Ein Klinikgelände hat drei Türen, die ein Angreifer wirklich braucht.
Empfang, Station, Serverraum. Wer diese drei Stellen versteht, versteht, wie Kliniken angegriffen werden: über Menschen im Schichtdienst, über vernetzte Medizingeräte und über ein Krankenhausinformationssystem, das mit dem Haus mitgewachsen ist. Wir prüfen genau diesen Weg, mit Rücksicht auf Patientensicherheit und mit einem Bericht, der zu § 391 SGB V (vormals § 75c) und zum B3S der Deutschen Krankenhausgesellschaft passt.
Jedes Krankenhaus muss angemessene technische und organisatorische Vorkehrungen nach dem Stand der Technik treffen. Seit dem 26. März 2024 steht diese Pflicht in § 391 SGB V.
§ 391 SGB V ersetzt § 75c
26.03.2024
Mit dem Digital-Gesetz wurde § 75c zu § 391 SGB V. Die feste Zwei-Jahres-Frist ist entfallen, neu verpflichtend sind Maßnahmen zur Security-Awareness der Mitarbeitenden. Ein einmaliger Test belegt den Stand der Technik nicht dauerhaft.
vollstationäre Fälle pro Jahr
30.000
Ab dieser Schwelle gilt ein Krankenhaus als Kritische Infrastruktur, mit zusätzlichen Pflichten nach dem BSI-Gesetz.
Der Stationsplan: so läuft ein Angriff durch eure Klinik
Der Plan zeigt den Weg, den wir in Klinik-Assessments am häufigsten gehen. Er beginnt an der offensten Stelle des Hauses und endet dort, wo Patientenakten und Abrechnung liegen. Klickt auf einen Bereich, um zu sehen, was dort passiert und was wir dort prüfen.
Medizinprodukte greifen wir im laufenden Betrieb nie aktiv an. Wir prüfen ihre Netzwerkanbindung, Fernwartungszugänge und die Trennung zu anderen Netzen. Intensivstation, OP und alles mit direktem Patientenbezug sind tabu, das steht vor jedem Test schriftlich fest.
Der Plan läuft von selbst durch die vier Bereiche. Ein Klick hält ihn an, damit ihr einen Bereich in Ruhe lesen könnt.
Empfang Offene Tür, wenig Zeit
Was ein Angreifer hier vorfindet
Offene Eingangsbereiche, viele Besucher und externe Dienstleister, Rezeptionen, die zeitweise unbesetzt sind. Reinigung, Medizintechnik und Catering laufen ohnehin unangemeldet durchs Haus. Ein weißer Kittel, ein Klemmbrett und der Satz „Ich bin von der Technik, wegen der Wartung“ öffnen hier mehr Türen als in fast jeder anderen Branche.
Was wir hier prüfen
Simulierte Zutrittsversuche als vermeintlicher Techniker oder Lieferant, Tailgating an Nebeneingängen, Umgang mit fremden Ausweiskarten. Vorab ist festgelegt, wer im Haus Bescheid weiß und wie sich unsere Leute auf Nachfrage sofort ausweisen.
Am Bett stehen vernetzte Medizingeräte: Infusionspumpen, Monitore, bildgebende Systeme. Sie werden häufig vom Hersteller gewartet und stehen selten im Fokus klassischer IT-Sicherheitskonzepte. Dazu Personal im Schichtdienst, das drei Klingeln gleichzeitig hört und für eine Phishing-Mail oder einen Anruf mit Vorwand keine Minute Prüfzeit hat.
Was wir hier prüfen
Phishing- und Pretexting-Simulationen, zugeschnitten auf Schichtbetrieb. Angemeldete Rechner im Stationszimmer, Zugriff auf Patientendaten aus dem Flur, Fernwartungszugänge der Geräte. Die Geräte selbst bleiben unangetastet.
Ob ein einzelner kompromittierter Rechner ein lokales Problem bleibt, entscheidet sich zwischen den Räumen: in der Trennung zwischen KIS, Medizingeräte-Netz und Verwaltung, in Zugriffsrechten und in der Härtung des Active Directory. Fehlt die Trennung, ist der Weg vom Stationsrechner zum zentralen System kurz.
Was wir hier prüfen
Netzwerksegmentierung, Berechtigungen, Active Directory. Wir prüfen, wie weit ein Angreifer aus einem Stationsnetz kommt und was ihn aufhält, mit Netzwerk-Scans und manueller Prüfung im vereinbarten Scope.
Serverraum und KIS Akten, Abrechnung, Schnittstellen
Was ein Angreifer hier vorfindet
Das Krankenhausinformationssystem ist das zentrale System für Patientenakten, Abrechnung und Stationsabläufe, historisch gewachsen und mit vielen Schnittstellen zu Drittsystemen. Jede Schnittstelle ist ein Weg hinein, den in der Regel niemand mehr vollständig im Kopf hat. Im Forschungsprojekt SiKIS hat das Fraunhofer SIT im Auftrag des BSI die beiden in Deutschland am häufigsten eingesetzten Krankenhausinformationssysteme untersucht und erhebliche Schwachstellen dokumentiert; das BSI hat die Ergebnisse im März 2025 veröffentlicht.
Was wir hier prüfen
Schnittstellen, Fernwartung, Zugänge zum Serverraum, Rechtekonzept. Systeme mit direktem Patientenbezug werden nur passiv analysiert. Bei unerwarteten Auswirkungen auf produktive Systeme stoppen wir sofort, der Notfallkontakt ist vorher benannt.
Vier Daten, die für jede Klinikleitung den Rahmen setzen: eine Pflicht, ein Forschungsbefund, ein Vorfall und eine Gesetzesreform.
§ 75c SGB V tritt in Kraft
Krankenhäuser sind seither verpflichtet, angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik zu treffen. Seit dem 26. März 2024 steht diese Pflicht in § 391 SGB V; die frühere Vorgabe, die Systeme spätestens alle zwei Jahre anzupassen, ist dort entfallen. Die Anwendung eines vom BSI als geeignet festgestellten branchenspezifischen Sicherheitsstandards ist im Gesetz ausdrücklich als Weg genannt, diese Pflicht zu erfüllen.
Wertachkliniken: Klinikbetrieb ohne IT
Bobingen und Schwabmünchen
Anfang September 2024 wurde die Wertachklinik-Gruppe nach Medienberichten Ziel eines Ransomware-Angriffs. Die IT-Systeme wurden vorsorglich vom externen Netz getrennt, um eine weitere Ausbreitung zu verhindern. Die Kriminalpolizei nahm die Ermittlungen auf.
Angaben nach öffentlicher Berichterstattung. Access Granted war an diesem Vorfall nicht beteiligt.
SiKIS dokumentiert Schwachstellen in KIS
Im Forschungsprojekt SiKIS im Auftrag des BSI hat das Fraunhofer SIT Krankenhausinformationssysteme systematisch untersucht und Schwachstellen dokumentiert. Der Befund betrifft die Systemklasse, nicht ein einzelnes Haus.
NIS2-Umsetzungsgesetz in Kraft
Das BSI-Gesetz wurde neu gefasst. Für KRITIS-Krankenhäuser bleiben die Pflichten bestehen und wachsen. Ob ein Haus unterhalb der KRITIS-Schwelle als wichtige oder besonders wichtige Einrichtung erfasst ist, hängt von Größe und Einrichtungsart ab.
§ 391 SGB V nennt einen vom BSI als geeignet festgestellten branchenspezifischen Sicherheitsstandard, in der Praxis den B3S der Deutschen Krankenhausgesellschaft, als Weg, den Stand der Technik zu erfüllen. Der Standard ist in Themenfelder gegliedert. Das Raster zeigt, welches Modul welches Feld abdeckt, wie wir dort vorgehen und wo der Patientenbezug den Test begrenzt.
Netzanbindung, Segmentierung und Fernwartungszugänge der Geräte
Geräte selbst werden nie aktiv angegriffen
aktiv getestet
nur passiv analysiert
Die Zuordnung dient der Vorbereitung eures Nachweises. Ob ein Feld als erfüllt gilt, entscheidet am Ende eure Prüfung nach B3S, nicht unser Bericht. Wir liefern die technischen Befunde und ihre Einordnung.
Nachtdienst · 22:30 Uhr
Wie ein Zutrittsversuch in der Klinik tatsächlich aussieht
Der Haupteingang ist längst zu, die Notaufnahme nicht. Jemand in Arbeitskleidung, Werkzeugkoffer in der Hand, Ausweiskarte am Band, folgt einer Pflegekraft durch die Tür zur Station und murmelt etwas von einer Störung im Technikraum. Niemand fragt nach, weil gerade drei Klingeln gleichzeitig gehen und weil externe Techniker zu dieser Uhrzeit nichts Ungewöhnliches sind. Wenig später steht die Person allein im Stationszimmer vor einem angemeldeten Rechner oder vor der Tür zum Serverraum.
Genau so testen wir, aber nie ohne Absprache. Wird der Versuch erkannt und gestoppt, ist das ein gutes Ergebnis, kein peinliches.
Ablauf eines Klinik-Pentests
Patientensicherheit hat Vorrang. Deshalb ist unser Vorgehen bei Kliniken enger abgestimmt als in anderen Branchen.
01
Scope mit Rücksicht auf Patientensicherheit
Gemeinsam legen wir fest, welche Systeme aktiv getestet und welche nur passiv analysiert werden. Bei Systemen mit direktem Patientenbezug gilt: im Zweifel vorsichtiger testen oder auslassen.
02
Test mit Notfallkontakt
Informationssammlung, Netzwerk-Scans und manuelle Prüfung nach vereinbartem Scope. Ein Notfallkontakt ist benannt. Bei unerwarteten Auswirkungen auf produktive Systeme stoppen wir sofort.
03
Bericht mit B3S-Zuordnung
Jedes Finding wird nach Schweregrad, Ausnutzbarkeit und Auswirkung auf den Klinikbetrieb bewertet und mit Handlungsempfehlungen, Management-Summary und Zuordnung zum B3S dokumentiert.
Die Module dahinter
§ 391 SGB V und B3S verlangen Nachweise auf mehreren Ebenen zugleich. Diese Module greifen dafür ineinander, jedes hat eine eigene Seite.
§ 391 SGB V (bis März 2024 § 75c) schreibt keine bestimmte Testmethode vor. Verlangt sind angemessene Vorkehrungen nach dem Stand der Technik, ausdrücklich auch Maßnahmen zur Security-Awareness der Mitarbeitenden. Ein Penetrationstest ist das gängige technische Instrument, um zu belegen, dass die getroffenen Maßnahmen wirken. Ohne regelmäßigen Test fehlt im Schadensfall der Beleg, dass ihr eurer Pflicht nachgekommen seid.
Der branchenspezifische Sicherheitsstandard der DKG ist ein vom BSI als geeignet festgestellter Weg, den Stand der Technik nach § 391 SGB V zu konkretisieren. Für KRITIS-Krankenhäuser ist ein anerkannter B3S der übliche Maßstab für den Nachweis nach BSI-Gesetz. Für kleinere Häuser ist er eine sinnvolle, freiwillige Orientierung, die § 391 SGB V ausdrücklich als Erfüllungsweg nennt.
Ja, im Rahmen eines eng abgestimmten Scopes. Medizinprodukte unterliegen eigenen regulatorischen Anforderungen und dürfen im laufenden Betrieb nicht gefährdet werden. Wir prüfen deshalb Netzwerkanbindung, Segmentierung und Fernwartungszugänge der Geräte, statt die Geräte selbst aktiv anzugreifen.
Vor jedem Test legen wir gemeinsam fest, welche Systeme aktiv getestet und welche nur passiv analysiert werden. Bei Systemen mit direktem Patientenbezug gilt: im Zweifel vorsichtiger testen oder auslassen. Ein definierter Notfallkontakt und der sofortige Stopp bei unerwarteten Auswirkungen sind fester Bestandteil jedes Klinik-Assessments.
Intensivstation, OP-Bereich und alles mit direktem Patientenbezug. Diese Liste wird vor dem Test schriftlich festgelegt und kann von euch beliebig erweitert werden. Unsere Leute weisen sich auf Nachfrage sofort aus, und sobald irgendwo die Patientenversorgung berührt würde, brechen wir ab, bevor es dazu kommt.
Ja, das gehört zum Physical-Pentest-Modul. Wir simulieren realistische Zutrittsversuche, etwa als vermeintlicher Techniker oder Lieferant, und prüfen, ob Empfang, Zugangskontrollen und Serverräume standhalten. Das Vorgehen wird vorab mit einem festgelegten Kreis auf eurer Seite abgestimmt.
Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz. Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr bleiben Kritische Infrastruktur. Ob ein kleineres Haus als wichtige oder besonders wichtige Einrichtung erfasst ist, hängt von Größe und Einrichtungsart ab. Unser kostenloser NIS2-Betroffenheits-Check gibt eine erste, unverbindliche Einordnung.
Das hängt vom Umfang ab: Anzahl der Standorte und Systeme, ob Medizingeräte-Netze im Scope sind, ob Physical und Social Engineering dazugehören. Nach einem kostenlosen Erstgespräch kennen wir euren Scope und ihr erhaltet ein Festpreisangebot.
Der Stand der Technik nach § 391 SGB V bleibt nicht stehen.
Ein kurzes Gespräch reicht, um Scope und Zeitrahmen zu klären. Danach bekommt ihr ein Festpreisangebot, ohne Verpflichtung.
