Informationssicherheit im Gesundheitswesen: Warum sie anders ist und wo es zu Problemen kommt

Informationssicherheit im Gesundheitswesen bedeutet, Patientendaten zu schützen und den Behandlungsbetrieb aufrechtzuerhalten – und in diesem Sektor sind diese beiden Aspekte ein und dasselbe Problem. Eine durchgesickerte Krankenakte lässt sich nicht einfach zurückrufen, so wie man ein gestohlenes Passwort zurücksetzen kann, und ein gesperrtes Dokumentenmanagementsystem verursacht nicht nur Unannehmlichkeiten: Es führt dazu, dass Behandlungen verschoben werden und niemand mehr auf die Medikamentenhistorie zugreifen kann. Deshalb ist Sicherheit in diesem Bereich eher eine Frage der Patientensicherheit als ein reines IT-Problem.

Im Folgenden gehen wir darauf ein, warum diese Branche ein so attraktives Ziel ist, welche Vorschriften gelten und was konkret verlangt wird, wo im Arbeitsalltag häufig Probleme auftreten und wie man die personellen Aspekte so organisieren kann, ohne die Pflege selbst zu beeinträchtigen.

Warum das Gesundheitswesen im Visier steht

Medizinische Daten sind für Kriminelle wertvoller als Kreditkartennummern, da sie weder gesperrt noch ersetzt werden können. Eine Akte enthält Angaben zur Identität, zur Behandlungsgeschichte und zur Versicherung und bleibt ein Leben lang gültig. Das macht sie attraktiv für Betrug, Erpressung von Privatpersonen und den Weiterverkauf.

Hinzu kommt der Druck, unter dem Einrichtungen des Gesundheitswesens stehen. Ein Angreifer, der die Systeme eines Krankenhauses oder einer Pflegeeinrichtung verschlüsselt, weiß, dass Abwarten keine Option ist: Die Versorgung kann nicht unterbrochen werden, während die Situation in aller Ruhe untersucht wird. Genau auf diese Dringlichkeit setzt die Erpressung, und die Kriminellen wissen das.

Schließlich ist dieser Sektor ein ungewöhnlich komplexes Ziel für Angriffe. In der Pflege wird im Schichtdienst gearbeitet, mit wechselndem Personal, gemeinsam genutzten Arbeitsplätzen, privaten Geräten, vernetzten medizinischen Geräten mit langen Lebenszyklen und einem breiten Kreis externer Akteure: Lieferanten, Labore, Hausärzte, Apotheken. Jede Verbindung ist ein Einfallstor, und nur wenige davon lassen sich einfach abschalten.

Geltende Vorschriften: NEN 7510, das AVG und NIS2

Das niederländische Gesundheitswesen verfügt über einen eigenen Standard für Informationssicherheit. NEN 7510 baut auf der internationalen ISO 27001-Struktur auf und ergänzt diese um spezifische Anforderungen an Patientendaten, was bedeutet, dass es ein funktionierendes Managementsystem fordert und nicht nur eine Liste gekaufter Produkte. Ob dies gesetzlich vorgeschrieben ist, ist eine Frage für sich, die wir in unserem Artikel zur Verbindlichkeit von NEN 7510 behandeln.

Daneben gibt es die Norm NEN 7513, die sich mit der Protokollierung befasst: Es muss im Nachhinein feststellbar sein, wer welche Datensätze eingesehen hat. Diese Norm existiert, weil der häufigste Datenschutzvorfall im Gesundheitswesen nicht ein Angriff von außen ist, sondern ein Kollege, der eine Akte einsehen, die er eigentlich nicht hätte öffnen dürfen.

Darüber hinaus gilt die Datenschutz-Grundverordnung (DSGVO), und medizinische Daten gelten als Daten besonderer Kategorien, für die strengste Anforderungen an den Umgang gelten. Größere Organisationen im Gesundheitswesen können zudem in den Anwendungsbereich der NIS2 fallen, was Verpflichtungen in Bezug auf Risikomanagement, Meldung von Vorfällen und nachweisbare Schulungen für Mitarbeiter und Führungskräfte mit sich bringt. Was dies für die einzelnen Organisationstypen bedeutet, wird in unserem Artikel über die Auswirkungen der NIS2 auf das Gesundheitswesen erläutert.

Der rote Faden, der sich durch alle diese Punkte zieht, ist derselbe: Kennen Sie Ihre Risiken, regeln Sie den Zugang ordnungsgemäß und können Sie nachweisen, dass Ihre Mitarbeiter wissen, was zu tun ist. Gerade bei dieser letzten Anforderung sind die Nachweise in den meisten Organisationen am dürftigsten.

Wo es in der täglichen Praxis schiefgeht

Selten durch einen ausgeklügelten Angriff, sondern fast immer durch etwas, das zu diesem Zeitpunkt sinnvoll erschien. Betreuungsarbeit ist schnell, unterbrechbar und wird gemeinsam geleistet – und Sicherheitsmaßnahmen, die dies außer Acht lassen, werden innerhalb einer Woche umgangen.

• Gemeinsam genutzte Konten auf gemeinsam genutzten Arbeitsplätzen. Eine einzige Anmeldung für den Stationscomputer, denn das Ein- und Ausloggen zwischen den Patienten kostet Zeit, die niemand hat. Das funktioniert – bis man feststellen muss, wer auf eine Akte zugegriffen hat.
• Vom Flur aus sichtbare Bildschirme. Ein Arbeitsplatz am Schalter, ein Tablet auf einem Rollwagen, ein Monitor in einem Behandlungsraum mit offener Tür. Die häufigste Ursache für Datenlecks im Gesundheitswesen hat überhaupt nichts mit Technik zu tun.
• Gespräche mit Patienten über Messenger-Apps für Verbraucher. Fotos einer Wunde über WhatsApp, weil das schneller geht als der offizielle Weg. Meistens gut gemeint, selten durch eine Vereinbarung geregelt.
• Phishing-Angriffe auf Pflegepersonal. Eine E-Mail über eine Änderung im Dienstplan, eine dringende Anfrage, die scheinbar von einem Vorgesetzten stammt, eine gefälschte Anmeldeseite für das Dokumentenverwaltungssystem. Zeitdruck ist der beste Verbündete des Angreifers.
• Neugier im Datensystem. Die Suche nach einem Kollegen, einem Nachbarn oder einem bekannten Patienten. Es handelt sich um einen Datenschutzverstoß, selbst wenn keine Daten das Gebäude verlassen, und gerade die Protokollierung macht dies sichtbar.
• Zugriff, der über die Vertragslaufzeit hinausbesteht. Praktikanten, Zeitarbeitskräfte und ehemalige Mitarbeiter, deren Konten aktiv bleiben, weil niemand eindeutig für die Abmeldung zuständig ist.

All diesen Fällen ist gemeinsam, dass es sich um menschliche Entscheidungen handelt, die unter Druck getroffen wurden, und nicht um technische Fehler. Man kann sie nicht einfach beheben, aber man kann sie einüben.

Wie man das angeht, ohne die Versorgung zu verlangsamen

Die Maßnahmen, die im Gesundheitswesen funktionieren, sind diejenigen, die sich dem Arbeitsrhythmus anpassen. Technisch gesehen bedeutet das: Single Sign-On mit schnellem Wechsel, damit das Abmelden keine Qual mehr ist, Multi-Faktor-Authentifizierung beim Fernzugriff, getestete Backups, die offline aufbewahrt werden, sowie Netzwerksegmentierung, damit ein infizierter Arbeitsplatzrechner nicht auf die medizinischen Geräte zugreifen kann.

Aus menschlicher Sicht ist die jährliche Präsenzschulung das für diesen Sektor am wenigsten geeignete Format: Schichtarbeiter verpassen sie, Leiharbeitskräfte nehmen nie daran teil, und bis die nächste Schulung ansteht, haben sich die Bedrohungen bereits verändert. Kurze, wiederkehrende Schulungen funktionieren besser, gerade weil sie sich zwischen zwei Schichten einfügen lassen, und eine Phishing-Simulation zeigt, wie die Mitarbeiter tatsächlich reagieren – und nicht, was sie in einem Quiz geantwortet haben. Wie eine Pflegeeinrichtung dies in ihre Kultur integriert, haben wir in unserem Beitrag über die Sicherheitsbewusstseinskultur im niederländischen Gesundheitswesen untersucht.

Ein Grundsatz ist hier wichtiger als anderswo: Die Meldung muss einwandfrei und schnell erfolgen. In einer Branche, in der ein Fehler wie ein Versagen gegenüber einem Patienten empfunden wird, ist der erste Impuls, zu schweigen – und genau dieses Schweigen macht aus einem einzigen Klick einen Vorfall, der in das Meldesystem gelangt.

Wie Guardey Einrichtungen des Gesundheitswesens unterstützt

Die Sicherheitsschulungen von Guardey basieren auf wöchentlichen Herausforderungen von etwa drei Minuten Dauer, mit Gamification-Elementen wie Ranglisten und Serien sowie Inhalten, die sich an den tatsächlich aktuellen Bedrohungen orientieren. Genau dieses Format ist im Gesundheitswesen entscheidend: Es lässt sich in eine Pause einbauen, anstatt einen ganzen Nachmittag in Anspruch zu nehmen, und die Mitarbeiter können die Schulungen über die mobile App für iOS und Android oder einfach im Browser absolvieren – so werden auch Kollegen einbezogen, die nie an einem Schreibtisch sitzen.

Integrierte Phishing-Simulationen zeigen, ob aus Erkennen auch Handeln wird, und auditfähige Berichte wandeln Teilnahme und Fortschritte in Nachweise für NEN 7510, das AVG und NIS2 um. Pflegeeinrichtungen wie Psyned, Odion und die Roosevelt Kliniek arbeiten mit Guardey zusammen, und auf unserer Seite zu Sicherheitsschulungen im Gesundheitswesen wird erläutert, wie dies je nach Art der Organisation funktioniert. Die Einrichtung dauert nur wenige Minuten.

Häufig gestellte Fragen zur Informationssicherheit im Gesundheitswesen

Ist NEN 7510 für jeden Pflegedienstleister verbindlich?

Sie dient als Branchenstandard für den Umgang mit Patientendaten, und in der Praxis erwarten Aufsichtsbehörden, Versicherer und Kunden, dass Sie sich daran halten – wobei die genaue Verpflichtung von Ihrer Rolle und den von Ihnen getroffenen Vereinbarungen abhängt. Die Zertifizierung ist eine eigenständige Entscheidung, die unabhängig von der Einhaltung des Standards getroffen wird; viele Organisationen halten sich an den Standard, ohne zertifiziert zu sein.

Was gilt im Gesundheitswesen als Datenschutzverletzung?

Jede Situation, in der personenbezogene Daten dem Risiko eines Verlusts oder einer unrechtmäßigen Verarbeitung ausgesetzt waren: eine an den falschen Empfänger gesendete Datei, ein verlorenes Gerät, ein unbefugter Einblick in einen Datensatz oder ein System, das verschlüsselt wurde. Ob dies gemeldet werden muss, hängt vom Risiko für die betroffenen Personen ab, und bei medizinischen Daten ist diese Schwelle schnell erreicht.

Wie schulen wir Mitarbeiter, die im Schichtdienst arbeiten?

Indem man die Annahme aufgibt, dass alle in einem Raum versammelt sein können. Kurze Module auf dem Smartphone, die jederzeit verfügbar sind, erreichen auch Mitarbeiter im Außendienst und im Nachtdienst, die bei Präsenzveranstaltungen naturgemäß nicht berücksichtigt werden können. Entscheidend ist eher der Rhythmus als die Dauer: Ein paar Minuten pro Woche sind besser als ein Nachmittag im Jahr.

Dürfen wir über WhatsApp über Patienten sprechen?

Messaging-Apps für Verbraucher sind nicht für Daten besonderer Kategorien ausgelegt und entsprechen in der Regel nicht den Vereinbarungen, die eine Pflegeeinrichtung hinsichtlich der Verarbeitung und Aufbewahrung treffen muss. Die praktische Lösung besteht nicht darin, dies einfach zu verbieten, sondern eine ebenso schnelle Alternative anzubieten, denn eine Vorschrift, die Zeit kostet, kann nicht mit einer App mithalten, die Zeit spart.

Der Erfolg der Informationssicherheit im Gesundheitswesen hängt davon ab, ob die Maßnahmen zur Arbeitspraxis passen. Eine Richtlinie, die davon ausgeht, dass man sich in Ruhe damit befassen kann, wird von denjenigen umgangen, die diese Zeit nicht haben, während eine kleine Gewohnheit, die sich zwischen zwei Patienten einfügen lässt, eine Chance hat, dauerhaft zu etablieren. Die Organisationen, die dies richtig umsetzen, sind nicht diejenigen mit den strengsten Regeln, sondern diejenigen, in denen das Melden von Unregelmäßigkeiten so selbstverständlich ist wie das Händewaschen.