„Natürlich kann man jetzt argumentieren: Wenn ich keine IT habe, können auch meine Daten nicht verschlüsselt werden“, sagt Maik Wetzel, Strategic Business Development Director DACH beim Sicherheitshersteller Eset. „Aber das ist nicht effizient heutzutage.“ Muss zum Beispiel ein Patient in eine andere Praxis verlegt werden, wäre es sehr umständlich, ihm die Akte mit seinen Daten in Papierformat mitzugeben. „Digitalisierung muss immer mit der notwendigen IT-Sicherheit einhergehen“, mahnt Wetzel.

Um das umzusetzen, gibt es staatliche Anforderungen für die IT-Sicherheit in Kliniken in der Kritis-Verordnung, dem IT-Sicherheitsgesetzes 2.0 und der NIS-Richtlinie. Als Motivation fördern Bund und Länder die Umsetzung der Digitalisierung im Rahmen des Krankenhauszukunftsfonds mit 4,3 Milliarden Euro. „Die meisten Gesundheitseinrichtungen, vor allem Krankenhäuser, in denen es um medizinische Bedürfnisse der Patienten und oftmals sogar um Leben und Tod geht, gehören zu den Kritischen Infrastrukturen, die besonders schützenswert sind. Das erhöht den öffentlichen Druck auf die Betreiber“, sagt Elodie Oberli, Territory Managerin beim Hersteller Wallix.

Für Krankenhäuser allein kaum umzusetzen, für Security-Dienstleister ein profitables Geschäftsfeld. Doch Security-Projekte im Gesundheitssektor sind umfangreicher als in klassischen Unternehmen, wie Marc Niederberghaus, Director Business Development beim Systemhaus Controlware, berichtet. Lösungen und Konzepte, die bei der klassischen Unternehmens-IT funktionieren, können nicht eins zu eins für das Gesundheitswesen übernommen werden. Verschiedene Endgeräte für die Versorgung, Patientenportale und elektronische Gesundheitsakten müssen im Zuge der Digitalisierung miteinander verbunden werden. Und das, ohne die etablierten Prozesse der Klinikmitarbeiter zu stören. Dazu kommt, dass es im Gegensatz zu IT-Endgeräten unzulässig ist, medizintechnische Geräte softwareseitig zu modifizieren, indem zum Beispiel Schutzsoftware installiert wird. Dadurch verlieren die Geräte ihre Zulassung. „Da keine Softwareinstallationen möglich sind, bleibt die Möglichkeit auf Netzwerkebene einzugreifen“, erklärt Paul Karrer, Geschäftsführer des Bereichs Enterprise Computing Solutions beim Distributor Arrow. Durch den eingeschränkten Zugang zum Netzwerk könnte es laut Karrer jedoch passieren, dass Medizintechnik nur noch eingeschränkt funktioniert. Deshalb müssen Systemhäuser viel technisches Knowhow aufbauen.

Aber auch, um die Krankenhäuser bei den Anträgen für Fördermittel zu unterstützen. Wollen Einrichtungen eine Förderung beantragen, müssen sie die IT-Security mitbedenken. Das Bundesamt für Soziale Sicherung gibt die Ziele für die Sicherheitskonzepte vor, von denen mindestens eines enthalten sein muss: