Cybersicherheit in Krankenhäusern: Wie widerstandsfähig ist Europa?

Die Branchenmesse DMEA hat gezeigt, dass Europa zwar zahlreiche Strategien für mehr Cyberresilienz im Gesundheitswesen entwickelt hat, die praktische Umsetzung jedoch hinterherhinkt. Krankenhäuser und andere Gesundheitseinrichtungen geraten zunehmend unter Druck, weil Cyberangriffe häufiger, professioneller und für die Opfer teurer werden.

Ein paar Beispiele: Schadsoftware legt Operationssäle lahm, Datenlecks gefährden das Vertrauen der Patientinnen und Patienten, und gestörte IT-Prozesse bringen Abläufe auf Stationen durcheinander. Vor diesem Hintergrund stellt sich die Frage, wie gut Europa und insbesondere Deutschland aufgestellt sind, um Cybersicherheit im Gesundheitswesen nachhaltig zu stärken.

Bühne für die digitale Gesundheit: die DMEA 2026

Die DMEA in Berlin gilt als eine der wichtigsten europäischen Leitveranstaltungen für digitale Gesundheitsversorgung und bringt Expertinnen und Experten aus Medizin, IT, Forschung, Politik und Industrie zusammen. Ziel ist es, Impulse aus Politik und Wirtschaft an die Gesundheitsbranche weiterzureichen sowie über Praxisbeispiele zu zeigen, was aktuell möglich ist und welche Anforderungen mit den aktuellen Regelungen verbunden sind.

Vom 21. bis 23. April 2026 standen in diesem Jahr digitale Strategien für das Krankenhaus von morgen im Fokus, darunter künstliche Intelligenz (KI) für Prozessoptimierung, interoperable IT-Architekturen und resiliente Infrastrukturen. Viele Ausstellerinnen und Aussteller präsentieren Lösungen, mit denen Krankenhäuser ihre Cybersicherheit erhöhen und kritische Systeme besser überwachen können, zum Beispiel Security Operations Center, Rapid-Response-Services und durchgängiges Monitoring.

Cybersicherheit war das Top-Thema der DMEA

In diesem Jahr gehört die Cybersicherheit in Krankenhäusern explizit zu den Top-Themen der DMEA. Sie wurde darüber hinaus eng verknüpft mit Fragen der Cyberresilienz im gesamten Gesundheitswesen. Zur Diskussion gehörte unter anderem die Fragestellung, wie Kliniken mit den Anforderungen durch die Richtlinie zur Sicherheit von Netz- und Informationssystemen (NIS2-Richtlinie), den EU Cyber Resilience Act und den geplanten European Health Data Space (EHDS) umgehen können.

Gleichzeitig zeigten Hersteller und Dienstleister konkrete Werkzeuge, etwa für Netzwerksegmentierung, die Absicherung von Cloud-Anwendungen oder Managed Security Services, die dazu dienen, die begrenzten eigenen IT-Ressourcen der Kliniken zu entlasten. Die Veranstaltung macht damit sehr deutlich, dass Cybersicherheit und Digitalisierung von Gesundheitseinrichtungen nur gemeinsam gedacht werden. Es ist schon lange kein reines IT-Thema mehr.

Europäische Strategien für mehr Cybersicherheit in Krankenhäusern

Auf europäischer Ebene sind in den vergangenen Jahren mehrere Vorgaben entstanden, um die Cybersicherheit in Krankenhäusern und anderen Gesundheitseinrichtungen zu stärken. Die bereits erwähnte NIS2-Richtlinie verpflichtet die Mitgliedstaaten, nationale Strategien und Mindeststandards für kritische Sektoren wie das Gesundheitswesen einzuführen.

Ergänzend dazu legt der Cyber Resilience Act Sicherheitsanforderungen für Produkte mit digitalen Komponenten fest, von Netzwerkgeräten bis zu Medizingeräten.

Anfang 2025 hat die Europäische Kommission einen spezifischen Aktionsplan zur Cybersicherheit von Krankenhäusern und Gesundheitsdienstleistern vorgestellt, der Leitlinien, Förderinstrumente und Schulungsangebote bündeln soll. Dabei soll es vor allem um Prävention, Erkennung, Reaktion und Abschreckung gehen.

Konkrete Vorgaben für Deutschland

Cyberresilienz bedeutet hier unter anderem, dass Krankenhäuser nicht nur Maßnahmen ergreifen müssen, um Angriffe abzuwehren, sondern auch verpflichtet sind, Vorfälle innerhalb von 24 Stunden zu melden und schnell zu handeln, um kritische Funktionen aufrechterhalten zu können. In fest gelegten Zeitabständen müssen sie bei Vorfällen Berichte über den Stand der Dinge einreichen.

Das betrifft sogar Arztpraxen und Medizinische Versorgungszentren (MVZ), sobald sie große genug sind, um als „wichtige Unternehmen“ eingestuft zu werden. Das ist ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz der Fall.

Der europäische Aktionsplan sieht außerdem unter anderem Cyberübungen, Playbooks für den Ernstfall und eine Ausweitung der europäischen Cybersicherheitsreserve auf den Gesundheitssektor vor.

Datenraum für ganz Europa in Planung

Die Zeit drängt. Denn ein weiterer europäischer Schwerpunkt ist der geplante European Health Data Space, der eine grenzüberschreitende Nutzung von Gesundheitsdaten ermöglichen und gleichzeitig hohe Sicherheitsstandards etablieren soll. Damit verbunden sind Anforderungen an Verschlüsselung, Zugriffssteuerung und transparente Protokollierung, die alle Gesundheitseinrichtungen in der Europäischen Union betreffen.

Ein Beispiel: Praktisch würde das unter anderem bedeuten, dass ein deutscher Patient mit seiner elektronischen Gesundheitskarte ein Rezept in einer spanischen Apotheke einlösen könnte. Kommen soll das nach aktueller Planung bereits im Jahr 2027.

Aktueller Stand der Cybersicherheit in Krankenhäusern

In vielen deutschen Krankenhäusern wurden in den vergangenen Jahren Sicherheitsmaßnahmen ausgebaut. Als Beispiele sind hier etwa eine bessere Netzsegmentierung, die Multifaktor-Authentifizierung und zentrale Sicherheitsüberwachungen zu nennen. Dennoch berichten Fachleute, dass die Angriffe schneller komplexer werden, als Strukturen und Prozesse in den Einrichtungen nachziehen können.

Wie so oft findet ein technischer Wettlauf zwischen Hackern und IT-Sicherheitsexperten statt. Damit steht Deutschland nicht allein da. Analysen zeigen, dass die Umsetzung der Cybersicherheit in vielen europäischen Ländern langsamer vorankommt als geplant.

Viele Angriffe im Gesundheitssektor

Daten der Europäischen Union belegen: Im Jahr 2023 wurden insgesamt 309 schwerwiegende Cybersicherheitsvorfälle im Gesundheitswesen registriert. Das sind mehr als in jedem anderen kritischen Sektor.

Ein großer Teil dieser Vorfälle war wohl auf Ransomware zurückzuführen. Dahinter stecken meist finanzielle Motive der Angreifer. Anders gesagt: Sie greifen auf Daten zu oder sperren deren Zugang und versuchen, von der Einrichtung Geld zu erpressen, damit die Daten wieder freigegeben oder nicht veröffentlicht werden.

Die Gefahr ist also real, aber viele Krankenhäuser haben Schwierigkeiten, die organisatorischen und technischen Anforderungen aus der NIS2-Richtlinie, dem Cyber Resilience Act und den nationalen Gesetzen vollständig umzusetzen. Genau deshalb will die EU mit einem europaweiten Zentrum für Cybersicherheit die Gesundheitsbranche unterstützen.

Warum die Umsetzung der Cybersicherheit in der Gesundheitsbranche stockt

Die wichtigsten Gründe für die schleppende Umsetzung sind schnell genannt: begrenzte finanzielle Mittel, Fachkräftemangel in der Informationstechnologie und eine insgesamt komplexe Regulierungslandschaft. Viele Gesundheitseinrichtungen kämpfen mit heterogenen älteren Systemen, deren Modernisierung mit erheblichen Investitionen verbunden ist. Gleichzeitig müssen sie den laufenden Betrieb ohne längere Ausfälle sicherstellen.

Hinzu kommt, dass Cybersicherheit in Krankenhäusern häufig mit anderen relevanten und dringlichen Themen konkurriert – etwa dem Personalmangel in der Pflege oder dem Druck, wirtschaftlich zu arbeiten. Dadurch fehlt es oft an Zeit und Aufmerksamkeit, um Sicherheitsstrategien konsequent zu planen, zu priorisieren und in der gesamten Organisation zu verankern.

Gerade kleinere Häuser und Rehabilitationseinrichtungen verfügen zudem oft nicht über genügend eigene Expertinnen und Experten für Cybersicherheit und greifen verstärkt auf externe Dienstleister oder gemeinsame Sicherheitszentren zurück. Aber auch deren Kapazitäten sind begrenzt.

Digitalisierung im Eiltempo

Im deutschen Gesundheitswesen ist das Spannungsfeld zwischen ambitionierter Digitalisierung und wachsenden Cyberrisiken derzeit entsprechend groß. Jedes Jahr kommen neue Möglichkeiten hinzu, meist verbunden mit einer gesetzlichen Verpflichtung, diese auch zu nutzen.

Elektronische Patientenakten, elektronische Rezepte, elektronische Arbeitsunfähigkeitsbescheinigung, die sichere Kommunikation im Medizinwesen (KIM) – alles baut auf die Telematikinfrastruktur (TI) auf. Diese Vernetzung bietet spürbare Vorteile für Patientinnen und Patienten, Ärztinnen und Ärzte sowie die Verwaltung. Vorgänge werden beschleunigt, der organisatorische Aufwand für die Beschäftigten sinkt, unnötige Doppeluntersuchungen werden vermieden. Die wachsende Angriffsfläche für Hacker ist die Kehrseite der Medaille.

Hilfestellung vom BSI für mehr Cybersicherheit in Krankenhäusern

Eine wachsende Rolle spielt auch die sichere Nutzung von Cloud-Diensten, etwa für Bilddaten, Laborinformationen oder Krankenhausinformationssysteme. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, hat mit dem aktualisierten Cloud Computing Compliance Criteria Catalogue einen Kriterienkatalog vorgelegt, der Anforderungen an sichere Cloud-Angebote konkretisiert und Krankenhäusern Orientierung bei der Auswahl geben soll.

Denn das BSI hat auch eine Broschüre zur Cybersicherheit im Gesundheitswesen veröffentlicht, die ein detailliertes Lagebild der Bedrohungen und Entwicklungen zeichnet. Demnach entwickelt sich das generelle Niveau der Informationssicherheit im digitalen Gesundheitswesen zwar grundsätzlich gut, doch die Gefährdungslage hat deutlich zugenommen. Dieser Situation muss sich die Gesundheitsbranche entgegenstellen.