- Von Doreen Witt
Cybersicherheit Krankenhaus: Wie sich KRITIS-Häuser 2026 vor Cyberangriffen schützen können
Ein unbedachter Klick auf einen E-Mail-Anhang, und schon ist es passiert: Ransomware von Cyberkriminellen installiert sich auf dem Krankenhaus-Server und legt schlimmstenfalls den kompletten Krankenhausbetrieb lahm. Eine medizinische und wirtschaftliche Katastrophe, vor der die Bundesregierung insbesondere KRITIS-Häuser eindringlich warnt. Seit 2025/2026 sind die Pflichten für Maßnahmen zur Cybersicherheit klar für alle medizinischen Einrichtungen in einem gesetzlichen Rahmen verankert: Mit dem NIS-2-Umsetzungsgesetz und dem KRITIS-Dachgesetz gelten für nahezu jedes Krankenhaus in Deutschland heute konkrete, einklagbare Pflichten. Welche das sind, wie gefährdet Krankenhäuser tatsächlich sind und was viele Einrichtungen noch immer vergessen: Die wichtigsten Fragen und Antworten im Überblick.
Wie gefährlich ist Ransomware für KRITIS-Häuser?
Der aktuelle BSI-Lagebericht 2025 (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025) bestätigt: Ransomware bleibt eine der größten Bedrohungen für Unternehmen und Institutionen in Deutschland. Das Bundeskriminalamt registrierte im Berichtszeitraum 950 angezeigte Ransomware-Angriffe – eine im Vergleich zum Vorjahr weitgehend unveränderte, aber weiterhin hohe Zahl. Besonders auffällig: 80 Prozent der angezeigten Angriffe trafen kleine und mittlere Unternehmen und Institutionen. Unabhängig von der Einrichtungsgröße suchen Cyberkriminelle sich vor allem Ziele, die ihre Angriffsflächen nur schwach abgesichert haben.
Die Folgen für die Patientensicherheit sind immens, ganz abgesehen vom unmittelbaren wirtschaftlichen Schaden sowie langfristigen finanziellen Einbußen durch den Vertrauens- und Imageverlust.
Wie real diese Bedrohung ist, zeigt zum Beispiel die gegenwärtige Berichterstattung: Die ARD dokumentiert in einem Tagesschau-Beitrag die Folgen, die der aktuelle Cyberangriff auf den Abrechnungsdienstleister Unimed, genutzt von vielen deutschen Kliniken, für den laufenden Betrieb und die Versorgung von Patientinnen und Patienten haben kann.
Welche Kosten verursacht ein Ransomware-Angriff?
Pauschal lässt sich das nicht beantworten. Die rein finanziellen Kosten können jedoch schnell in die Millionen gehen. Zwei Beispiele:
- Der erste publik gewordene Angriff auf ein Krankenhaus hat innerhalb von fünf Tagen rund eine Million Euro Schaden verursacht, pro Tag also 200.000 Euro. Das war 2016 und das betroffene Lukas-Krankenhaus in Neuss ist vergleichsweise klein. Die Zahl nannte der Geschäftsführer 2019 in einem Interview. Umgerechnet auf die 537 Betten des Krankenhauses entspricht das einem Schaden von rund 372 Euro pro Bett und Tag.
- Einer der branchenweit bekanntesten Angriffe auf die Uniklinik Frankfurt hat laut Frankfurter Allgemeiner Zeitung (Bezahlinhalt) „Millionen“ Euro gekostet.
Was ist Ransomware?
Ransomware ist eine von Cyberkriminellen entwickelte Schadsoftware. Sie installiert sich zum Beispiel durch den unbedachten Klick auf E-Mail-Anhänge selbst im System. Ziel der Kriminellen ist es meistens, Daten zu verschlüsseln und dann vom infizierten Unternehmen Lösegeld (englisch: ransom) für die Entschlüsselung zu erpressen.
Welche Krankenhäuser sind per Gesetz zur Cybersicherheit verpflichtet?
Diese Frage lässt sich seit Dezember 2025 klar beantworten – auch wenn drei parallele Regelwerke zu beachten sind. Im Kern gilt: Es gibt praktisch kein Krankenhaus in Deutschland mehr ohne gesetzliche IT-Sicherheitspflicht. Nur der Umfang der Pflichten unterscheidet sich.
Stufe 1 – Betreiber kritischer Anlagen (KRITIS)
Unverändert gilt: Krankenhäuser mit mindestens 30.000 vollstationären Fällen pro Jahr gelten nach § 6 BSI-KritisV als Betreiber kritischer Anlagen. In Deutschland betrifft das rund 150 größere Krankenhäuser. Sie unterliegen automatisch auch den strengeren Pflichten für „besonders wichtige Einrichtungen” nach dem neuen BSI-Gesetz sowie zusätzlich dem KRITIS-Dachgesetz (siehe unten).
Stufe 2 – Wichtige und besonders wichtige Einrichtungen nach NIS-2
Mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist, müssen betroffene medizinische Einrichtungen neue Anforderungen ohne Übergangsfrist erfüllen und der Kreis der regulierten Einrichtungen hat sich mit NIS-2 deutlich vergrößert:
- Wichtige Einrichtung: ab 50 Mitarbeitenden oder mit mehr als 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme.
- Besonders wichtige Einrichtung: ab 250 Mitarbeitenden oder mit mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme.
Für die KRITIS-Krankenhäuser gelten weiterhin die strengsten Aufsichts- und Meldepflichten, unabhängig von den im NIS2UmsuCG genannten Schwellenwerten.
Damit sind nach Einschätzung des Bundesamts für Sicherheit und Informationstechnik bundes- und branchenweit rund 29.500 Einrichtungen betroffen – im Gesundheitssektor betrifft das Krankenhäuser, Radiologie-Netzwerke aber auch Hersteller von Medizinprodukten. Betroffene Einrichtungen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden und ein Bündel an Risikomanagementmaßnahmen (§ 30 BSIG) umsetzen – von Backup-Management über Lieferkettensicherheit bis zu Multi-Faktor-Authentifizierung. Die Geschäftsführung von Krankenhäusern und anderen Gesundheitseinrichtungen wird mit NIS-2 klar in die Pflicht genommen, die vorgegebenen Maßnahmen im Bereich Cybersecurity umzusetzen. Bei Nichterfüllung drohen erhebliche Geldstrafen.
BSI NIS-2: Wichtig für die Praxis
Die Registrierungsfrist beim BSI ist bereits abgelaufen (6. März 2026). Wer als betroffene Einrichtung noch nicht registriert ist, sollte das umgehend nachholen – die fehlende Registrierung ist nicht nur eine Formalie, sondern wird offenbar auch eigenständig sanktioniert, unabhängig von einem tatsächlichen Sicherheitsvorfall.
Stufe 3 – Alle Krankenhäuser, unabhängig von Größe
Unabhängig davon, ob eine Einrichtung als KRITIS- oder NIS-2-relevant eingestuft wird, müssen Krankenhäuser seit dem 1. Januar 2022 die eigenen IT-Sicherheitsanforderungen nach dem Patientendatenschutzgesetz (PDSG) § 391 SGB V (vormals § 75c) erfüllen: Jedes Krankenhaus in Deutschland ist verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zum Schutz seiner IT-Systeme zu treffen – ausgerichtet an der Funktionsfähigkeit des Hauses und dem Schutzbedarf der Patientendaten. Hierbei gilt es zur Einhaltung des Gesetzes die Anforderungen des branchenspezifischen Sicherheitsstandards „B3S Krankenhaus” umzusetzen.
Neu seit März 2026: das KRITIS-Dachgesetz
Am 17. März 2026 ist das KRITIS-Dachgesetz in Kraft getreten. Es regelt erstmals bundeseinheitlich die physische Resilienz kritischer Infrastrukturen – etwa den Zutrittsschutz, die Perimetersicherheit und das Notfall-/Krisenmanagement. Es ergänzt damit die bereits vorhandenen, strengen Pflichten zur Informationssicherheit. Betreiber kritischer Anlagen müssen sich hierfür beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zukünftig registrieren. Zurzeit besteht noch keine Registrierungspflicht. Für KRITIS-Krankenhäuser bedeutet das: Neben der digitalen Absicherung rückt jetzt auch der physische Schutz der Infrastruktur verbindlich in den Fokus.
← Tabelle scrollbar →
| Kategorie | Schwellenwert | Kernpflichten | Rechtsgrundlage | Zuständige Behörde |
|---|---|---|---|---|
| Betreiber kritischer Anlage (KRITIS) | ≥ 30.000 vollstationäre Fälle pro Jahr |
|
§ 56 Abs. 4 BSIG i. V. m. § 6 BSI-KritisV |
BSI
|
| Besonders wichtige Einrichtung | ≥ 250 Mitarbeitende oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme (KRITIS-Betreiber automatisch inbegriffen) |
|
§ 28 Abs. 1 BSIG |
BSI
|
| Wichtige Einrichtung | ≥ 50 Mitarbeitende oder > 10 Mio. € Umsatz bzw. Bilanzsumme |
|
§ 28 Abs. 2 BSIG |
BSI
|
| Jedes Krankenhaus, unabhängig von Größe | kein Schwellenwert |
|
§ 391 SGB V (vormals § 75c) |
–
|
| Physische Resilienz (zusätzlich für KRITIS-Betreiber) | wie KRITIS-Schwelle |
|
KRITIS-Dachgesetz |
BBK
|
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Ob und in welchem Umfang die genannten Regelungen auf Ihre Einrichtung zutreffen, sollten Sie mit einer auf IT- und Gesundheitsrecht spezialisierten Kanzlei oder über die offizielle Betroffenheitsprüfung des BSI klären.
Warum ist der 24/7-Zugang zu Daten für KRITIS-Krankenhäuser so wichtig?
Die schnelle Diagnostik, insbesondere in der Notfallaufnahme von KRITIS-Häusern, ist ohne Daten kaum möglich.
Können die Mediziner nicht auf Patientenakten, Röntgenbilder und Co. zugreifen, gefährdet das Menschenleben. Das Gleiche gilt für Operationen und alle Situationen, in denen Ärzte und medizinisches Personal unter Zeitdruck Entscheidungen treffen müssen.
Welche Systeme sind gefährdet?
Prinzipiell ist jedes IT-System gefährdet, ob in der Verwaltung oder der Medizintechnik. Die Deutsche Krankenhausgesellschaft definiert jedoch diverse Systeme als Teil der kritischen Infrastruktur.
Neben dem Krankenhausinformationssystem (KIS) zählt dazu explizit auch das Picture Archive and Communication System, kurz PACS, welches dem Betrachten und Befunden von Röntgen-, CT-, MRT-Bildern und Co dient.
Aufgrund der großen Datenmengen und der hohen Sensibilität der dort verarbeiteten und archivierten Daten sind PACS-Systeme ein attraktives Ziel für Attacken und Verschlüsselungen.
Warum sind von Ransomware verschlüsselte Bilddaten sicherheitsrelevant?
In ihrem umfassenden Papier zu den branchenspezifischen Sicherheitsstandards weist die Deutsche Krankenhausgesellschaft explizit darauf hin, dass der Zugang zu Bilddaten für die Patientensicherheit von gravierender Bedeutung ist insbesondere in zeitkritischen Situationen wie Operationen.
Auch die Integrität der Daten ist eminent. Durch einen Ransomware-Angriff könnten beispielsweise Bilder anderen Patienten zugewiesen werden.
Warum ist ausgerechnet das PACS in Krankenhäusern verwundbar für Cyberattacken?
Der Austausch der Bilddaten läuft in der Regel über die DICOM-Schnittstelle. Diese ist als Kommunikationsstandard zwar bewährt, weißt jedoch unter dem Aspekt der Cyber Security eklatante Mängel auf.
Denn im Normalfall werden vom PACS weder die Kommunikation, noch die gespeicherten Daten verschlüsselt. Auch ist vielen Fällen kein modernes Nutzer- und Rollenmanagement vorhanden, das missbräuchlichen Zugriffen vorbeugt.
Sind Bilddaten darüber hinaus nicht redundant – zum Beispiel in einem gesonderten Archiv gespeichert – erhöht sich das Risiko weiter.
Wie können sich Krankenhäuser vor Cyberattacken schützen?
Die schlechte Nachricht: Selbst bei der Einhaltung aller Best Practices zur „Cyber-Hygiene“ gibt es keinen 100-prozentigen Schutz. Zu diesen Best Practices zählen beispielsweise die Nutzung starker Passwörter, Maßnahmen für den physischer Zugriffsschutz, ein Security Information & Event Management (SIEM) und ein Security Operation Center (SOC).
Die gute Nachricht: Alle medizinischen Einrichtungen können dennoch die wirtschaftlichen und menschlichen Auswirkungen eines Ransomware-Angriffs deutlich minimieren, indem sie betriebsrelevante Daten wie beispielsweise ihre Bilddaten mehrfach, georedundant und vor allem auch im Falle eines Cyberangriffs sofort verfügbar sichern. Solche Business Continuity Management (BCM) Konzepte gehen weit über eine einfache Backup-Kopie hinaus.
Wie sieht ein schlüssiges Notfallkonzept aus?
Als Experten für ein sicheres Bilddatenmanagement im Krankenhaussektor empfehlen wir insbesondere KRITIS-Häusern ein umfassendes Notfallkonzept für Bilddaten für den Fall eines erfolgreichen Cyberangriffs.
Die wichtigsten Punkte haben wir in einer Checkliste für Sie zusammengefasst:
- Unabhängiges Bilddaten-Archiv, das im Ernstfall binnen Minuten den Zugriff auf die parallel zum Normalbetrieb gesicherten Daten erlaubt – auch wenn das PACS oder KIS ausfallen.
- Georedundante Sicherung der Bilddaten außerhalb des Krankenhauses. Georedundant bedeutet, dass die Daten auf Servern in unterschiedlichen Regionen in Deutschland liegen. So sind die Daten auch dann abrufbar, wenn in einer Region beispielsweise im Umkreis eines Krankenhauses der Strom ausfällt oder es zu einer Naturkatastrophe kommt.
- Verschlüsselte Datenkommunikation und -speicherung im Einklang mit dem Datenschutz und der DSGVO.
- Zugriff auf die Bilddaten über einen Cloud-PACS in Kombination mit mobilen Daten-Hotspots sichern einen schnell hochfahrbaren Notfallbetrieb.
- Funktionierendes Bilddatenmanagement in Krisensituationen – selbst wenn das Krankenhaus-Netzwerk, wichtige Applikationen oder die gesamte IT-Infrastruktur ausfallen.
Diese Punkte decken sich in weiten Teilen mit den Mindestanforderungen, die der branchenspezifische Sicherheitsstandard B3S Krankenhaus an ein funktionierendes Business Continuity Management stellt.
Fazit: Ausfallsicherheit als strategischer Vorteil
Cybersicherheit ist längst keine rein technische Disziplin mehr, sondern eine Management-Aufgabe, die aktiv gesteuert werden muss. Kliniken müssen jetzt handeln, um den gesetzlichen Anforderungen nachzukommen und die Patientenversorgung jederzeit abzusichern.
Mit NIS2UmsuCG, KRITIS-Dachgesetz und § 391 SGB V ist der gesetzliche Rahmen heute so konkret wie nie – und er wird sich in den kommenden Jahren voraussichtlich weiter verschärfen. Kliniken, die ihre Bilddatenarchitektur schon jetzt resilient aufstellen, schaffen damit nicht nur regulatorische Sicherheit, sondern einen echten Vorsprung bei der Versorgungsqualität im Ernstfall.
Moderne Cloud-Archive bieten dafür ein starkes Fundament, reduzieren den lokalen IT-Aufwand und schließen riskante Sicherheitslücken im Bildmanagement effektiv.
Welche Fragen sich für die eigene Einrichtung konkret stellen, besprechen wir gerne in einem persönlichen Austausch – kontaktieren Sie uns gerne.
Weitere Beiträge, die sie interessieren könnten.
NIS-2 im Krankenhaus: Ausfall- & Cybersicherheit verbessern
Wie können Kliniken die Datensicherheit stärken und sich vor Cyberattacken schützen? Durch die NIS-2-Regelung müssen sich damit jetzt auch kleine und mittlere Krankenhäuser befassen.
KHVVG-Förderung: Die richtige Cloud-PACS-Strategie für jede Klinikgröße
Die nächste Digitalisierungswelle durch das KHVVG steht an. Ein Cloud-PACS ist dabei Ihr Schlüssel für IT-Sicherheit (NIS-2) und Vernetzung. Erfahren Sie, wie Sie die Fördertatbestände je Versorgungsstufe optimal nutzen.
Souveräne Cloud im Krankenhaus
Die Forderung nach souveränen Cloud-Lösungen wächst. Doch was ist eine Souveräne Cloud und was bedeutet das für den Einsatz von Cloud-Software im Krankenhaus? Erfahren Sie hier mehr.