Untersuchungen deutscher Behörden haben gravierende Mängel bei der IT-Sicherheit im Gesundheitswesen festgestellt.
Ein sicheres Passwort sollte heutzutage vor allem lang sein, also mindestens zwölf, besser 16 oder mehr Zeichen umfassen. Wenn das Passwort zusätzlich Zahlen oder Sonderzeichen enthält, wird es noch sicherer. Nun gibt es Informationssysteme, die es erlauben, dass ein Nutzer Passwörter wie „Passwort“, „abcd“ oder den eigenen Vornamen wählt. Es gibt aber auch Systeme, die einfache Passwörter erst gar nicht zulassen. Das nennt man „Security by Default“ – ein grundlegendes Konzept der Cybersecurity, bei dem eine Software so ausgeliefert wird, dass sie ohne jegliche Konfiguration durch den Nutzer den höchstmöglichen Sicherheitsstandard bietet. Zur Security by Default gehören aber auch der Einsatz aktueller kryptografischer Verfahren zum Schutz der Kommunikation oder die Implementierung wirksamer Zugriffskontrollen.
Mängel bei der Security by Default sind einer der Gründe dafür, dass das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheit von Software-Produkten im Gesundheitswesen als „ausbaufähig“ charakterisiert. Jene zentrale deutsche Behörde für Fragen der IT-Sicherheit hat sich in den letzten Jahren in drei groß angelegten Studien mit der IT-Sicherheit von Krankenhausinformationssystemen (KIS), Praxisinformationssystemen und digitalen Pflegedokumentationssystemen auseinandergesetzt – und dabei eine Reihe von Mängeln festgestellt.
Späte Einsicht.
KI verändert das Hackerwesen. Gesundheitseinrichtungen müssen sich auf alle Eventualitäten einrichten – auch auf das Kidnapping ihrer IT-Systeme.
Krankenhäuser
Das Thema IT-Sicherheit hat in Kliniken lebenswichtige Bedeutung. In der Nacht zum 11. September 2024 wurde in Düsseldorf der Rettungsdienst zu einer 78-jährigen Frau gerufen. Bei ihr wird ein lebensbedrohliches Aortenaneurysma diagnostiziert. Zunächst ist eine Einlieferung in die nahegelegene Universitätsklinik vorgesehen. In der Leitzentrale tauchen jedoch gravierende Probleme auf. Aufgrund eines Cyberangriffs ist die Notfallversorgung der Uniklinik Düsseldorf ausgesetzt. In den frühen Morgenstunden des 10. September hatte eine Ransomware begonnen, zentrale Server des Krankenhauses zu verschlüsseln und den Betrieb massiv einzuschränken. Die Patientin wurde in das 30 Kilometer entfernte Krankenhaus nach Wuppertal umgeleitet, wo sie kurz nach ihrer Ankunft verstirbt. Derartige Angriffe häufen sich mit der Ausbreitung von Künstlicher Intelligenz weltweit. Mit der neuen Technologie wird es einfacher, große IT-Systeme anzugreifen.
Vorfälle wie diese rufen in Deutschland das BIS auf den Plan. Das Projekt „Sicherheitseigenschaften von Krankenhausinformationssystemen“ (SiKIS) steht in engem Zusammenhang mit dem Hack auf die Düsseldorfer Uniklinik. Bei SiKIS wurden zwei Krankenhausinformationssysteme einem sogenannten Penetrationstest unterzogen. Es wurde also ein autorisierter, simulierter Cyberangriff durchgeführt – mit dem Ziel, Schwachstellen zu finden. Dabei stellte sich heraus, dass einige grundlegende Sicherheitsmechanismen, die man bei solchen zentralen Systemen erwarten würde, nicht eingehalten wurden. Dies betraf sowohl Hersteller als auch Betreiber. Als Beispiele werden genannt: die unsichere Übertragung von Daten, die unsichere Speicherung und Verwaltung von Zugängen und Passwörtern sowie die unsichere Verteilung von Software-Updates. „Damit stellen diese Systeme auch ein lohnendes Ziel für potenzielle Angreifer dar“, resümiert Joachim Wagner, Sprecher des BSI. Überdies konnte die Behörde zum Zeitpunkt der Studie keine grundsätzlichen Anforderungen an die IT-Sicherheit dieser Systeme identifizieren.
KIS – Steuerzentrale jeder Klinik
Krankenhausinformationssysteme sind die zentralen digitalen Plattformen eines Krankenhauses. Sie verwalten und verarbeiten sämtliche patientenbezogenen Daten – von administrativen Informationen über Diagnosen bis hin zu Behandlungsdokumentationen – und bündeln diese in einer elektronischen Patientenakte. Gleichzeitig vernetzen sie unterschiedliche Subsysteme wie Radiologie-, Labor- oder Dokumentationssysteme und ermöglichen so den durchgängigen digitalen Behandlungsprozess. Ein Ausfall eines KIS hat daher unmittelbare Folgen: In vielen Fällen kommt es zum Stillstand zentraler Abläufe, bis hin zu abgesagten Operationen oder Aufnahmestopps.
Gerade wegen dieser zentralen Rolle sind KIS ein kritischer Angriffspunkt. Die größte Bedrohung geht aktuell von Cyberangriffen, insbesondere Ransomware, aus. Dabei werden Systeme verschlüsselt und Daten als Druckmittel genutzt. Da KIS häufig mit zahlreichen externen Systemen und Online-Schnittstellen verbunden sind, entsteht eine große Angriffsfläche mit hohem Schadenspotenzial.
Der Abschlussbericht zeigt zudem strukturelle Schwächen in der IT-Sicherheit. Viele etablierte Kommunikationsstandards im Gesundheitswesen verfügen entweder über keine ausreichenden Sicherheitsmechanismen oder diese werden in der Praxis nicht konsequent eingesetzt. Besonders kritisch sind die in Penetrationstests identifizierten technischen Schwachstellen: Dazu zählen unzureichend verschlüsselte Verbindungen, mangelhafte Zertifikatsprüfungen, veraltete Verschlüsselungs- und Hashverfahren sowie unsichere Wartungszugänge. Auch fehlender Integritätsschutz der Software und unzureichendes Rechtemanagement erhöhen das Risiko von Manipulationen oder unautorisierten Zugriffen.
Hinzu kommt die hohe Komplexität der Systeme. KIS sind oft historisch gewachsen, stark individualisiert und in heterogene IT-Landschaften eingebettet. Unterschiedliche Schnittstellen, externe Software und Legacy-Systeme erschweren eine einheitliche Absicherung und erhöhen die Fehleranfälligkeit. Gleichzeitig müssen Vertraulichkeit, Integrität und Verfügbarkeit sensibler Gesundheitsdaten jederzeit gewährleistet sein – ein Zielkonflikt, der die Sicherheitsarchitektur zusätzlich belastet.
Ins Tun kommen
Auf den Abschlussbericht zur Sicherheitsanalyse von Krankenhausinformationssystemen folgte ein eigener Report mit konkreten Handlungsempfehlungen. Darin werden zunächst typische Angriffsmuster auf Krankenhäuser beschrieben, um die daraus abgeleiteten Maßnahmen einordnen zu können. Cyberangriffe verlaufen in der Regel nach einem klar strukturierten Ablauf. Angreifende beginnen mit der Informationsbeschaffung, etwa durch das Sammeln von E-Mail-Adressen oder technischen Details über das Zielsystem. Anschließend wird eine Schwachstelle ausgenutzt, um einen ersten Zugang zu erhalten. In weiteren Schritten sichern sich die Angreifenden diesen Zugriff, erweitern ihre Berechtigungen im System und bewegen sich innerhalb der IT-Infrastruktur weiter. Am Ende stehen konkrete Schadhandlungen wie das Auslesen sensibler Daten oder deren Verschlüsselung mit anschließender Lösegeldforderung.
Ein realistisches Angriffsszenario zeigt, wie niedrig die Einstiegshürde sein kann. Häufig beginnt ein Angriff mit einer Phishing-Mail, die einen Mitarbeitenden dazu bringt, Schadsoftware auszuführen. Nach der Infektion können Angreifende den internen Netzwerkverkehr überwachen, Zugangsdaten abgreifen und sich schrittweise weiter in kritische Systeme wie das KIS vorarbeiten. Dort lassen sich medizinische Daten einsehen oder manipulieren. In einem weiteren Schritt werden Daten exfiltriert oder Systeme gezielt verschlüsselt, um den Betrieb zu stören. Derartige Angriffe setzen selten an einem einzelnen Punkt an. Vielmehr nutzen sie eine Kette von Schwachstellen – von der E-Mail-Infrastruktur bis hin zum KIS selbst. Gerade weil das KIS als zentrales System alle relevanten Daten bündelt und eng mit anderen Komponenten vernetzt ist, stellt es ein besonders attraktives Ziel dar. Daraus ergibt sich die Notwendigkeit, Sicherheitsmaßnahmen nicht isoliert zu betrachten, sondern entlang der gesamten Angriffskette umzusetzen. Sowohl Hersteller als auch Betreiber müssen ihre Systeme so absichern, dass möglichst viele dieser Angriffsschritte unterbunden oder zumindest frühzeitig erkannt werden können.
Aufbauend auf den zuvor dargestellten Angriffsszenarien formuliert der Bericht konkrete technische und organisatorische Maßnahmen zur Absicherung von Krankenhausinformationssystemen. Im Fokus stehen dabei sowohl strukturelle Schwachstellen in der Systemarchitektur als auch Defizite im Betrieb und in den Prozessen.
Ein zentrales technisches Handlungsfeld ist die Absicherung der Netzwerkkommunikation. Sensible Daten wie Zugangsdaten oder Patientendaten müssen konsequent verschlüsselt übertragen werden, idealerweise über etablierte Verfahren wie TLS. Entscheidend ist dabei nicht nur die Nutzung, sondern auch die korrekte Konfiguration und die zuverlässige Authentifizierung der Kommunikationspartner. Ergänzend wird der Aufbau einer Public-Key-Infrastruktur empfohlen, um Zertifikate kontrolliert auszustellen, zu verwalten und zu überprüfen.
Ein weiterer Schwerpunkt liegt auf der Systemarchitektur. Insbesondere Zwei-Schicht-Architekturen gelten als problematisch, da sie keine saubere Trennung von Zugriffskontrolle und Datenhaltung ermöglichen. Dadurch können Angreifende unter Umständen direkt auf Datenbanken zugreifen und Autorisierungsmechanismen umgehen. Der Bericht empfiehlt daher klar den Umstieg auf eine Drei-Schicht-Architektur mit zwischengeschaltetem Applikationsserver, der Authentifizierung und Autorisierung zentral durchsetzt.
Auch die Softwareverteilung stellt eine kritische Angriffsfläche dar. Werden Updates über zentrale Netzlaufwerke verteilt, können manipulierte Dateien im schlimmsten Fall systemweit Schadcode verbreiten. Daher müssen Integrität und Authentizität von Updates sichergestellt werden, etwa durch Code-Signaturen oder abgesicherte Übertragungswege. Ergänzend sind strenge Zugriffsrechte, Monitoring und der Verzicht auf veraltete Protokolle notwendig.
IT-Sicherheit muss organisiert werden
Im Bereich User-Management zeigt der Bericht deutliche Defizite. Unsichere Passwörter, dauerhaft aktive Wartungskonten und überhöhte Berechtigungen erhöhen die Angriffsfläche erheblich. Empfohlen werden regelmäßige Audits aller Konten, die konsequente Umsetzung des Least-Privilege-Prinzips sowie eine abgesicherte Passwortspeicherung, etwa durch Hashing mit zusätzlichen Schutzmechanismen. Alternative Authentifizierungsverfahren wie Smartcards sollten eingesetzt werden.
Neben technischen Maßnahmen betont der Bericht die Bedeutung organisatorischer Strukturen. Ein systematisches Risikomanagement ist notwendig, um Bedrohungen und Schwachstellen im Kontext des jeweiligen KIS zu bewerten. Hersteller sind aktiv einzubinden, da sie über zentrale Systemkenntnisse verfügen. Eine transparente Dokumentation von Schnittstellen und Kommunikationsbeziehungen ist dafür Voraussetzung.
Zudem wird die Einführung von Härtungsrichtlinien empfohlen, die sicherheitsrelevante Konfigurationen bündeln und für Betreiber nachvollziehbar machen. Regelmäßige Sicherheitsuntersuchungen bleiben essenziell. Diese reichen von Penetrationstests über Audits bis hin zu Code-Analysen und sollten von Herstellern und Betreibern durchgeführt werden, um Schwachstellen frühzeitig zu erkennen und zu beheben.
Für Klinikmanager ergibt sich daraus kein einzelner Hebel, sondern ein Bündel klarer Aufgaben. Zentral ist ein belastbares Risikomanagement, das Schwachstellen systematisch erfasst und priorisiert. Die IT-Architektur sollte überprüft und bei Bedarf angepasst werden, insbesondere im Hinblick auf Zugriffskontrolle und Netzwerksegmentierung. Sichere Kommunikationsstandards, kontrollierte Softwareverteilung und ein konsistentes User-Management sind umzusetzen. Gleichzeitig braucht es klare Zuständigkeiten, dokumentierte Abläufe und eine enge Abstimmung mit den Systemanbietern. Sicherheitsrichtlinien müssen im Betrieb greifen und regelmäßig überprüft werden. Wiederkehrende Analysen sind einzuplanen, um Veränderungen in der Bedrohungslage abzubilden. IT-Sicherheit ist dauerhafte Herausforderung auf höchster Managementebene.
Pandemisch
Das deutsche Bundesamt für Sicherheit in der Informationstechnik kümmert sich im Gesundheitsbereich nicht nur um Krankenhäuser. 2025 wurden auch die Sicherheitsmaßnahmen im niedergelassenen und im Pflegebereich im Auftrag des BIS unter die Lupe genommen.
Arztpraxen: Das Projekt „Sicherheit von Praxisverwaltungssystemen“ (SiPra) widmete sich der Sicherheit verschiedener Softwarelösungen, die in deutschen Arztpraxen verwendet werden, um z. B. Termine zu planen, Befunde zu speichern oder die Telematikinfrastruktur verschiedener Dienste (E-Rezept, Elektronische Patientenakte, elektronische Arbeitsunfähigkeitsbescheinigung) zu nutzen. Auch hier wurde ein Penetrationstest durchgeführt, bei dem die Software in einer Testumgebung angegriffen wurde, um mögliche Schwachstellen der Produkte zu entdecken. Bei der Untersuchung von vier exemplarischen Produkten wurden unter anderem Schwächen hinsichtlich unzureichenden Zugriffs-Managements, unsicherer Datenbank-Konfiguration sowie der Verwendung veralteter oder selbstentwickelter kryptografischer Algorithmen festgestellt. Das BSI bemängelte auch den Umgang mit Dateianhängen.
Pflegedienste: Eine stetig steigende Zahl an Pflegebedürftigen wird von ambulanten Pflegediensten betreut. Die dabei eingesetzten Pflegedokumentationssysteme, mit denen die Pflege geplant, durchgeführt und dokumentiert wird, wurden in einer Studie zur Sicherheit von digitalen Pflegedokumentationssystemen (DiPS) untersucht. Das BSI stellte fest, dass das Sicherheitsrisiko derartiger Systeme besonders hoch ist, weil sie nicht nur über ihr lokales Netzwerk eine Angriffsfläche bieten, sondern die relevanten Daten auch vor Ort bei den Pflegebedürftigen über Schnittstellen bereitgestellt werden müssen. Bei Penetrationstests dreier weitverbreiteter Systeme zeigten sich Schwachstellen bei der Kommunikationsverschlüsselung, der Authentifizierung und der Prüfung von Software-Updates. Aber auch architektonische Schwachstellen, die eine sichere und effektive Nutzerautorisierung unmöglich machen, wurden entdeckt. Die Ergebnisse decken sich dabei mit den Erkenntnissen aus SiKIS und SiPra, wie das BSI feststellt.
Quellen und Links:
www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/SiKIS_Abschlussbericht.pdf
www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/SiKIS_Handlungsempfehlungen
www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/SiPra_Abschlussbericht.pdf
www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/SiPra_Handlungsempfehlungen.pdf
www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/DiPS_Abschlussbericht.pdf
www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/DiPS_Handlungsempfehlungen.pdf
