Diese Tendenz bestätigt der aktuelle BSI-Jahresbericht: Die Zahl täglich neu entdeckter Schwachstellen ist zwischen Juli 2024 und Juni 2025 um 24 Prozent angestiegen. Dieser Zuwachs resultiert vor allem aus der fortschreitenden Digitalisierung und der Einführung neuer, häufig unzureichend abgesicherter Systeme. Gleichzeitig weist das BSI darauf hin, dass viele Webanwendungen und Server in Deutschland weiterhin falsch konfiguriert oder gar nicht geschützt sind – ein erhebliches Risiko auch für Kliniken. Gerade in Bezug auf die zunehmende Anbindung der Medizintechnik an das Internet und die Tatsache, dass durch die digitalen Prozesse die Abhängigkeit von der Informationstechnologie signifikant größer geworden ist, ist eine sichere und verfügbare IT wichtiger denn je.
Auch wenn die Widerstandsfähigkeit der kritischen Infrastrukturen insgesamt zwar zunimmt, bleibt laut BSI eine hohe Verwundbarkeit bestehen. Gerade bei Krankenhäusern, die stark vernetzt arbeiten und gleichzeitig besonders sensible Gesundheitsdaten verarbeiten, bieten sich wesentliche Angriffsvektoren für Cyberkriminelle. Ein robustes Sicherheitskonzept muss daher technische Maßnahmen, organisatorische Vorgaben und kontinuierliche Mitarbeiterschulung miteinander verzahnen.
Aktuelle Angriffsformen und Trends
Der BSI-Bericht und darauf basierende Analysen zeichnen ein konsistentes Bild: Ransomware bleibt dominierend, zunehmend flankiert durch Initialzugriffe über Web-Angriffsflächen (fehlkonfigurierte Dienste, veraltete Software, exponierte Schnittstellen). Wichtig ist insbesondere die Aufklärung der Mitarbeiter über das sogenannte Social Engineering, also den Versuch, bestimmte Personen durch zwischenmenschliche Manipulation zur Preisgabe vertraulicher Daten oder zu Geldüberweisungen zu bewegen. Statt technischer Schwachstellen werden menschliche Eigenschaften wie Hilfsbereitschaft, Angst oder Neugier ausgenutzt.
Die Professionalisierung der Angreifer – von Cybercrime-as-a-Service bis zu staatlich gesteuerten Kampagnen – nimmt dabei immer weiter zu: Automatisierte Botnetze scannen flächendeckend nach den „weichsten Zielen“, unabhängig davon, wie finanziell leistungsfähig die Opfer sind. Wer denkt: „Bei mir gibt es nichts zu holen“, der irrt definitiv. Besonders gefährdet sind unzureichend gesicherten Webanwendungen und falsch konfigurierte Server – Probleme, die sich in Kliniken mit komplexen, historisch gewachsenen Infrastrukturen oftmals wiederfinden.
Rechtlicher Rahmen: Was gilt?
Für Krankenhäuser als KRITIS-Betreiber gelten die Anforderungen des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) samt entsprechender Nachweispflichten (u. a. § 61 BSIG); parallel wurde die NIS-2-Richtlinie umgesetzt (siehe Solidaris Information 1/2026). Branchenspezifisch ist der Sicherheitsstandard B3S „Medizinische Versorgung“ das operative Rückgrat für Prüfungen und Maßnahmen.
Außerdem ist am 17. März 2026 im Rahmen des Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen das KRITIS-Dachgesetz in Kraft getreten. Während bisherige Regelungen (wie das BSI-Gesetz) primär auf die IT-Sicherheit fokussierten, konzentriert sich das KRITIS-Dachgesetz vor allem auf den physischen Schutz von Anlagen. Es soll sicherstellen, dass lebensnotwendige Versorgungsleistungen auch bei Naturkatastrophen, Sabotage, Terrorismus oder technischem Versagen aufrechterhalten werden.
Cloudnutzung im Krankenhaus
Seit der Einführung von § 393 SGB V ist die Cloud-Nutzung für Gesundheitsdaten grundsätzlich möglich, sofern rechtliche und sicherheitstechnische Anforderungen eingehalten werden (u. a. C5-Kriterien als Prüfrahmen für Cloud-Dienste, Datenschutz-Vorgaben). Kliniken benötigen also Cloud-Strategien, die die Klassifikation und die Verschlüsselung von Daten (im Speicher, in-transit, ggf. kundenseitig), Zugriffsbeschränkungen, die Protokollierung und einen konsequenten Identity-Schutz beinhalten.
Notfall-, Backup- und Wiederanlauf-Fähigkeit
Die NIS-2-nahen Pflichten sowie der B3S fordern Notfallmanagement, Backups und Wiederherstellungsprozesse: Georedundante, manipulationssichere Sicherungen, regelmäßige Restore-Tests und klinisch orchestrierte Wiederanlaufpläne (Priorisierung PACS, KIS, Labor, Medizingeräte-Gateways). Ziel dabei ist die Aufrechterhaltung bzw. die Wiederherstellung von IT-Systemen in Krankenhäusern. In Kliniken betrifft die Cyber-Sicherheit die Versorgungsfähigkeit unmittelbar. Investitionen in Notfall-Übungen, Downtime-Konzepte (Papierprozesse), analoge Fallbacks und Kommunikationspläne (intern/extern, CERT-Meldungen, Krisen-PR) sind somit unabdingbar.
Von Awareness zur gelebten Sicherheitskultur
Regelmäßige rollenbasierte Schulungen, simulierte Phishing-Attacken, klare Berechtigungskonzepte und Messbarkeit (KPIs wie Phishing-Quote, Widerherstellungszeiten) schaffen Transparenz und verbessern die Sicherheitslage. Die Lieferketten (Software-Updates, Wartung, Fernzugriff) sind für Kliniken besonders kritisch: Zulieferer-Zugänge müssen stark reglementiert (z. B. JIT-Zugriff, Jump-Hosts, MFA) und Update-Prozesse vertraglich fixiert werden. Die BSI-Hinweise zu offen erreichbaren Diensten und verspätetem Patchen gelten auch für die medizinische IT. Mit Blick auf die NIS-2-Pflichten (Risikomanagement, Audits, Meldewesen) rückt Third-Party-Governance in den Fokus: Kliniken brauchen Standardanforderungen (z. B. C5 für Cloud, Mindest-Kryptographie-Standards, Logging), gestützt durch vertragliche Kontrollen und Nachweispflichten. Diese Anforderungen sind im besten Fall Teil der Leistungsbeschreibung und der Auswahl.
Fazit
IT-Sicherheit ist eine Führungsaufgabe unter Verantwortung der Geschäftsleitung. Ohne klare Verantwortlichkeiten, Priorisierung und verankerte Sicherheitsziele scheitern technische Initiativen im Klinikalltag. Sicherheitskultur heißt, dass Chief Medical Officer, Pflegedienste, IT/Medizintechnik und Verwaltung gemeinsam handeln, Szenarien üben und Entscheidungen belastbar treffen. Zudem bleiben ohne Sicherheitskultur, Schulungen und klare Verantwortungen technische Projekte wirkungslos – erst die Kombination schafft echte Cyber-Resilienz und schützt das, worum es im Krankenhaus letztlich geht: Menschenleben. IT-Sicherheit im Krankenhaus ist kein Randthema – sie entscheidet unmittelbar über Patientensicherheit, Versorgungsfähigkeit und die Stabilität des gesamten Gesundheitssystems.
