Ein Klinikgelände hat drei Türen, die ein Angreifer wirklich braucht

Empfang, Station, Serverraum. Diese drei Stellen erklären, wie Kliniken angegriffen werden: über Menschen im Schichtdienst, über vernetzte Medizingeräte und über ein gewachsenes Krankenhausinformationssystem.

  • Intensivstation, OP und Patientenzimmer bleiben tabu
  • Medizingeräte werden nie aktiv angegriffen
  • Bericht mit Zuordnung zum B3S
1. Januar 2022 § 75c SGB V in Kraft
2 Jahre Anpassungsrhythmus
30.000 Fälle pro Jahr: ab hier KRITIS

Der Stationsplan: so läuft ein Angriff durch eure Klinik

Der Weg, den wir in Klinik-Assessments am häufigsten gehen: von der offensten Stelle des Hauses bis zu Patientenakten und Abrechnung.

  • Was ein Angreifer vorfindet
  • Was wir prüfen
Eingang
1

Empfang

Offene Tür, wenig Zeit

Externe Dienstleister laufen unangemeldet durchs Haus, die Rezeption ist zeitweise unbesetzt.

Zutrittsversuche als Techniker oder Lieferant, Tailgating an Nebeneingängen, fremde Ausweiskarten.

2

Station

Geräte am Bett, Personal unter Last

Vernetzte Medizingeräte am Bett, häufig vom Hersteller gewartet. Personal im Schichtdienst ohne Prüfzeit.

Phishing und Pretexting für den Schichtbetrieb, angemeldete Stationsrechner, Fernwartung der Geräte.

3

Flur und Netz

Die Frage der Segmentierung Weg des Angreifers

Ob ein kompromittierter Rechner ein lokales Problem bleibt, entscheidet die Trennung der Netze.

Netzwerksegmentierung, Berechtigungen, Active Directory. Wie weit kommt ein Angreifer aus einem Stationsnetz?

4

Serverraum und KIS

Akten, Abrechnung, Schnittstellen

Das KIS ist gewachsen und hat viele Schnittstellen zu Drittsystemen. Jede davon ist ein Weg hinein.

Schnittstellen, Fernwartung, Zugänge zum Serverraum, Rechtekonzept. Systeme mit direktem Patientenbezug nur passiv.

Medizinprodukte greifen wir im laufenden Betrieb nie aktiv an, wir prüfen ihre Netzanbindung und Fernwartungszugänge. Intensivstation, OP und alles mit direktem Patientenbezug sind tabu, schriftlich festgelegt vor dem ersten Schritt.

Ablauf eines Klinik-Pentests

  1. Scope mit Rücksicht auf Patientensicherheit

    Wir legen gemeinsam fest, was aktiv getestet und was nur passiv analysiert wird. Bei direktem Patientenbezug gilt: im Zweifel vorsichtiger testen.

  2. Test mit Notfallkontakt

    Netzwerk-Scans und manuelle Prüfung im vereinbarten Scope. Bei unerwarteten Auswirkungen auf produktive Systeme stoppen wir sofort.

  3. Bericht mit B3S-Zuordnung

    Jedes Finding bewertet nach Schweregrad, Ausnutzbarkeit und Auswirkung auf den Klinikbetrieb, mit Management-Summary.

Prüfraster: unsere Module im B3S-Themenfeld

§ 75c SGB V nennt den B3S der Deutschen Krankenhausgesellschaft als Weg, den Stand der Technik zu erfüllen. Welches Modul deckt welches Themenfeld ab, und wo begrenzt der Patientenbezug den Test?

Themenfeld Unser Modul Grenze durch Patientenbezug
Netzwerk- und SystemsicherheitInfrastruktur-PentestProduktive Systeme mit Patientenbezug nur passiv
Zugriffs- und BerechtigungsmanagementActive Directory PentestKeine Änderungen an produktiven Konten
Physische Sicherheit von Serverräumen und StationenPhysical PentestIntensivstation, OP und Patientenzimmer tabu
Sensibilisierung und Verhalten des PersonalsSocial Engineering und Phishing-SimulationKein Vorwand mit Bezug auf konkrete Patienten
Medizinprodukte und vernetzte GeräteIndividuelles AssessmentGeräte selbst werden nie aktiv angegriffen

Ob ein Feld als erfüllt gilt, entscheidet eure Prüfung nach B3S, nicht unser Bericht. Wir liefern die technischen Befunde und ihre Einordnung.

Was in vier Jahren passiert ist

  1. 1. Januar 2022

    § 75c SGB V tritt in Kraft

    Angemessene Vorkehrungen nach dem Stand der Technik, spätestens alle zwei Jahre anzupassen. Der B3S ist im Gesetz als Weg dorthin genannt.

  2. 2024

    SiKIS dokumentiert Schwachstellen in KIS

    Im Auftrag des BSI hat das Fraunhofer SIT Krankenhausinformationssysteme untersucht. Der Befund betrifft die Systemklasse.

  3. September 2024

    Wertachkliniken: ein Tag ohne IT

    Die Wertachklinik-Gruppe wurde nach Medienberichten Ziel eines Ransomware-Angriffs. Angaben nach öffentlicher Berichterstattung.

  4. 6. Dezember 2025

    NIS2-Umsetzungsgesetz in Kraft

    Das BSI-Gesetz wurde neu gefasst. Für KRITIS-Krankenhäuser bleiben die Pflichten bestehen und wachsen.

Wir sind unter anderem für die Kreiskliniken Reutlingen im Bereich IT- und Medizintechnik-Sicherheit tätig.

Fragen aus Klinikleitung und IT

Ist ein Penetrationstest für § 75c SGB V verpflichtend?

§ 75c schreibt keine Testmethode vor, verlangt sind angemessene Vorkehrungen nach dem Stand der Technik. Ein Penetrationstest ist das gängige Instrument, um zu belegen, dass sie wirken.

Könnt ihr auch vernetzte Medizingeräte testen?

Im eng abgestimmten Scope. Medizinprodukte dürfen im Betrieb nicht gefährdet werden, deshalb prüfen wir Netzanbindung, Segmentierung und Fernwartung statt der Geräte.

Welche Bereiche sind beim physischen Test tabu?

Intensivstation, OP-Bereich und alles mit direktem Patientenbezug. Die Liste steht vorher schriftlich fest.

Was kostet ein Pentest für eine Klinik?

Das hängt vom Umfang ab: Standorte, Systeme, Medizingeräte-Netze, Physical und Social Engineering. Nach dem Erstgespräch gibt es ein Festpreisangebot.

Der nächste Nachweis nach § 75c steht ohnehin an.

Ein kurzes Gespräch reicht, um Scope und Zeitrahmen zu klären. Danach bekommt ihr ein Festpreisangebot, ohne Verpflichtung.

Access Granted liefert den Penetrationstest und den technischen Nachweis, nicht die Prüfung nach B3S und nicht die Registrierung beim BSI.

Erstgespräch buchen Kontakt aufnehmen
hello@access-granted.de
+49 9281 5918506
Alles zur Leistung: access-granted.de/de/branchen/healthcare

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

© AccessGranted X GmbH Zuletzt aktualisiert: 18.09.2026