Krankenhäuser stehen vor einer wachsenden Lücke zwischen physischen und digitalen Beweismitteln
Krankenhäuser und Gesundheitsnetzwerke, die als kritische Infrastrukturen eingestuft sind, stehen zunehmend vor der gleichzeitigen Erfüllung physischer Resilienzanforderungen und Cybersecurity-Vorgaben. Betreiber, die als kritische Infrastruktur gelten, unterliegen in vielen Rechtsgebieten gleichzeitig auch den Cybersecurity-Anforderungen für wesentliche Einrichtungen. Dem physischen Bereich wird oft mehr Aufmerksamkeit geschenkt, da er sichtbare, überprüfbare Nachweise liefert. Im Cyberbereich hingegen besteht häufig Nachholbedarf.
Fragen Sie ein Krankenhaus, ob seine Systeme sicher sind, lautet die Antwort fast immer ja. Bitten Sie jedoch um einen Nachweis in Form von Aufzeichnungen statt bloßer Zusicherung, schwindet das Selbstvertrauen meist rasch. Dieser Artikel beleuchtet, warum gerade im Cyberbereich der kritischen Gesundheitsinfrastruktur häufig eine Evidenzlücke besteht und was nötig ist, um diese zu schließen.
Executive Summary
Als kritische Infrastruktur eingestufte Krankenhäuser stehen vor einer erweiterten Compliance-Fläche: Neben Anforderungen an die physische Resilienz gelten auch Cybersecurity-Verpflichtungen, weil der Betreiber zugleich als wesentliche Einrichtung gilt. Im Cyberbereich besteht Nachholbedarf, weil der erforderliche kontinuierliche, abfragbare Nachweis über Datenzugriffe im Nachhinein schwerer zu erbringen ist. Für Compliance- und IT-Verantwortliche besteht die praktische Priorität darin, die Evidenzlücke gerade dort zu schließen, wo Investitionen am leichtesten vernachlässigt werden – weil Versäumnisse erst bei einem Vorfall oder einer Prüfung sichtbar werden.
wichtige Erkenntnisse
- Krankenhäuser mit dem Status kritische Infrastruktur tragen jetzt gleichzeitig physische und Cyber-Verpflichtungen.
- Physische Resilienz lässt sich leicht nachweisen, da sie sichtbar ist. Cyber-Resilienz hat kein entsprechendes Gegenstück: Zugriffskontrollen lassen sich nicht durch einen Rundgang verifizieren.
- Vertrauen in Cyber-Resilienz ohne Aufzeichnungen ist eine Annahme, kein Nachweis. Ein Krankenhaus, das keinen konkreten Nachweis darüber liefern kann, wer worauf zugegriffen hat, verlässt sich auf das Ausbleiben eines Vorfalls.
- Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise, keine einmalige Bewertung.
- Die Nachweise, die Krankenhäuser benötigen, entsprechen denen aller wesentlichen Einrichtungen – sie stehen nur unter erhöhter Prüfung, da Patientendaten besonders sensibel sind.
Warum Krankenhäuser jetzt sowohl physische als auch Cyber-Verpflichtungen erfüllen müssen
Betreiber, die als kritische Infrastruktur gelten, stellen zunehmend fest, dass ihre Einstufung zwei getrennte, parallele Verpflichtungen auslöst – nicht nur eine.
Physische und Cyber-Resilienz sind als eigenständige Verpflichtungen reguliert
Physische Resilienz-Rahmenwerke konzentrieren sich auf die Aufrechterhaltung essenzieller Dienste bei Katastrophen, Sabotage und physischen Störungen. Cybersecurity-Verpflichtungen adressieren ganz andere Risiken: Vorfallmeldungen, Risikomanagement von Informationssystemen und Nachweise technischer Sicherheitsmaßnahmen. Ein Krankenhaus kann eine Seite vollständig erfüllen und auf der anderen dennoch angreifbar bleiben.
Die Prüfung nimmt schneller zu als die Evidenzpraxis der meisten Krankenhäuser
Mit der engeren Abstimmung zwischen physischen und Cyber-Aufsichtsbehörden steigen auch die Anforderungen an Krankenhäuser: Es reicht nicht, Kontrollen zu haben – sie müssen auch einen konkreten, mit Zeitstempel versehenen Nachweis liefern können, wie diese Kontrollen im Ernstfall funktioniert haben.
Warum physische Nachweise einfach und Cyber-Nachweise schwierig sind
Die Asymmetrie zwischen beiden Verpflichtungen liegt darin, dass die eine Nachweise von Natur aus erzeugt, während die andere gezielte Gestaltung erfordert.
Den Perimeter kann man abgehen, das Zugriffsprotokoll nicht
Eine physische Sicherheitsmaßnahme im Krankenhaus kann ein Prüfer direkt vor Ort begutachten. Ob der Zugriff auf Patientensysteme tatsächlich wie behauptet kontrolliert und protokolliert wurde, lässt sich nur durch die Auswertung von Aufzeichnungen belegen – und diese existieren nur, wenn die Systeme kontinuierlich darauf ausgelegt sind.
Das Ausbleiben eines Vorfalls ist kein Nachweis für Kontrolle
Viele Krankenhäuser betrachten stillschweigend das Fehlen von Problemen als Ersatz für nachgewiesene Kontrolle. Das bricht in dem Moment zusammen, in dem ein Vorfall oder eine behördliche Prüfung eintritt.
Was nötig ist, um die Cyber-Evidenzlücke zu schließen
Diese Lücke lässt sich nur schließen, wenn die Systeme, die Patientendaten verarbeiten, tatsächlich die Nachweise generieren, die die Richtlinie verlangt.
Kontinuierliches Logging in jedem System, das Patientendaten verarbeitet
Durchgängiges, vollständiges Logging über alle Kanäle, die Patientendaten verarbeiten, macht aus einer Vorfalluntersuchung eine Frage des Abrufs von Aufzeichnungen statt einer Rekonstruktion auf Verdacht.
Nachweise müssen vorliegen, bevor die Aufsicht fragt – nicht erst danach
Eine Aufsichtsbehörde, die einen Vorfall untersucht, stellt gezielte Fragen: Welche Patientendaten wurden von wem und mit welcher Berechtigung abgerufen? Ein Krankenhaus, das sofort antworten kann, ist in einer völlig anderen Position als eines, das erklären muss, warum keine Aufzeichnungen existieren.
Die Evidenzbasis schaffen, bevor sie gebraucht wird
Die praktische Priorität besteht darin, die Cyberseite dieser Verpflichtungen mit derselben Sorgfalt zu prüfen wie die physische Resilienz: Sicherstellen, dass das Logging kontinuierlich, schnell abfragbar ist und einer Aufsichtsbehörde genügt, die konkrete Nachweise verlangt.
Wie eine Data Control Plane die nötigen Nachweise für Krankenhäuser liefert
Die Kiteworks Data Control Plane setzt datenbewusste zero-trust-Kontrollen für jede Aktion auf jedem Kanal durch und erfasst sie in einem fälschungssicheren, unbegrenzten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. So erhalten Krankenhäuser einen kontinuierlichen, abfragbaren Nachweis darüber, was mit Patientendaten geschah, wann und mit welcher Berechtigung. Single-Tenant-Bereitstellungsoptionen sorgen dafür, dass diese Evidenzbasis unter der Kontrolle des Krankenhauses bleibt.
Krankenhäuser, die prüfen möchten, ob ihre eigenen Cyber-Evidenzpraktiken einer solchen Prüfung standhalten, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Krankenhäuser mit dem Status kritische Infrastruktur müssen sowohl physische Resilienzanforderungen als auch Cybersecurity-Verpflichtungen erfüllen, da der Betreiber als wesentliche Einrichtung nach den geltenden Vorschriften gilt.
Maßnahmen zur physischen Resilienz können Prüfer direkt vor Ort beobachten. Cyber-Kontrollen wie Zugriffsprotokollierung erfordern hingegen kontinuierliche, abfragbare Aufzeichnungen, die gezielt in Systeme integriert werden müssen und sich nicht visuell überprüfen lassen.
Erforderlich ist ein kontinuierliches, vollständiges Logging in allen Systemen, die Patientendaten verarbeiten. Die Nachweise müssen abfragbar und bereits vorhanden sein, bevor eine Aufsichtsbehörde sie anfordert – das Ausbleiben von Vorfällen reicht nicht als Nachweis für Kontrolle.
Eine Data Control Plane setzt datenbewusste zero-trust-Kontrollen für jede Aktion durch und erfasst diese in einem fälschungssicheren, unbegrenzten Audit-Trail, der in SIEM-Tools eingespeist wird. So entsteht ein kontinuierlicher, abfragbarer Nachweis über Zugriffe auf Patientendaten unter Kontrolle des Krankenhauses.