Ein Klinikgelände hat drei Türen, die ein Angreifer wirklich braucht

Empfang, Station, Serverraum. Diese drei Stellen erklären, wie Kliniken angegriffen werden: über Menschen im Schichtdienst, über vernetzte Medizingeräte und über ein gewachsenes Krankenhausinformationssystem.

  • Intensivstation, OP und Patientenzimmer bleiben tabu
  • Medizingeräte werden nie aktiv angegriffen
  • Bericht mit Zuordnung zum B3S
1. Januar 2022 § 75c SGB V in Kraft
26.03.2024 § 391 SGB V ersetzt § 75c
30.000 Fälle pro Jahr: ab hier KRITIS

Der Stationsplan: so läuft ein Angriff durch eure Klinik

Der Weg, den wir in Klinik-Assessments am häufigsten gehen: von der offensten Stelle des Hauses bis zu Patientenakten und Abrechnung.

  • Was ein Angreifer vorfindet
  • Was wir prüfen
Eingang
1

Empfang

Offene Tür, wenig Zeit

Externe Dienstleister laufen unangemeldet durchs Haus, die Rezeption ist zeitweise unbesetzt.

Zutrittsversuche als Techniker oder Lieferant, Tailgating an Nebeneingängen, fremde Ausweiskarten.

2

Station

Geräte am Bett, Personal unter Last

Vernetzte Medizingeräte am Bett, häufig vom Hersteller gewartet. Personal im Schichtdienst ohne Prüfzeit.

Phishing und Pretexting für den Schichtbetrieb, angemeldete Stationsrechner, Fernwartung der Geräte.

3

Flur und Netz

Die Frage der Segmentierung Weg des Angreifers

Ob ein kompromittierter Rechner ein lokales Problem bleibt, entscheidet die Trennung der Netze.

Netzwerksegmentierung, Berechtigungen, Active Directory. Wie weit kommt ein Angreifer aus einem Stationsnetz?

4

Serverraum und KIS

Akten, Abrechnung, Schnittstellen

Das KIS ist gewachsen und hat viele Schnittstellen zu Drittsystemen. Jede davon ist ein Weg hinein.

Schnittstellen, Fernwartung, Zugänge zum Serverraum, Rechtekonzept. Systeme mit direktem Patientenbezug nur passiv.

Medizinprodukte greifen wir im laufenden Betrieb nie aktiv an, wir prüfen ihre Netzanbindung und Fernwartungszugänge. Intensivstation, OP und alles mit direktem Patientenbezug sind tabu, schriftlich festgelegt vor dem ersten Schritt.

Ablauf eines Klinik-Pentests

  1. Scope mit Rücksicht auf Patientensicherheit

    Wir legen gemeinsam fest, was aktiv getestet und was nur passiv analysiert wird. Bei direktem Patientenbezug gilt: im Zweifel vorsichtiger testen.

  2. Test mit Notfallkontakt

    Netzwerk-Scans und manuelle Prüfung im vereinbarten Scope. Bei unerwarteten Auswirkungen auf produktive Systeme stoppen wir sofort.

  3. Bericht mit B3S-Zuordnung

    Jedes Finding bewertet nach Schweregrad, Ausnutzbarkeit und Auswirkung auf den Klinikbetrieb, mit Management-Summary.

Prüfraster: unsere Module im B3S-Themenfeld

§ 391 SGB V nennt einen vom BSI als geeignet festgestellten B3S, in der Praxis den der DKG, als Weg zum Stand der Technik. Welches Modul deckt welches Themenfeld ab, und wo begrenzt der Patientenbezug den Test?

Themenfeld Unser Modul Grenze durch Patientenbezug
Netzwerk- und SystemsicherheitInfrastruktur-PentestProduktive Systeme mit Patientenbezug nur passiv
Zugriffs- und BerechtigungsmanagementActive Directory PentestKeine Änderungen an produktiven Konten
Physische Sicherheit von Serverräumen und StationenPhysical PentestIntensivstation, OP und Patientenzimmer tabu
Sensibilisierung und Verhalten des PersonalsSocial Engineering und Phishing-SimulationKein Vorwand mit Bezug auf konkrete Patienten
Medizinprodukte und vernetzte GeräteIndividuelles AssessmentGeräte selbst werden nie aktiv angegriffen

Ob ein Feld als erfüllt gilt, entscheidet eure Prüfung nach B3S, nicht unser Bericht. Wir liefern die technischen Befunde und ihre Einordnung.

Was in vier Jahren passiert ist

  1. 1. Januar 2022

    § 75c SGB V tritt in Kraft

    Angemessene Vorkehrungen nach dem Stand der Technik; seit 26.03.2024 in § 391 SGB V, ohne Zwei-Jahres-Frist. Der B3S ist als Weg dorthin genannt.

  2. September 2024

    Wertachkliniken: Klinikbetrieb ohne IT

    Ransomware-Angriff auf die Wertachklinik-Gruppe, nach öffentlicher Berichterstattung.

  3. März 2025

    SiKIS dokumentiert Schwachstellen in KIS

    Im Auftrag des BSI hat das Fraunhofer SIT Krankenhausinformationssysteme untersucht. Der Befund betrifft die Systemklasse.

  4. 6. Dezember 2025

    NIS2-Umsetzungsgesetz in Kraft

    Das BSI-Gesetz wurde neu gefasst. Für KRITIS-Krankenhäuser bleiben die Pflichten bestehen und wachsen.

Wir sind unter anderem für die Kreiskliniken Reutlingen im Bereich IT- und Medizintechnik-Sicherheit tätig.

Fragen aus Klinikleitung und IT

Ist ein Penetrationstest nach § 391 SGB V verpflichtend?

§ 391 SGB V schreibt keine Testmethode vor, verlangt sind angemessene Vorkehrungen nach dem Stand der Technik. Ein Penetrationstest ist das gängige Instrument, um zu belegen, dass sie wirken.

Könnt ihr auch vernetzte Medizingeräte testen?

Im eng abgestimmten Scope. Medizinprodukte dürfen im Betrieb nicht gefährdet werden, deshalb prüfen wir Netzanbindung, Segmentierung und Fernwartung statt der Geräte.

Welche Bereiche sind beim physischen Test tabu?

Intensivstation, OP-Bereich und alles mit direktem Patientenbezug. Die Liste steht vorher schriftlich fest.

Was kostet ein Pentest für eine Klinik?

Das hängt vom Umfang ab: Standorte, Systeme, Medizingeräte-Netze, Physical und Social Engineering. Nach dem Erstgespräch gibt es ein Festpreisangebot.

Der Stand der Technik bleibt nicht stehen.

Ein kurzes Gespräch reicht, um Scope und Zeitrahmen zu klären. Danach bekommt ihr ein Festpreisangebot, ohne Verpflichtung.

Access Granted liefert den Penetrationstest und den technischen Nachweis, nicht die Prüfung nach B3S und nicht die Registrierung beim BSI.

Erstgespräch buchen Kontakt aufnehmen
hello@access-granted.de
+49 9281 5918506
Alles zur Leistung: access-granted.de/de/branchen/healthcare

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

© AccessGranted X GmbH Zuletzt aktualisiert: 18.09.2026