Datensicherheit im Gesundheitswesen: Leitfaden 2026

von | Mai 27, 2026 | Unkategorisiert

Ein IT-Experte überprüft die Sicherheitsprotokolle der Klinik, um mögliche Schwachstellen im System frühzeitig zu erkennen.

TL;DR:

  • Die Datensicherheit im Gesundheitswesen ist heute unverzichtbar und durch gesetzliche Vorgaben wie NIS-2 und § 393 SGB V stark verschärft worden. Kliniken, Praxen und Krankenhäuser müssen technische Maßnahmen wie Verschlüsselung, Netzwerksegmentierung und Dokumentation konsequent umsetzen, um Audits zu bestehen. Ein wirksames Informationssicherheits-Managementsystem (ISMS) bildet die Grundlage für eine nachhaltige Sicherheitsstrategie.
💡 Eigenen Befund vor dir und nicht sicher, was er bedeutet? Kostenfrei testen →

Die Datensicherheit im Gesundheitswesen ist längst keine optionale Zusatzaufgabe mehr. 138 sicherheitsrelevante Vorfälle zwischen Oktober 2024 und September 2025, davon 43 direkt in medizinischen Einrichtungen, zeigen: Krankenhäuser, Praxen und Kliniken sind bevorzugte Angriffsziele. Gleichzeitig verschärfen NIS-2, § 393 SGB V und neue Cloud-Compliance-Anforderungen den regulatorischen Druck erheblich. Dieser Artikel gibt Fach- und Führungskräften im Gesundheitswesen einen strukturierten Überblick über gesetzliche Pflichten, technische Schutzmaßnahmen und praxisnahe Umsetzungsstrategien.

Inhaltsverzeichnis

Wichtigste Erkenntnisse

Punkt Details
Regulatorischer Druck steigt NIS-2 und § 393 SGB V schaffen neue Pflichten mit persönlicher Haftung der Geschäftsführung.
Dokumentation entscheidet Technisch korrekte Umsetzung ohne schriftlichen Nachweis scheitert bei jedem Audit.
Drittanbieter als Risikofaktor Outsourcing entbindet nicht von Haftung; Lieferkettensicherheit muss aktiv geprüft werden.
Verschlüsselung ist Pflicht Ende-zu-Ende-Verschlüsselung und TLS sind keine Kür, sondern Mindeststandard gemäß DSGVO Art. 32.
ISMS als Fundament Ein solides Informationssicherheits-Managementsystem deckt rund 80 % der NIS-2-Anforderungen ab.

Gesetzliche Anforderungen für Datensicherheit im Gesundheitswesen

Das regulatorische Umfeld für Gesundheitsdaten hat sich in den letzten zwei Jahren grundlegend verändert. Entscheidungsträger, die noch mit dem Stand von 2022 arbeiten, sind bereits überholt.

DSGVO, § 393 SGB V und C5-Testat

Die Datenschutzgrundverordnung bildet die Basis. Artikel 32 DSGVO verpflichtet alle Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen, die dem Risiko für die Rechte und Freiheiten betroffener Personen angemessen sind. Im Gesundheitsbereich bedeutet das konkret: Pseudonymisierung, Verschlüsselung, Verfügbarkeit und Belastbarkeit der Systeme sowie regelmäßige Überprüfung.

Weitreichender ist die Regelung des § 393 SGB V: Seit 2026 dürfen Krankenhäuser Gesundheitsdaten in der Cloud ausschließlich bei Anbietern mit gültigem BSI C5-Testat nach ISAE 3000 Standard verarbeiten. Das trifft unmittelbar jeden Cloud-Einsatz im Klinikalltag. Nicht wenige Kliniken haben dabei festgestellt, dass ihre bestehenden Anbieter dieses Testat noch nicht besitzen.

Wichtig: ISO 27001 allein reicht nicht mehr. BSI IT-Grundschutz und C5:2026 setzen strengere Standards durch, inklusive Mandantentrennung, Datenlokalisierung und Transparenzpflichten. Wer für seine Cloud-Infrastruktur nur eine ISO-27001-Zertifizierung vorweist, erfüllt die deutschen gesetzlichen Anforderungen im Gesundheitswesen nicht.

NIS-2-Richtlinie und Haftung der Geschäftsführung

Die NIS-2-Richtlinie und das deutsche Umsetzungsgesetz haben die Spielregeln verändert. Rund 29.500 Einrichtungen sind betroffen, Bußgelder können bis in den Millionenbereich gehen. Entscheidend ist die persönliche Haftung der Geschäftsführung: Wer IT-Sicherheit an die IT-Abteilung delegiert und selbst keine Aufsicht ausübt, haftet persönlich.

Regulierung Geltungsbereich Kernpflicht
DSGVO Art. 32 Alle Einrichtungen Technische und organisatorische Maßnahmen (TOMs)
§ 393 SGB V Krankenhäuser mit Cloud-Einsatz BSI C5-testierter Cloud-Anbieter Pflicht
NIS-2 Kritische und wichtige Einrichtungen ISMS, Meldepflichten, Geschäftsführungshaftung
KBV-IT-Sicherheitsrichtlinie Arztpraxen 22 bis über 40 Pflichtmaßnahmen je nach Praxisgröße

Für Arztpraxen gilt dabei die KBV-IT-Sicherheitsrichtlinie. Die Pflichtmaßnahmenzahl variiert je nach Praxisgröße zwischen 22 und über 40 Maßnahmen. Hinzu kommen der Anschluss an die Telematikinfrastruktur sowie die Pflichten aus DSGVO Art. 32 für besondere Kategorien personenbezogener Daten.

Technische und organisatorische Schutzmaßnahmen

Wissen, was vorgeschrieben ist, reicht nicht. Entscheidend ist, was tatsächlich umgesetzt und dokumentiert wird.

Verschlüsselung und sichere Kommunikation

Der Schutz von Patientendaten beginnt mit Verschlüsselung auf allen Ebenen. Konkret bedeutet das:

  • Ende-zu-Ende-Verschlüsselung für Datenübertragungen zwischen Systemen und Einrichtungen
  • TLS 1.2 oder höher für alle webbasierten Anwendungen und APIs
  • Ruheverschlüsselung auf allen Datenträgern, inklusive Backup-Medien und mobilen Geräten
  • KIM statt Fax für die sichere ärztliche Kommunikation innerhalb der Telematikinfrastruktur

Gerade der Wechsel von Fax zu KIM (Kommunikation im Medizinwesen) wird von vielen Praxen noch unterschätzt. Unverschlüsselte Faxübertragungen sind unter DSGVO Art. 32 nicht mehr tolerierbar. Der Fax bleibt in vielen Einrichtungen aus Gewohnheit aktiv, nicht aus fachlichem Grund.

Zugriffsmanagement und Netzwerksegmentierung

Rollenbasierte Zugriffskontrollen (RBAC) stellen sicher, dass jeder Mitarbeiter nur die Daten sieht, die er für seine Tätigkeit benötigt. Ein Pflegekraft braucht keinen Zugriff auf Abrechnungsdaten. Ein Verwaltungsmitarbeiter braucht keine Laborbefunde. Diese Trennung klingt selbstverständlich und wird in der Praxis erschreckend selten konsequent umgesetzt.

Der Administrator steuert, welche Zugriffsrechte die Mitarbeiter erhalten.

Netzwerksegmentierung isoliert medizinische Geräte, Verwaltungsnetze und Internetzugänge voneinander. Fällt ein Segment aus oder wird kompromittiert, bleibt der Schaden begrenzt. Das Prinzip hat sich bei der Eindämmung von Ransomware-Ausbreitungen in Krankenhäusern vielfach bewährt.

Profi-Tipp: Führen Sie jährliche Penetrationstests für Ihre Netzwerkinfrastruktur durch und testen Sie explizit, ob medizinische Geräte über Seiteneinstiege erreichbar sind. Viele Sicherheitslücken entstehen genau dort.

Backup-Strategien und Lieferkettensicherheit

Eine Backup-Strategie ohne unveränderbares Sicherungskopie (immutable Backup) schützt nicht vor Ransomware. Angreifer verschlüsseln heute gezielt auch erreichbare Backups. Effektiver Schutz erfordert physisch oder logisch getrennte Sicherungen, die nachweislich nicht überschrieben werden können.

Bei der Lieferkettensicherheit gilt: Outsourcing entbindet nicht von der Haftung. Sicherheitslücken bei externen Dienstleistern gefährden unmittelbar die eigene Einrichtung. Vertragliche Vereinbarungen zur Auftragsdatenverarbeitung (AVV) sind Pflicht, reichen aber allein nicht. Regelmäßige Sicherheitsaudits der Dienstleister und vertragliche Rechte zur Prüfung sind keine Kür, sondern Notwendigkeit.

Praxisnahe Herausforderungen bei der Umsetzung

Theorie und Praxis klaffen im Gesundheitswesen nirgendwo so weit auseinander wie bei der IT-Sicherheit. Hier sind die häufigsten Stolperfallen.

Typische Umsetzungsprobleme im Klinikalltag

  1. Gewachsene IT-Landschaften: Kliniken betreiben oft Systeme, die vor 15 Jahren angeschafft und nie grundlegend modernisiert wurden. Die Integration moderner Sicherheitslösungen in diese Strukturen erfordert erheblichen zeitlichen Aufwand für Schnittstellenanpassungen, der realistisch eingeplant werden muss.

  2. Dokumentationsmängel bei Audits: Viele IT-Verantwortliche scheitern bei Audits nicht an mangelhafter Technik, sondern an fehlender Dokumentation. Die KBV-Richtlinie verlangt schriftliche Nachweisführung als Compliance-Bedingung. Was nicht dokumentiert ist, gilt vor dem Prüfer als nicht vorhanden.

  3. Drittanbieter-Risiken: Die Unimed-Datenpanne 2026 illustriert das Risiko exemplarisch: Hacker erbeuteten Gesundheitsdaten von über 100.000 Patienten über eine Schwachstelle bei einem Dienstleister. 30.000 Betroffene kamen allein aus der Uniklinik Köln. Die klinischen Versorgungssysteme selbst waren nicht betroffen. Das Angriffsziel war der externe Partner.

  4. Fehlende Mitarbeitersensibilisierung: Phishing-Angriffe treffen heute gezielt medizinisches Personal. Wer nicht regelmäßig geschult wird, fällt auf täuschend echte E-Mails herein. Sensibilisierung für Datenschutz im Medizinbereich muss als kontinuierlicher Prozess verstanden werden, nicht als einmalige Schulung.

  5. Zertifikatsmanagement: TI-Konnektoren und Cloud-Services erfordern aktives Zertifikatsmanagement. Abgelaufene Zertifikate führen zu Betriebsausfällen und Compliance-Lücken. In Praxen ohne dediziertes IT-Personal geht diese Pflicht regelmäßig unter.

Profi-Tipp: Richten Sie ein zentrales Register für alle Zertifikate, Audittermine und Dienstleisterverträge mit automatisierten Erinnerungen ein. Ein einfaches Spreadsheet mit monatlichem Review verhindert mehr Ausfälle als jedes teure Tool.

Ein weiterer blinder Fleck: Rechte und Schutz von Gesundheitsdaten werden von Patienten zunehmend eingefordert. Ein Bundesverwaltungsgerichtsurteil 2026 schränkte die Datenanalyse privater Krankenversicherer für Marketingzwecke ohne explizite Patienteneinwilligung stark ein. Die Erwartungshaltung der Patienten steigt. Wer nicht mithalten kann, verliert Vertrauen und riskiert rechtliche Konsequenzen.

Die durchschnittlichen Kosten eines Datenlecks im deutschen Gesundheitswesen lagen 2026 bei 4,9 Millionen Euro. Diese Zahl umfasst forensische Untersuchungen, Bußgelder, Verwaltungsaufwand und Reputationsschäden. Sie ist kein theoretischer Wert, sondern Realität für Einrichtungen, die Sicherheitsinvestitionen aufgeschoben haben.

Übersicht: Was kostet ein Datenverlust im Gesundheitssektor?

Zukunftstrends und strategische Empfehlungen

Der regulatorische und technologische Wandel beschleunigt sich. Wer heute nicht in strategische Sicherheitsplanung investiert, zahlt morgen den doppelten Preis.

Strategische Handlungsfelder für Entscheidungsträger

Ein solides Informationssicherheits-Managementsystem (ISMS) ist der wirksamste einzelne Schritt. 80 % der NIS-2-Anforderungen werden durch ein gut implementiertes ISMS abgedeckt, inklusive Vorfallbehandlung und strukturierter Schulungen. ISMS ist kein IT-Projekt. Es ist ein Managementsystem, das auf Vorstandsebene verankert sein muss.

Die wichtigsten strategischen Empfehlungen:

  • ISMS auf Führungsebene verankern: Datensicherheit muss als Vorstandsthema behandelt werden, nicht als operative IT-Frage. Die persönliche Haftung nach NIS-2 macht das zur rechtlichen Notwendigkeit.
  • Cloud-Compliance aktiv prüfen: Alle bestehenden Cloud-Verträge auf C5-Testat-Konformität überprüfen und Übergangsfristen für nicht konforme Anbieter einplanen.
  • Security by Design einführen: Neue Systeme und Prozesse werden von Anfang an mit Sicherheitsanforderungen entwickelt, nicht im Nachhinein abgesichert.
  • Lieferketten-Transparenz herstellen: Ein aktuelles Register aller Dienstleister mit Zugriff auf Patientendaten, deren Vertragsstatus und letztem Sicherheitsaudit gehört zur Pflichtdokumentation.
  • Resilienzstrategien testen: Business-Continuity-Pläne werden geschrieben, aber selten getestet. Ein simulierter Ransomware-Vorfall zeigt mehr als jede Risikoanalyse auf dem Papier.

Technologisch gewinnen Cloud-native Sicherheitslösungen mit eingebauter Compliance-Überwachung an Bedeutung. Künstliche Intelligenz zur Anomalieerkennung im Netzwerkverkehr kann Angriffe früher identifizieren als regelbasierte Systeme. Wer aktuelle Entwicklungen in der Gesundheits-IT verfolgt, erkennt: Die Angriffsmethoden entwickeln sich schneller als die Abwehrmechanismen vieler Einrichtungen.

Meine Einschätzung zur Datensicherheit im Gesundheitswesen

Ich erlebe in der Praxis immer wieder das gleiche Muster: Die technische Infrastruktur einer Einrichtung ist ordentlich aufgestellt, aber die Führungsebene hat keine klare Vorstellung davon, was im Ernstfall passiert. Datensicherheit wird als technisches Problem an die IT-Abteilung delegiert und dort bearbeitet. Bis zum nächsten Vorfall.

Was mich dabei besorgt, ist nicht die Böswilligkeit der Verantwortlichen. Es ist die strukturelle Unterschätzung. Datensicherheit ist keine Nebenbedingung der Patientenversorgung. Sie ist ein integraler Bestandteil davon. Ein Krankenhaus, das nach einem Angriff seine Systeme abschalten muss, kann keine Patienten versorgen. Das ist keine abstrakte Gefahr, das ist 2024 und 2025 in Deutschland mehrfach passiert.

Was ich für besonders kritisch halte: die Fehleinschätzung, dass Compliance Sicherheit bedeutet. Ein Haken bei der KBV-Richtlinie bedeutet nicht, dass eine Einrichtung sicher ist. Compliance ist die Mindestanforderung, nicht das Ziel. Wirkliche Resilienz entsteht durch eine Kultur, in der Sicherheitsvorfälle gemeldet, nicht verschwiegen werden, und in der Investitionen in Prävention als selbstverständlich gelten.

Mein konkreter Appell an Entscheidungsträger: Führen Sie einmal im Jahr eine realistische Übung durch, die simuliert, was passiert, wenn Ihre Kernsysteme für 48 Stunden ausfallen. Die Erkenntnisse daraus werden jeden Businessplan für IT-Sicherheitsinvestitionen neu schreiben.

— Christian

Patientendaten sicher verstehen mit Mein-arztbefund

Sichere Verarbeitung medizinischer Daten beginnt bei der Kommunikation mit dem Patienten. Mein-arztbefund nutzt verschlüsselte Übertragungskanäle und speichert hochgeladene Dokumente nur temporär, um maximalen Schutz bei der Auswertung medizinischer Berichte zu gewährleisten.

https://mein-arztbefund.de

Ob Laborbefund, Entlassungsbrief oder Fachgutachten: Mit Mein-arztbefund erhalten Patienten und Angehörige verständliche Zusammenfassungen ohne Fachjargon. Die Plattform erfüllt dabei alle relevanten Datenschutzanforderungen. Lesen Sie unsere Datenschutzvereinbarung oder nutzen Sie direkt unsere Anleitung zum medizinischen Report prüfen, um Befunde sicher und klar zu interpretieren.

FAQ

Was sind die wichtigsten gesetzlichen Pflichten für Kliniken?

Krankenhäuser müssen seit 2026 Cloud-Dienste ausschließlich bei Anbietern mit BSI C5-Testat nutzen (§ 393 SGB V), ein ISMS nach NIS-2 betreiben und technische sowie organisatorische Maßnahmen gemäß DSGVO Art. 32 nachweisen.

Wie hoch sind die Kosten eines Datenlecks im Gesundheitswesen?

Die durchschnittlichen Kosten eines Datenlecks im deutschen Gesundheitswesen lagen 2026 bei 4,9 Millionen Euro, inklusive Bußgelder, forensischer Untersuchungen und Verwaltungsaufwand.

Reicht ISO 27001 als Zertifizierung für Cloud-Anbieter aus?

Nein. Im deutschen Gesundheitswesen reicht ISO 27001 allein nicht mehr. Seit 2026 ist das BSI C5-Testat nach ISAE 3000 Standard für Cloud-Dienste in Krankenhäusern gesetzlich vorgeschrieben.

Wer haftet bei einem Datensicherheitsvorfall in einem Krankenhaus?

Nach NIS-2 haftet die Geschäftsführung persönlich, wenn nachgewiesen wird, dass Sicherheitspflichten nicht angemessen wahrgenommen wurden. Bußgelder können in den Millionenbereich reichen.

Wie schütze ich meine Einrichtung vor Drittanbieter-Risiken?

Schließen Sie mit allen Dienstleistern Auftragsverarbeitungsverträge ab, fordern Sie deren Sicherheitsnachweise aktiv an und führen Sie ein Register aller Dienstleister mit Datenzugriff. Outsourcing überträgt keine Haftung.

Empfehlung