Sabine Kuch im Gespräch mit Lutz Wiechmann, Senior Sales Engineer Healthcare bei Enginsight
Cyberangriffe auf Krankenhäuser sind längst keine Seltenheit mehr. Gleichzeitig steigen die gesetzlichen Anforderungen durch NIS2 und neue Vorgaben zur Angriffserkennung. Im Gespräch erläutert Lutz Wiechmann, warum Kliniken Angriffe früher erkennen müssen, welche Rolle die Krankenhausleitung dabei spielt und welche Maßnahmen heute als Stand der Technik gelten.
Sabine Kuch: Herr Wiechmann, Anfang 2026 musste die Kreisklinik Roth nach einem Cyberangriff zeitweise ihre Notaufnahme abmelden. Warum geraten Krankenhäuser zunehmend ins Visier von Cyberkriminellen?
Krankenhäuser gehören heute zu den am stärksten digitalisierten Bereichen der kritischen Infrastruktur. Patientenakten, Radiologiesysteme, Laboranwendungen, Medizintechnik und Verwaltungsprozesse sind eng miteinander vernetzt. Das erhöht die Effizienz, schafft aber gleichzeitig zahlreiche potenzielle Angriffspunkte.
Viele Kliniken arbeiten zudem mit IT-Landschaften, die über Jahre gewachsen sind. Moderne Anwendungen laufen neben älteren Medizingeräten, für die häufig keine Sicherheitsupdates mehr verfügbar sind. Genau diese Komplexität nutzen Angreifer aus.
Ein Cyberangriff ist deshalb längst kein reines IT-Problem mehr. Er kann unmittelbar Auswirkungen auf die Patientenversorgung haben.
Sabine Kuch: Viele Menschen denken bei Cyberangriffen zuerst an gestohlene Daten. Was passiert tatsächlich im Krankenhausalltag, wenn Systeme ausfallen?
Das erste Problem ist häufig nicht der Datenverlust, sondern die fehlende Verfügbarkeit von Informationen.
Wenn Ärzte nicht mehr auf digitale Patientenakten zugreifen können, fehlen Befunde, Medikationsdaten oder Bildaufnahmen aus der Radiologie. Dann müssen Mitarbeiter auf Papierprozesse umstellen. Untersuchungen verzögern sich, Operationen werden verschoben und Krankenhäuser können zeitweise keine neuen Patienten aufnehmen.
Ein prominentes Beispiel ist der Angriff auf den Londoner Labordienstleister Synnovis am 4. Juni 2024. Die Folgen waren gravierend: Mehr als 10.000 ambulante Termine und über 1.700 geplante Eingriffe mussten verschoben werden. Ein Jahr später bestätigte das King’s College Hospital, dass die infolge des Angriffs verzögerte Bereitstellung eines Blutergebnisses zu den Faktoren gehörte, die zum Tod eines Patienten beigetragen haben.
Sabine Kuch: Wie gelingt es Angreifern eigentlich, in Krankenhausnetzwerke einzudringen?
Überraschenderweise häufig über bekannte Schwachstellen oder gestohlene Zugangsdaten.
Ein typisches Szenario beginnt mit einem kompromittierten Fernzugang. Das können beispielsweise VPN-Zugänge oder Wartungsverbindungen für externe Dienstleister sein. Hat ein Angreifer einmal Zugriff, bewegt er sich schrittweise durch das Netzwerk und versucht, immer höhere Berechtigungen zu erhalten.
Ziel ist häufig das sogenannte Active Directory. Dabei handelt es sich um das zentrale Benutzer- und Berechtigungssystem einer Organisation. Dort wird verwaltet, welche Mitarbeiter auf welche Anwendungen, Server und Daten zugreifen dürfen. Wer die Kontrolle über das Active Directory erlangt, kann häufig große Teile der IT-Infrastruktur übernehmen. Deshalb steht es bei vielen Angriffen im Mittelpunkt.
Sabine Kuch: Sie sagen, die eigentliche Gefahr beginnt lange vor der Verschlüsselung. Was meinen Sie damit?
Die Verschlüsselung ist lediglich die letzte Phase eines Angriffs und häufig der Moment, an dem Krankenhäuser den Vorfall überhaupt bemerken.
Tatsächlich bewegen sich Angreifer oft über Tage oder Wochen unentdeckt im Netzwerk. Sie analysieren die IT-Landschaft, sammeln Zugangsdaten, erweitern ihre Berechtigungen und suchen nach kritischen Systemen. Dabei hinterlassen sie zahlreiche digitale Spuren.
Wer diese Warnsignale frühzeitig erkennt, kann einen Angriff stoppen, bevor Patientenakten verschlüsselt oder Daten entwendet werden. Genau dieses Zeitfenster wird als „Erkennungsfenster“ bezeichnet.
Sabine Kuch: Warum entdecken viele Krankenhäuser solche Aktivitäten nicht früher?
Weil zwischen Prävention und Angriffserkennung ein großer Unterschied besteht.
Viele Kliniken verfügen über Firewalls und Virenschutzlösungen. Diese Technologien sind wichtig, zeigen aber in erster Linie, was an den Außengrenzen des Netzwerks passiert. Was innerhalb des Krankenhauses geschieht, bleibt häufig verborgen.
Dafür benötigt man unter anderem sogenannte Log-Analysen. Logs sind digitale Protokolle, die von Servern, Anwendungen, Netzwerkgeräten oder Medizinsystemen automatisch erstellt werden. Sie dokumentieren beispielsweise Anmeldungen, Systemänderungen oder Netzwerkverbindungen.
Werden diese Protokolle zentral ausgewertet, lassen sich ungewöhnliche Aktivitäten erkennen. Zum Beispiel wenn sich ein Benutzerkonto nachts auf mehreren Servern anmeldet, ein Dienst plötzlich Administratorrechte erhält oder ungewöhnlich große Datenmengen übertragen werden. Solche Ereignisse können frühe Hinweise auf einen laufenden Cyberangriff sein.
Sabine Kuch: Welche neuen gesetzlichen Anforderungen kommen auf Krankenhäuser zu?
Viele Krankenhausleitungen unterschätzen die Tragweite der neuen Regelungen. Mit der NIS2-Richtlinie (Network and Information Security Directive 2) sowie dem BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) steigen die Anforderungen an das Risikomanagement und die Cyberresilienz deutlich. Krankenhäuser müssen Risiken systematisch bewerten, Sicherheitsvorfälle innerhalb definierter Fristen melden und ihre Schutzmaßnahmen regelmäßig überprüfen.
Besonders wichtig: Cybersicherheit ist nicht länger ausschließlich Aufgabe der IT-Abteilung. Die Geschäftsführung trägt zunehmend Verantwortung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen.
Sabine Kuch: Was gilt heute als „Stand der Technik“?
Die Antwort auf diese Frage hat sich in den vergangenen Jahren deutlich verändert.
Früher standen Firewalls, Antivirenprogramme und regelmäßige Updates im Mittelpunkt. Heute reicht das nicht mehr aus. Aus Sicht von Enginsight gehören fünf zentrale Bausteine zum Stand der Technik: Transparenz über alle Systeme im Netzwerk, kontinuierliches Schwachstellenmanagement, Angriffserkennung, klar definierte Reaktionsprozesse und regelmäßige Notfallübungen.
Besonders die Angriffserkennung gewinnt an Bedeutung. Schließlich kann eine Firewall nicht unterscheiden, ob eine Anmeldung mit gültigen Zugangsdaten von einem Mitarbeiter oder einem Angreifer stammt.
Sabine Kuch: Was überrascht Krankenhausleitungen am meisten, wenn sie sich erstmals intensiver mit Cybersecurity beschäftigen?
Viele Verantwortliche sind überrascht, wie wenig Transparenz über die eigene IT-Landschaft tatsächlich vorhanden ist.
In nahezu jeder Klinik finden sich Systeme, die zwar noch genutzt werden, aber nicht mehr aktiv betreut werden. Das können ältere Laborgeräte, Infusionspumpen, Gebäudetechnik oder Fernwartungszugänge von Dienstleistern sein. Häufig weiß niemand mehr genau, welche Systeme miteinander verbunden sind oder wer darauf zugreifen kann.
Aus Sicht von Angreifern sind genau solche Bereiche besonders interessant. Deshalb beginnt jede Sicherheitsstrategie mit einer einfachen Frage: Kennen wir überhaupt alle Geräte in unserem Netzwerk?
Sabine Kuch: Viele Krankenhäuser verfügen nur über kleine IT-Teams. Wie können sie dennoch rund um die Uhr geschützt sein?
Das ist eine der größten Herausforderungen im Gesundheitswesen.
Angriffe beginnen häufig nachts, am Wochenende oder an Feiertagen. Gleichzeitig verfügen viele Krankenhäuser nur über kleine IT-Abteilungen, die keinen 24-Stunden-Betrieb leisten können.
Deshalb setzen immer mehr Einrichtungen auf Managed Detection and Response (MDR). Dabei überwacht ein externes Cyber Defence Center die Sicherheitsumgebung rund um die Uhr. Sicherheitsexperten analysieren eingehende Warnmeldungen, bewerten deren Relevanz und leiten bei Bedarf sofort Gegenmaßnahmen ein.
Vereinfacht gesagt funktioniert MDR wie eine rund um die Uhr besetzte Sicherheitsleitstelle. Erkennt die Technik beispielsweise verdächtige Anmeldeversuche oder Hinweise auf eine Ransomware-Aktivität, prüfen Analysten den Vorfall unmittelbar. Bestätigt sich der Verdacht, können betroffene Systeme isoliert, Verbindungen unterbrochen oder weitere Schutzmaßnahmen eingeleitet werden, noch bevor der Krankenhausbetrieb beeinträchtigt wird.
Für viele Kliniken ist dies wirtschaftlicher und realistischer als der Aufbau eines eigenen Security Operations Centers mit Schichtbetrieb.
Sabine Kuch: Welche typische Schwachstelle begegnet Ihnen in Krankenhäusern besonders häufig?
Ein Klassiker sind Fernwartungszugänge.
Viele Medizingeräte werden durch Hersteller oder externe Dienstleister aus der Ferne gewartet. Solche Zugänge sind für den Betrieb oft unverzichtbar. Im Laufe der Jahre entstehen jedoch zahlreiche Verbindungen, die nicht immer vollständig dokumentiert werden.
Bei Sicherheitsprüfungen stellen wir regelmäßig fest, dass Kliniken keinen vollständigen Überblick über alle externen Zugänge haben. Genau deshalb ist ein aktuelles Inventar sämtlicher Systeme, Geräte und Verbindungen die Grundlage jeder Sicherheitsstrategie.
Sabine Kuch: Wenn Sie einer Krankenhausgeschäftsführung nur einen Rat geben dürften: Welcher wäre das?
Fragen Sie nicht zuerst, ob Sie gehackt werden können.
Fragen Sie stattdessen: Würden wir einen laufenden Angriff überhaupt bemerken?
Viele Krankenhäuser investieren erfolgreich in präventive Maßnahmen. Der entscheidende Erfolgsfaktor wird jedoch zunehmend die Geschwindigkeit von Erkennung und Reaktion. Wer Angriffe frühzeitig identifiziert, kann Ausfallzeiten reduzieren, Kosten begrenzen und vor allem die Patientenversorgung schützen. Cyberresilienz bedeutet heute nicht nur, Angriffe abzuwehren, sondern sie sichtbar zu machen, bevor sie den Klinikbetrieb zum Stillstand bringen.
