGB V angemessene technische und organisatorische Sicherheitsmaßnahmen umsetzen.

Was sind die vier Säulen der IT-Sicherheit?

Als vier zentrale Schutzziele werden häufig Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität genannt. Sie stellen sicher, dass Daten nur Berechtigten zugänglich sind, unverändert bleiben, bei Bedarf zur Verfügung stehen und ihre Herkunft überprüft werden kann. Im BSI-Grundschutz bilden Vertraulichkeit, Integrität und Verfügbarkeit die drei grundlegenden Schutzziele.

Was ist IT im Krankenhaus?

Zur Informationstechnologie im Krankenhaus gehören alle digitalen Systeme, Netzwerke und Anwendungen, die medizinische, pflegerische und administrative Prozesse unterstützen. Dazu zählen beispielsweise Krankenhausinformationssysteme, digitale Dokumentation, medizinische Geräte, Kommunikationslösungen und Systeme zur Verarbeitung von Patientendaten.

Welches Gesetz fördert die Digitalisierung im Krankenhaus?

Das Krankenhauszukunftsgesetz (KHZG) fördert die Modernisierung der digitalen Infrastruktur deutscher Krankenhäuser. Über den Krankenhauszukunftsfonds wurden unter anderem Patientenportale, digitale Dokumentationssysteme, IT-Sicherheit und moderne Notfallstrukturen unterstützt.