Die Gesprächspartner
Prof. Dr. Patrick Da-Cruz ist Professor für Betriebswirtschaftslehre und Gesundheitsmanagement an der Fakultät Gesundheitsmanagement der Hochschule Neu-Ulm (HNU) sowie wissenschaftlicher Leiter des MBA-Programms Führung und Management im Gesundheitswesen.
Vor seiner Tätigkeit an der HNU war Herr Da-Cruz bei namhaften Strategieberatungen im Bereich Pharma / Healthcare sowie in Führungsfunktionen in Unternehmen der Gesundheitswirtschaft im In- und Ausland tätig.
Andreas Probst ist Experte für operative Resilienz mit Schwerpunkt auf Risikomanagement und Business Continuity Management – mit mehr als 20 Jahren Erfahrung in der regulierten Finanz- und Versicherungswirtschaft sowie im Bereich IT-/Cyber-Risiken. Er hat einen Abschluss als Diplom-Kaufmann von der HHL Leipzig Graduate School of Management sowie einen Master of Commercial Law (LL.M.) von der Universität des Saarlandes. Darüber hinaus ist Andreas Probst zertifizierter Financial Risk Manager (GARP), Business Continuity Manager (BCM Academy Hamburg) und Cyber Security Practitioner (ISACA Germany Chapter).
Cyber-Angriffe auf Kliniken haben in den letzten Jahren dramatisch zugenommen. Die Folgen können erheblich sein. Teilweise kann die Arbeit der Kliniken wochen- oder gar monatelang beeinträchtigt sein. Verschobene Operationen und Behandlungen haben weitreichende Konsequenzen, für die Kliniken können sich durch die Cyber-Angriffe immense Kosten ergeben, z. B. für Beratungsleistungen. Welche Relevanz hat das Thema Cybersicherheit im Gesundheitswesen vor diesem Hintergrund heutzutage?
Andreas Probst: Cybersicherheit ist im Gesundheitswesen heute ein existenzieller Faktor für Patientensicherheit, Versorgungsqualität, Datenschutz und im schlimmsten Fall auch für den Fortbestand einer Einrichtung. Die zunehmende Digitalisierung medizinischer Prozesse, etwa durch elektronische Patientenakten oder vernetzte Medizingeräte, macht Einrichtungen anfällig für gezielte Cyberangriffe. Gleichzeitig zählt das Gesundheitswesen zu den kritischen Infrastrukturen – die Relevanz von Cybersicherheit ist somit nicht nur operativ, sondern auch regulatorisch hoch. Dies untermauert auch der im Januar 2025 von der EU-Kommission verkündete Aktionsplan Cybersicherheit von Krankenhäusern und Gesundheitsdienstleistern.
Welche Auswirkungen können Cyberangriffe haben? Wie beeinflussen sie die Patientenversorgung und den Betrieb von Kliniken oder Praxen?
Andreas Probst: Cyberangriffe können massive Auswirkungen haben: Sie führen häufig zu Ausfällen der IT-Systeme, was Diagnostik, Dokumentation und Kommunikation lahmlegt. Dies geht einher mit dem Verlust relevanter medizinischer Daten, mindestens einem Vertrauensverlust in die Datenbestände. Relevante medizinische Behandlungsentscheidungen, Operationen oder Therapien werden dann ausgesetzt oder verschoben, da das Risiko für Behandlungsfehler – ohne valide Datengrundlage – eklatant steigt. Dies kann zumeist nur noch durch manuelle (Papier-)Prozesse auf einem Notbetriebsniveau kompensiert werden. Noch kritischer wird es, wenn OT-Systeme (Operational Technology) betroffen sind – etwa die Steuerung von medizinischen Geräten, Infusionspumpen oder Laborautomation. In solchen Fällen sind nicht nur organisatorische Abläufe gestört, sondern potenziell auch Leib und Leben der Patienten unmittelbar gefährdet. Auch wirtschaftlich können solche Angriffe erheblichen Schaden verursachen – etwa durch Lösegeldforderungen, Imageschäden und Wiederherstellungskosten.
In Kliniken und Praxen spielen IT-Systeme sowohl in der Verwaltung als auch in den Bereichen Diagnostik und Therapie eine wichtige Rolle, z. B. in der Medizintechnik. Welche Bereiche der IT-Infrastruktur von Kliniken und Praxen sind besonders anfällig für Angriffe?
Andreas Probst: Besonders gefährdet sind Systeme mit externen Schnittstellen – etwa zu Laboren, Apotheken, Abrechnungsstellen oder Cloud-Diensten. Auch administrative IT-Systeme mit Zugang zu sensiblen Patienten- und Abrechnungsdaten sowie die technischen Anlagen (sogenannte OT-Systeme), wie medizinische Geräte oder Gebäudesteuerungssysteme, sind zunehmend bedroht. Ein weiteres Risikofeld sind sogenannte IoT-Komponenten – das sind vernetzte/ internetfähige Geräte, die untereinander oder mit zentralen Systemen kommunizieren, etwa vernetzte Blutdruckmessgeräte, Infusionspumpen, Temperaturfühler in Medikamentenkühlschränken oder Kameras. Viele dieser Geräte sind ständig online, aber oft nur unzureichend abgesichert oder schwer aktualisierbar. Das macht sie zu einem potenziellen Einfallstor für Angreifer.
Hinzu kommt der Faktor Mensch: Phishing-Mails, schlecht gewählte, geteilte Passwörter oder unachtsames Verhalten sind weiterhin ein häufiger Angriffsvektor. Wichtig ist daher ein umfassender Schutzansatz, der alle digitalen und vernetzten Systeme einbezieht – unabhängig davon, ob sie in der klassischen IT oder in der Medizintechnik verortet sind.
Wie können Gesundheitseinrichtungen ihre Resilienz gegenüber Cyberangriffen stärken? Welche organisatorischen Konsequenzen ergeben sich?
Andreas Probst: Ein ganzheitlicher Ansatz ist entscheidend: Technisch durch segmentierte Netzwerke, starke Authentifizierung, wie Multifaktor Authentifizierung, regelmäßige Updates und eine angemessene Backupstrategie, bei der auch Backups physisch getrennt vom Netzwerk vorgehalten werden. Organisatorisch durch klare Rollenverteilungen, Notfallpläne und regelmäßige Awareness-Schulungen. Darüber hinaus ist ein kontinuierliches Risiko- und Schwachstellenmanagement unerlässlich – ebenso wie die Einbindung von Cybersicherheit in das übergreifende Resilienz- und Business-Continuity-Management.
Die Entwicklungen in der IT laufen außerordentlich dynamisch. Welche Entwicklungen im Bereich Cyber Security im Gesundheitswesen erwarten Sie in den nächsten fünf bis zehn Jahren? Welche Rolle wird KI hier ggf. spielen?
Andreas Probst: Ich rechne mit einer stärkeren regulatorischen Durchdringung, wie der von der EU-Kommission veröffentlichte Aktionsplan vermuten lässt – auch durch EU-Richtlinien, wie NIS2 und deren nationale Umsetzung, werden technische und organisatorische Mindeststandards regulatorisch verortet. Gleichzeitig werden wir erleben, dass KI-gestützte Sicherheitssysteme zunehmen, sowohl zur Bedrohungserkennung als auch zur Prävention. Auch Zero-Trust-Architekturen und der Schutz medizinischer IoT-Geräte („Internet of Medical Things“) werden an Bedeutung gewinnen. Entscheidend wird jedoch bleiben, dass Cybersicherheit nicht als technisches Add-on verstanden wird, sondern als integraler Bestandteil guter Versorgung.
Vielen Dank für das Gespräch!
Die in den Interviews dargestellten Inhalte und Aussagen spiegeln die Perspektive der Gesprächspartner wider und entsprechen nicht notwendigerweise der Position der Redaktion.
