In Krankenhäusern, Fachkliniken und vernetzten Gesundheitseinrichtungen ist Cybersicherheit keine abstrakte IT-Disziplin, sondern eine unmittelbare Grundvoraussetzung für die Patientensicherheit. Wenn lebenserhaltende Überwachungssysteme, Notaufnahmen oder bildgebende Diagnostik durch Cyberangriffe ausfallen, drohen Behandlungsverzögerungen, irreversible gesundheitliche Schäden und Gefahren für Menschenleben.
Besondere Herausforderungen in der klinischen IT und Medizintechnik (IoMT)
Das Krankenhausumfeld weist im Vergleich zu klassischen Unternehmensumgebungen strukturelle Besonderheiten auf, die spezifische Sicherheitskonzepte erfordern:
Lange Lebenszyklen und das Validierungsdilemma
Medizinische Großgeräte (z. B. MRT, CT, Dialyseeinheiten, Infusionspumpen) bleiben häufig 10 bis 15 Jahre im Einsatz. Anhang I Nr. 17.2 der europäischen Medizinprodukte-Verordnung (MDR) formuliert grundlegende Anforderungen an Softwareentwicklung, Lebenszyklus, Risikomanagement einschließlich Informationssicherheit sowie Verifikation und Validierung. In der klinischen Praxis führt dies jedoch zu einem Validierungs- und Freigabedilemma: Zwar begründet eine CE-Kennzeichnung kein allgemeines Patch-Verbot für Betreiber, doch erfordert jede Systemänderung ein risikobasiertes Änderungsmanagement, um herstellerseitige Freigaben und Gewährleistungen nicht zu gefährden. Die europäische MDCG-Leitlinie (MDCG 2019-16) fordert hierbei ausdrücklich zeitgerechte Sicherheitsaktualisierungen auch im klinischen Betriebsumfeld, was in der Praxis eine enge Abstimmung zwischen Medizintechnik, Klinik-IT und Geräteherstellern verlangt.
Heterogene Netze und privilegierte Fernwartung
Dutzende spezialisierte Medizintechnik-Hersteller fordern dauerhafte Zugänge für Wartung, Kalibrierung und Software-Pflege. Ohne zentral gesicherte Gateways und lückenlose Sitzungsprotokollierung entstehen unkontrollierte Pfade, über die sich Angreifer seitwärts (Lateral Movement) in klinische Kernnetze bewegen können.
Normative Leitplanken: IEC 80001-1, ISO 81001-1 und ISO 27799
Die Etablierung eines funktionierenden Informationssicherheits-Managementsystems im Gesundheitssektor stützt sich auf anerkannte internationale Standards:
- IEC 80001-1:2021: Die aktuelle Fassung („Safety, effectiveness and security in the implementation and use of connected medical devices or connected health software – Part 1: Application of risk management“) regelt die gemeinsame Verantwortung von Klinikleitung, IT und Medizintechnik. Ziel ist das koordinierte Risikomanagement der drei zentralen Schutzziele: Patientensicherheit (Safety), klinische Wirksamkeit (Effectiveness) sowie Daten- und Systemsicherheit (Security).
- ISO 81001-1:2021: Dient als übergeordneter Rahmenstandard für die Schutzziele Safety, Effectiveness und Security im gesamten Lebenszyklus vernetzter Gesundheitssoftware und Gesundheitstechnologie.
- ISO 27799:2016: Der etablierte branchenspezifische Leitfaden zur praktischen Anwendung der ISO/IEC 27002 im Gesundheitswesen, maßgeschneidert auf das Informationssicherheitsmanagement bei der Verarbeitung sensibler Patientendaten gemäß Art. 9 DSGVO und unterbrechungsfreie klinische Abläufe.
- NISG 2026 (BGBl. I Nr. 94/2025): Das Gesundheitswesen ist als Sektor mit hoher Kritizität (Anhang I) eingestuft. Große Krankenhausträger (mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Mio. € bei einer Bilanzsumme von über 43 Mio. €) gelten als wesentliche Einrichtungen. Mittelgroße Träger (ab 50 Mitarbeitern oder Erreichen beider Finanzschwellen von 10 Mio. €) gelten grundsätzlich als wichtige Einrichtungen – vorbehaltlich behördlicher Einstufungen als kritische Einrichtung oder Zurechnungen bei Konzernverflechtungen.
- Gesundheitstelematikgesetz 2012 (GTelG 2012): Im Zuge des NISG-2026-Gesetzespakets (BGBl. I Nr. 94/2025) wurde das GTelG 2012 umfassend angepasst: Es verankert die gesetzlichen Aufgaben und sektorspezifischen Meldewege des Austrian HealthCERT für Gesundheitseinrichtungen sowie die Einrichtung des Cybersicherheitsausschusses eHealth.
- Bundesgesetz zur Sicherstellung eines hohen Resilienzniveaus von kritischen Einrichtungen (Resilienz kritischer Einrichtungen-Gesetz – RKEG, BGBl. I Nr. 60/2025): Zur Umsetzung der europäischen CER-Richtlinie (EU) 2022/2557 regelt das RKEG seit dem 1. März 2026 die physische Resilienz kritischer Versorgungsträger. Die zugehörige Durchführungsverordnung (RKEV, BGBl. II Nr. 91/2026) gilt seit dem 15. April 2026.
Architektonische Schutzkonzepte für klinische Umgebungen
| Sicherheitsbaustein | Zielsetzung & Konzeption |
|---|---|
| Konsequente Mikrosegmentierung | Strikte logische und physische Trennung von Medizintechnik-Netzen, Krankenhausinformationssystemen (KIS), Labornetzen und dem öffentlichen Patienten-WLAN zur Verhinderung von Schadsoftware-Ausbreitungen. |
| Secure Vendor Access Gateways | Zentrale Bereitstellung isolierter Sprungserver (Jump Hosts) mit Multi-Faktor-Authentifizierung (MFA), zeitlich begrenzten Berechtigungen und revisionssicherer Session-Protokollierung für externe Medizintechnik-Dienstleister. |
| Forensic Readiness & Notfallbetrieb | Etablierung klar definierter analoger Rückfallebenen (z. B. autarke Notfallarbeitsplätze und Notfall-Papierprozesse) zur unterbrechungsfreien Sicherstellung der Patientenversorgung bei akutem IT-Stillstand. |
Schutzkonzepte für Gesundheitseinrichtungen stärken
Authenta unterstützt Krankenhausträger, Klinikvorstände und IT-Leitungen bei der Konzeption und Auditierung normkonformer Sicherheitsarchitekturen – partnerschaftlich abgestimmt auf die Schnittstellen zwischen IT-Betrieb, Medizintechnik und Klinikmanagement.