Fachartikel 2026 · 07 8 Min.

Im September 2020 legte ein Ransomware-Angriff das Uniklinikum Düsseldorf lahm. Eine Patientin musste in eine 32 Kilometer entfernte Klinik umgeleitet werden und starb kurz darauf — der wohl bekannteste Fall, in dem ein Cyberangriff mit dem Tod eines Menschen in Verbindung gebracht wurde. Die Staatsanwaltschaft stellte die Ermittlungen später ein, weil sich die Kausalkette nicht zweifelsfrei belegen ließ. Für die Branche folgenlos geblieben ist der Fall trotzdem nicht: Er zeigt, dass ein IT-Ausfall in einer Klinik keine IT-Störung ist, sondern eine Frage der Patientenversorgung.

Meine These: Universitätskliniken scheitern nicht an fehlender Technik. Sie haben SIEM, Firewalls, Zutrittskontrollen, Notfallhandbücher. Sie scheitern daran, dass IT-Security, OT-Security, Business Continuity Management, physische Sicherheit und organisatorische Prozesse von unterschiedlichen Abteilungen verantwortet werden — die im Ernstfall nicht in derselben Sprache über dasselbe Risiko sprechen. Der Engpass ist keine Sicherheitslücke. Es ist eine Organisationslücke.

Die Illusion der getrennten Zuständigkeit

Die IT-Abteilung verantwortet Server, Netzwerke, Anwendungen. Die Medizintechnik verantwortet Beatmungsgeräte, Bildgebung, Labor-Automation — oft in eigenen, teils jahrzehntealten Netzwerken. Die Haustechnik verantwortet Energie, Klimatisierung, Aufzüge, Gebäudeleittechnik. Der Werkschutz verantwortet Zutritt. Das Qualitätsmanagement verantwortet Notfallpläne. Jede Einheit hat eigene Eskalationswege, eigene Tools, meist keinen gemeinsamen Blick auf das, was zählt: die Fähigkeit, Patienten zu versorgen.

Das ist historisch gewachsen, nicht böswillig entstanden. Aber wenn ein Vorfall diese Silogrenzen überschreitet — und jeder ernsthafte Vorfall tut das —, fehlt oft die Instanz, die das Gesamtbild hat und mit Entscheidungsbefugnis handelt.

Warum das in der Klinik anders wiegt

In den meisten Branchen bedeutet ein IT-Ausfall Umsatzverlust. In der Klinik bedeutet er im Zweifel Behandlungsverzug oder Fehltriage. Die relevante Kennzahl ist nicht Verfügbarkeit in Prozent, sondern die Fähigkeit, in jeder Minute eine medizinisch vertretbare Entscheidung treffen zu können — mit oder ohne IT.

Der Regulator hat das erkannt. Der Branchenspezifische Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus (B3S Krankenhaus), von der Deutschen Krankenhausgesellschaft erarbeitet und vom BSI anerkannt, verlangt genau diese Verzahnung: IT-Sicherheit, Medizintechnik und Betriebskontinuität als ein gemeinsames Risikomanagement, nicht als getrennte Kapitel. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft, hat sich der Kreis der verpflichteten Einrichtungen im Gesundheitssektor bereits massiv erweitert: Große Kliniken und Klinikverbünde ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz gelten als besonders wichtige Einrichtungen, kleinere Häuser ab 50 Beschäftigten oder 10 Millionen Euro Umsatz als wichtige Einrichtungen — mit Registrierungspflicht beim BSI (Frist war der 6. März 2026) und verschärften Nachweis- und Meldepflichten. Das bestehende KRITIS-Regime für Kliniken ab 30.000 vollstationären Fällen pro Jahr läuft parallel weiter. Der Druck ist real und längst scharf gestellt. Er löst das Organisationsproblem aber nicht automatisch — ein Registrierungsnachweis beim BSI verhindert keine Silobildung.

Was ein ganzheitlicher Ansatz konkret bedeutet

Vier Ebenen, technisch getrennt, aber organisatorisch zusammengeführt:

IT-Security schützt Patientenverwaltung, elektronische Patientenakte, PACS, Netzwerke — hier ist der Reifegrad meist am höchsten.

OT-Security schützt vernetzte Medizintechnik und Gebäudeleittechnik — Beatmungsgeräte, Infusionspumpen, Bildgebung, aber auch Aufzüge, OP-Klimatisierung, Kühlketten für Medikamente und Blutprodukte. Diese Systeme laufen oft auf veralteten Betriebssystemen, jahrelang ungepatcht. Die Normenreihe IEC 62443 liefert den methodischen Rahmen — Netzsegmentierung, Zonen- und Conduit-Modelle —, wird in Kliniken aber seltener konsequent angewendet als in der Industrie, weil die Verantwortung zwischen IT, Medizintechnik und Geräteherstellern zerfasert.

Physische Sicherheit schützt Rechenzentren, aber auch Zugänge zu OP-Trakten, Isolierstationen, Apotheken. Ein Zutrittskontrollsystem, das im Ernstfall an derselben USV hängt wie der Rest der Klinik-IT, ist keine Sicherheitsmaßnahme — es ist ein zusätzliches Ausfallrisiko.

Business Continuity Management verbindet das operativ: Nach BSI-Standard 200-4 und ISO 22301 beginnt es mit einer Business Impact Analyse, die für jeden kritischen Prozess — Notaufnahme, OP, Intensivstation, Labor, Medikamentenversorgung — die maximal tolerierbare Ausfallzeit definiert und Wiederanlaufpläne ableitet, die auch ohne IT funktionieren: papierbasierte Aufnahme, definierte manuelle Freigaben für Blutprodukte, eine Kommunikationskaskade, die nicht am selben ausgefallenen System hängt.

Das SOC mit SIEM ist die Klammer — vorausgesetzt, es wird auch so gebaut. In vielen Häusern korreliert das SIEM ausschließlich IT-Logs. Ein Alarm aus der Gebäudeleittechnik oder eine Zutrittsanomalie im Serverraum taucht oft gar nicht im selben Werkzeug auf, weil sie aus einem anderen Netz, einem anderen Vertrag kommt. Ein SOC, das für eine Klinik früh warnt, muss IT-, OT- und physische Ereignisse in derselben Korrelation sehen: ein kompromittiertes Verwaltungssystem, gefolgt von Traffic Richtung Medizintechnik-VLAN, gefolgt von einem Zutrittsversuch auf den Serverraum. Jedes Ereignis einzeln ist unauffällig. Zusammen ist es der Angriff.

Der eigentliche Hebel

Der wirksamste Einzelschritt ist organisatorisch, nicht technisch: eine einzige Eskalationslogik, die Cyber-Vorfall, OT-Ausfall, Stromausfall und klassische Notfallszenarien wie Massenanfall von Verletzten in denselben Meldeweg und dieselbe Entscheidungsstruktur überführt. Krisenstab und SOC-Eskalationsteam dürfen keine getrennten Welten sein. Im Idealfall üben sie gemeinsam, und der Krisenstab hat vorab definiert, ab welchem Schweregrad ein IT-Sicherheitsvorfall automatisch zum medizinischen Notfall wird.

Die Frage, die zählt

Wer als IT-Leitung, CISO oder Geschäftsführung einer Klinik jetzt investiert, sollte sich nicht fragen, welches Tool als Nächstes kommt. Sondern: Gibt es bei uns eine Person oder ein Gremium, das im Ernstfall über IT-Ausfall, OT-Ausfall, physischen Vorfall und medizinische Konsequenz gleichzeitig entscheiden kann — mit Mandat, nicht nur mit Information? Wenn nein: Das nächste sinnvolle Projekt ist keine weitere Komponente, sondern eine gemeinsame Business Impact Analyse von IT, Medizintechnik, Haustechnik und Klinikleitung — geprüft nicht am Reifegrad einzelner Kontrollen, sondern an einer Übung, in der ein Angriff auf die Verwaltungs-IT binnen einer Stunde die Notaufnahme erreicht.

Wie ist das bei euch geregelt — gibt es eine Instanz, die IT-, OT- und Patientensicherheit im Ernstfall in einer Hand zusammenführt, oder laufen bei euch auch noch getrennte Eskalationswege?