Wie man eine Security Awareness-Kultur im niederländischen Gesundheitswesen aufbaut

Kein niederländischer Sektor meldet so viele Datenlecks wie das Gesundheitswesen. Allein im Jahr 2024 gab es 6.873 gemeldete Fälle.

Kürzlich führte ein Ransomware-Angriff auf Clinical Diagnostics Nederland zu einem erstaunlichen Diebstahl von 300 GB(!) Daten, darunter Sozialversicherungsnummern und medizinische Testergebnisse.

Ein Großteil dieser Daten landete sogar im Darknet. Der Vorfall betraf auch Bevolkingsonderzoek Nederland sowie mehrere Krankenhäuser und Hausarztpraxen. Die Cyberkriminellen erhielten Zugriff auf Daten von 850.000 Personen. Das Ereignis war schwerwiegend genug, um parlamentarische Anfragen auszulösen.

Es gibt eindeutig viele Gründe für den Gesundheitssektor, ernsthaft in eine starke Sicherheitskultur zu investieren. Eine, in der jeder Mitarbeiter die potenziellen Auswirkungen eines Cyberangriffs und seine Rolle bei dessen Verhinderung versteht. Doch in vielen Gesundheitseinrichtungen bleibt Security Awareness entweder eine geringe Priorität oder schlichtweg eine zu große Herausforderung.

Jedes Krankenhaus, jeder Anbieter von psychischer Gesundheitsversorgung und jedes Labor in den Niederlanden ist nur einen unachtsamen Klick von denselben Schlagzeilen entfernt. Nicht weil ihre Systeme schwach sind, sondern weil ihre Mitarbeiter unvorbereitet sind.

In diesem Artikel betrachten wir den Stand der Security Awareness im Gesundheitswesen, warum viele Initiativen scheitern und wie man das beheben kann.

Zunächst einmal: Wie sieht eine gesunde Security Awareness Kultur aus?

Im Gesundheitswesen ist eine starke Security Awareness-Kultur unerlässlich, um sensible medizinische Daten zu schützen, das Vertrauen der Patienten zu erhalten und die Kontinuität der Versorgung zu gewährleisten.

Warum? Weil ein Datenleck Ihrer medizinischen Daten weit verheerender sein kann, als Sie es sich vorstellen können.

Wie Stefan Behrens, Geschäftsführer einer psychologischen Gesundheitseinrichtung, es ausdrückte: „Medizinische Daten gehören zu den sensibelsten personenbezogenen Daten, aber ich würde lieber mein Zahnröntgenbild online finden als die Notizen meines Therapeuten. Dieses Maß an Verletzlichkeit trifft viel tiefer.“

Der beste Weg, menschliches Versagen, das zu einem Datenleck führt, zu bekämpfen, ist die Schaffung einer starken Unternehmenskultur. Eine gemeinsame Denkweise im gesamten Unternehmen, die besagt, dass Sicherheit die Verantwortung aller ist, nicht nur die der IT.

So sieht das in der Praxis aus:

• Security ist Teil des täglichen Verhaltens. Mitarbeiter überlegen zweimal, bevor sie auf einen Link klicken, sensible Daten weiterleiten oder sich in einem öffentlichen Netzwerk anmelden. Sie wissen, was zu melden ist, und fühlen sich sicher dabei, es zu melden.
• Fehler werden besprochen, nicht bestraft. In Umgebungen mit hohem Stress sind Fehler unvermeidlich. Wichtig ist, wie mit ihnen umgegangen wird. In starken Unternehmenskulturen übernehmen Menschen Verantwortung und melden Probleme selbst. Nicht aus Angst, sondern weil es ihnen wichtig ist.
• Awareness ist in Meetings und Kennzahlen sichtbar. Teams überprüfen regelmäßig, welche Sicherheitsthemen mehr Aufmerksamkeit benötigen, besprechen aktuelle Risiken und tauschen Tipps aus. Es ist keine reine Abhake-Übung mehr, sondern fester Bestandteil der Arbeitswoche.

Letztendlich ist eine gesunde Security Awareness-Kultur im Gesundheitswesen eine, in der jeder, von Pflegeteams bis zum Verwaltungspersonal, versteht, dass der Schutz von Patientendaten Teil der Bereitstellung sicherer, qualitativ hochwertiger Versorgung ist.

Oder, wie Behrens von Psyned es ausdrückt: „Trotz aller technischen Maßnahmen gehört falsches menschliches Verhalten zu unseren größten Sicherheitsrisiken, und die Security Awareness unserer Mitarbeiter ist ein entscheidender Faktor.“

Was sind die größten Bedrohungen für das niederländische Gesundheitswesen?

Die neueste Cyber Threat Landscape von Z-CERT zeichnet ein klares Bild der drängendsten Cyber-Bedrohungen, denen das Gesundheitswesen heute gegenübersteht:

• Ransomware-Angriffe, insbesondere auf Labore, Krankenhäuser und Jugendhilfeeinrichtungen
• Ausspionieren von Forschungseinrichtungen
• Ransomware-Angriffe, die auf Lieferanten abzielen.
• DDoS-Angriffe bei Lieferanten
• Phishing mit MFA-Bypass, da viele Organisationen sich blind auf MFA zur Sicherheit verlassen.
• Malware
• Insider-Bedrohungen
• Finanzbetrug
• Datenlecks durch Missbrauch von KI-Tools – zum Beispiel, wenn Mitarbeiter sensible Patientendaten in ChatGPT eingeben

Einige dieser Bedrohungen können nur gemindert werden, indem sichergestellt wird, dass Ihre Mitarbeiter ein ausgeprägtes Cybersecurity Awareness haben. Egal wie viele technische Schutzmaßnahmen Sie implementieren, ein cybersicherer Arbeitsplatz beginnt und endet mit verantwortungsvollem menschlichem Verhalten.

Warum Security Awareness im Gesundheitswesen einzigartig ist

Das Gesundheitswesen unterscheidet sich in vielerlei Hinsicht von anderen Branchen. Ein Cyberangriff stört nicht nur den Geschäftsbetrieb, er kann auch die Gesundheit der Patienten direkt beeinträchtigen. Man denke an verzögerte Operationen, falsche Medikation oder vorübergehend eingestellte Diagnosen.

Auch in puncto Vertrauen steht viel auf dem Spiel. Wenn medizinische Daten geleakt werden, schädigt dies sowohl den Ruf eines Krankenhauses als auch das Vertrauen, das Patienten in die Sicherheit ihrer sensibelsten Informationen setzen.

Dann sind da noch die Kosten. Von der Wiederherstellung über rechtliche Ansprüche bis hin zu behördlichen Bußgeldern sind die finanziellen Folgen erheblich. In vielen Fällen steigen die Versicherungsprämien nach einer Sicherheitsverletzung drastisch an, sofern überhaupt eine Deckung angeboten wird.

Wie sich das Gesundheitswesen von anderen Sektoren unterscheidet

Viele Organisationen kämpfen mit Security Awareness, aber das Gesundheitswesen steht vor eigenen, einzigartigen Herausforderungen:

• Kontinuität: Wo eine Bank oder Fabrik den Betrieb unterbrechen kann, können Krankenhäuser dies nicht – sie sind 24/7 in Betrieb.
• Datenschutzsensible Daten: Medizinische Daten sind sehr intim und daher wertvoll, was sie zu einem Hauptziel für Kriminelle macht.
• Arbeitskultur: Pflegekräfte und Ärzte sehen sich primär als Versorger, nicht als „Mitarbeitende, die Cybersecurity-Protokolle befolgen müssen“. Diese Denkweise erschwert die Verankerung von Awareness.
• Hohe Arbeitsbelastung und Stress: Während Nachtschichten oder in Krisensituationen ist die Wahrscheinlichkeit höher, dass Menschen Fehler machen, die sie normalerweise vermeiden würden.

Warum Security Awareness im Gesundheitswesen eine solche Herausforderung darstellt

Security Awareness ist ein heißes Thema in allen Branchen, aber das Gesundheitswesen steht vor eigenen, einzigartigen Herausforderungen.

Klinischer Rhythmus vs. Büro-Rhythmus

Die meisten Awareness-Programme sind für Unternehmensumgebungen konzipiert — für Menschen, die von 9 bis 17 Uhr arbeiten, mit flexiblen Arbeitszeiten, persönlichen Computern und Zugang zu E-Learning-Plattformen.

Im Gesundheitswesen ist das selten der Fall. Das Personal arbeitet in Nachtschichten, wechselt zwischen Standorten und steht jederzeit vor Notfällen. Oft verfügen sie nicht über einen dedizierten Computer. Die Zeit und den Ort für regelmäßige Schulungen zu finden, ist schwierig.

Training passt nicht zur Realität im Gesundheitswesen.

Viele Programme gehen von einem Unternehmenskontext aus. Sie berücksichtigen keine spezifischen Situationen im Gesundheitswesen, wie den Umgang mit Patientendaten, die medizinische Schweigepflicht oder die Besprechung von Fällen mit Kollegen. Diese Details sind wichtig – und ihre Missachtung schränkt die Ergebnisse ein.

Mangel an Verantwortlichkeit.

Security Awareness betrifft jeden, aber die Verantwortlichkeit muss bei einer Person oder einem Team liegen. Genau hier geht oft etwas schief. In vielen Organisationen wird die Verantwortung zwischen IT, Compliance, HR oder Abteilungsleitern aufgeteilt – was bedeutet, dass niemand sie wirklich innehat.

Regulatorische Ermüdung

Während einige kleine Gesundheitsdienstleister intrinsisch motiviert sind, die Security Awareness zu stärken, zeigen andere Widerstand. Sie betrachten Standards wie NEN 7510 als bürokratischen Aufwand. Awareness-Initiativen erhöhen den administrativen Aufwand, zusätzlich zu anderen Sicherheitsanforderungen wie Brandschutz oder Aggressionsmanagement.

Blindstellen in der Lieferkette

Im Jahr 2024 wurde das niederländische Kundenkommunikationsunternehmen AddComm Opfer eines Ransomware-Angriffs, der viele seiner Kunden, darunter ABN Amro und Infomedics, betraf. Dies zeigte, wie anfällig Lieferketten sind und warum die Sicherheit von Lieferanten Teil der Strategie sein muss. Anbieter sollten zur Einhaltung von Mindeststandards verpflichtet werden.

Intern gibt es oft den gleichen blinden Fleck: Studierende und Freelancer mit Zugang zu sensiblen Daten werden von Awareness-Programmen ausgeschlossen.

Richtlinie ohne Praxis

Laut dem Breach Report 2024 der niederländischen Datenschutzbehörde resultierten 40 % der gemeldeten Cyber-Vorfälle nicht aus fehlenden Richtlinien, sondern aus deren mangelnder Implementierung oder Überwachung.

Oft sieht während eines Compliance-Audits alles gut aus, doch das Bewusstsein schwindet, sobald das Audit beendet ist. Richtlinien bleiben auf dem Papier. Deshalb muss die Führungsebene Awareness als mehr als nur Compliance betrachten.

Wie man eine Security Awareness-Kultur im Gesundheitswesen aufbaut

Die meisten Mitarbeiter im Gesundheitswesen ertrinken bereits in Protokollen, Audits und obligatorischen E-Learning-Modulen. Mehr Regeln oder größere Plattformen werden das Problem nicht lösen.

Was funktioniert, ist, Bewusstsein als ein lebendiges Produkt zu behandeln — etwas, das regelmäßig bereitgestellt, kontinuierlich gemessen und ständig an reale Situationen im Gesundheitswesen angepasst wird.

Wöchentliches, mobiles und rollenbasiertes Training.

Mitarbeiter im Gesundheitswesen haben keine Zeit für lange Präsenzschulungen oder generisches E-Learning. Schulungen sollten kurz, praxisnah und relevant — 3–5 Minuten pro Einheit — und auf ihre Rolle zugeschnitten sein. Ärzte und Pflegepersonal benötigen andere Szenarien als der durchschnittliche Buchhalter oder Marketingexperte.

Bieten Sie Schulungen dort an, wo es passt: auf dem Mobilgerät, während einer Pause oder direkt in Microsoft Teams. Lernen sollte sich nahtlos in den Arbeitsalltag integrieren lassen.

→ Erfahren Sie mehr über Guardeys Security Awareness Programm für das Gesundheitswesen

Verhaltensbasierte KPIs

Hier gibt es zwei Ziele. Erstens, das Awareness-Niveau in Ihrer Organisation kontinuierlich zu überwachen. Zweitens, die Einhaltung der NEN 7510-Anforderungen nachweisen zu können. Wichtige Kennzahlen sind:

• Meldequote: Wie viele Mitarbeiter melden Phishing oder verdächtige Vorfälle aktiv?
• Meldezeit: Wie schnell reagieren sie, nachdem sie etwas Ungewöhnliches bemerkt haben?
• Phish-to-Report-Verhältnis: Wie viele simulierte Angriffe werden korrekt erkannt und gemeldet?

Diese Metriken zeigen, ob Sie eine echte Sicherheitskultur aufbauen.

Einfaches Reporting und sofortiges Feedback

Das Melden sollte so einfach sein wie ein Klick auf einen Button. Mit einem integrierten Melde-Button in Outlook oder Teams können Mitarbeitende verdächtige E-Mails sofort weiterleiten. Sofortiges Feedback ist entscheidend, nicht erst Wochen später in einem Bericht. Machen Sie das Melden zu einem positiven Erlebnis: ein Erfolgsmoment, keine Rüge.

Just-in-Time-Coaching

Das Warten auf halbjährliche Evaluierungen funktioniert in einer 24/7-Umgebung nicht. Wenn jemand auf eine Phishing-E-Mail klickt – oder eine korrekt meldet – sollte das Feedback schnell erfolgen. Kurze, persönliche Tipps halten die Mitarbeiter wachsam, insbesondere gegenüber fortgeschrittenen Angriffen wie AiTM oder dem Diebstahl von Zugangsdaten.

Das gesamte Ökosystem einbeziehen

Security Awareness sollte nicht bei festangestellten Mitarbeitern aufhören. Freiwillige, Praktikanten, Auftragnehmer und Lieferanten haben oft denselben Systemzugriff. Kriminelle machen keinen Unterschied – und Ihr Programm sollte es auch nicht.

Funktionierende Governance

Security Awareness sollte kein IT-Hobby sein, sondern eine Top-Down-Priorität. Benennen Sie einen verantwortlichen Manager, definieren Sie klare RACI-Verantwortlichkeiten und besprechen Sie den Fortschritt monatlich. So bleibt Security Awareness lebendig und Teil der Führungsagenda.

Wenn wir in den letzten Jahren etwas gelernt haben, dann ist es, dass jedes Security Awareness Programm, das nicht vollständig vom Management unterstützt wird, innerhalb weniger Monate scheitert.

Bezug zur Geschäftskontinuität

Ein Awareness-Programm hat nur dann einen echten Wert, wenn es sich in einer Krise bewährt. Führen Sie Szenarien durch, in denen Awareness eine Schlüsselrolle spielt: Was passiert, wenn ein Lieferant von Ransomware betroffen ist, ein DDoS-Angriff Ihre Laborsysteme lahmlegt oder Ihr EHR stundenlang offline ist?

Wenn Bewusstsein in der Krisenreaktion nicht sichtbar ist, war es nie wirklich verankert.

Fazit: Von der Compliance-Aufgabe zum Kulturwandel

Das Gesundheitswesen führt die Statistiken bei Datenlecks und Cyberangriffen an, mit Folgen, die weit über Bußgelder oder schlechte Presse hinausgehen. Patientensicherheit, Kontinuität der Versorgung und öffentliches Vertrauen stehen auf dem Spiel.

Security Awareness darf keine jährliche Checkbox-Übung sein. Es erfordert eine Kultur, in der Mitarbeiter ihre Rolle verstehen, Fehler machen und daraus lernen können und in der die Führungsebene Cybersecurity mit der gleichen Ernsthaftigkeit behandelt wie die Patientenversorgung oder die finanzielle Gesundheit.

Der Schlüssel liegt in kleinen, praktischen Schritten: kurze und relevante Schulungen, einfaches Reporting, sofortiges Feedback und die Verankerung des Bewusstseins im Krisenmanagement. So entwickelt sich Awareness von einer Verpflichtung zu einem natürlichen Bestandteil der professionellen Gesundheitsversorgung.

Was Sie heute tun können

1. Ein Security Awareness Program einführen – finden Sie ein Programm, das spezifische Schulungsinhalte für das Gesundheitswesen anbietet, wie Guardey.
2. Verhalten messen, nicht Wissen – beginnen Sie mit der Verfolgung von KPIs wie Meldequote und Meldezeit.
3. Reporting einfach und lohnend gestalten – Fügen Sie einen Melde-Button hinzu und geben Sie sofortiges Feedback.
4. Alle mit Zugang einbeziehen – Praktikanten, Freiwillige und externe Dienstleister sind ebenfalls Teil Ihrer Kette.
5. Exekutive Verantwortung zuweisen – ohne Unterstützung der Führungsebene bleibt Awareness ein Nebenprojekt.

→ Erfahren Sie mehr über Guardeys Security Awareness Programm für das Gesundheitswesen