Cybersecurity im Gesundheitswesen: Vielen Einrichtungen fehlt der klare Fahrplan

Michael Klatte, IT-Journalist, Eset Deutschland. (Source:zVg)

Michael Klatte, IT-Journalist, Eset Deutschland. (Source:zVg)

Viele Einrichtungen reagieren vor allem auf akute Probleme: Nach einem Phishing-Vorfall wird die E-Mail-Sicherheit verbessert, nach einem Audit folgt die Einführung von Multi-Faktor-Authentifizierung, nach einem Ransomware-Vorfall wird über Backups gesprochen. Was dabei häufig entsteht, sind einzelne Sicherheitsmassnahmen ohne übergeordnetes Gesamtkonzept. Genau darin liegt eines der grössten Risiken im Gesundheitswesen. Denn die Angriffsfläche wächst kontinuierlich. Neben klassischen Clients und Servern kommen heute mobile Geräte, Cloud-Dienste, Home­office-Arbeitsplätze, Patientenportale und vernetzte Medizingeräte hinzu. Gleichzeitig arbeiten viele Einrichtungen mit historisch gewachsenen IT-Strukturen, begrenzten Ressourcen und einem hohen Verfügbarkeitsdruck.

Schweiz ist kein Einzelfall

Dass die Probleme struktureller Natur sind, zeigen Entwicklungen in Deutschland ebenso wie in der Schweiz. Das Nationale Test­institut für Cybersicherheit (NTC) fand Anfang 2025 in mehreren Schweizer Klinikinformationssystemen mehr als 40 mittlere bis kritische Schwachstellen. Teilweise gelang es den Forschenden innerhalb weniger Stunden, weitreichenden Zugriff auf sensible Systeme und Patientendaten zu erhalten. Auch andere Studien zeichnen ein ähnliches Bild: Fehlende Security-Ressourcen, ungepatchte Systeme und mangelnde Transparenz über die eigene Infrastruktur zählen weiterhin zu den grössten Problemen vieler Gesundheitseinrichtungen.

Zusätzlich steigt der regulatorische Druck. In der EU erhöhen Vorgaben wie NIS-2 die Anforderungen an Risikomanagement, Incident Reporting und Lieferkettensicherheit. Auch in der Schweiz rücken Datenschutz und Cyberresilienz stärker in den Fokus, unter anderem durch das revidierte Datenschutzgesetz (rev­DSG). Für viele Einrichtungen wird Cybersecurity damit zunehmend auch zu einer Compliance- und Governance-Frage.

Dabei unterscheiden sich die Anforderungen durchaus. Eine grosse Klinik benötigt andere Sicherheitsarchitekturen als eine Arztpraxis oder ein MVZ. Trotzdem ähneln sich die zentralen Risiken. Besonders häufig nutzen Angreifer gestohlene Zugangsdaten, Phishingmails und ungepatchte Endgeräte als Einfallstore oder schlecht segmentierte Netzwerke für Horizontalbewegungen.

Gestohlene Benutzerkonten gehören weiterhin zu den häufigsten Ursachen erfolgreicher Angriffe. Schwache Passwörter, fehlende Multi-Faktor-Authentifizierung oder zu weitreichende Berechtigungen erleichtern Angreifern den Zugriff auf interne Systeme erheblich. Gleichzeitig bleibt die E-Mail einer der wichtigsten Angriffsvektoren. Unter hohem Zeitdruck reichen oft wenige Sekunden der Unachtsamkeit aus, um Schadsoftware einzuschleusen oder Zugangsdaten preiszugeben.

Priorisierung statt Insellösungen

Nicht jede Gesundheitseinrichtung benötigt sofort ein eigenes SOC oder eine komplexe Zero-Trust-Architektur. Entscheidend ist zunächst ein realistischer Blick auf die eigene Angriffsfläche. Ein pragmatischer Einstieg beginnt häufig bei Identitätsschutz, E-Mail-Security und Endpoint Security. Massnahmen wie Multi-­Faktor-Authentifizierung, modernes Patchmanagement oder cloud­basierte Analyse- und Sandboxing-Technologien lassen sich vergleichsweise schnell umsetzen und reduzieren Risiken unmittelbar.

Gerade hier gewinnt der Channel zunehmend an Bedeutung. Partner und Dienstleister übernehmen nicht mehr nur die Bereitstellung einzelner Produkte, sondern unterstützen Einrichtungen bei der Analyse, Priorisierung, Integration und beim Betrieb. Denn Cybersecurity im Gesundheitswesen ist längst kein reines IT-Thema mehr. Fällt ein System aus, betrifft das heute nicht nur Daten und Prozesse, sondern im Ernstfall auch die Patientenversorgung.

"Sicherheit ist heute eine Frage der ­Prioritäten"

Cybersicherheit bleibt auch für Gesundheitseinrichtungen eine Daueraufgabe. Im Interview erläutert Rainer Schwegler, Senior Territory Manager Switzerland bei Eset Deutschland, weshalb die Priorisierung von Risiken und Sicherheitsmassnahmen zunehmend an Bedeutung gewinnt und welche Rolle der Channel dabei spielt. Interview:­ Dylan Windhaber

Viele Gesundheitseinrichtungen investieren bereits seit Jahren in Security. Weshalb bleibt das Thema trotzdem so präsent?

Rainer Schwegler: Weil Cybersecurity kein Projekt mit einem End­datum ist. Die Bedrohungslage entwickelt sich ständig weiter, gleichzeitig verändern sich die IT-Umgebungen kontinuierlich. Hinzu kommt ein weiterer Aspekt: Viele Einrichtungen haben ihre Infrastruktur über Jahre oder sogar Jahrzehnte aufgebaut. Neue Lösungen werden integriert, bestehende Systeme bleiben oft lange im Einsatz. Dadurch entstehen heterogene Umgebungen mit zahlreichen Schnittstellen und Abhängigkeiten. Aus Sicht der Verantwortlichen lautet die Herausforderung deshalb nicht mehr: Welche Lösung benötigen wir? Viel häufiger lautet die Frage: Wo erzielen wir mit den verfügbaren Ressourcen den grössten Sicherheitsgewinn?

Das klingt nach einer Budgetfrage.

Budget spielt zweifellos eine wichtige Rolle. Viele Spitäler und Gesundheitseinrichtungen stehen unter erheblichem wirtschaft­lichem Druck. Gleichzeitig steigen die Anforderungen durch Digitalisierung, Datenschutz und Regulierung. Allerdings greift es zu kurz, die Situation ausschliesslich auf fehlende Budgets zu reduzieren. Die meisten Einrichtungen könnten auch mit zusätzlichen Mitteln nicht alle Risiken gleichzeitig adressieren. Dafür sind die Anforderungen inzwischen schlicht zu vielfältig. Wichtig ist deshalb die Fähigkeit, Risiken realistisch zu bewerten und Massnahmen sinnvoll zu priorisieren.

Welche Rolle kann der Channel dabei übernehmen?

Genau hier verändert sich die Rolle des Fachhandels. Kunden suchen heute deutlich häufiger nach Orientierung und strategischer Unterstützung. Viele Einrichtungen verfügen über qualifizierte IT-Teams. Was häufig fehlt, sind Zeit und personelle Ressourcen, um neben dem Tagesgeschäft auch langfristige Sicherheitsstrategien zu entwickeln und umzusetzen. Der Channel kann hier helfen, die vorhandene Infrastruktur zu analysieren, Risiken zu bewerten und gemeinsam einen realistischen Fahrplan zu entwickeln. Dabei geht es nicht darum, möglichst viele Produkte zu verkaufen. Viel wichtiger ist die Frage, welche Massnahmen den grössten Nutzen bringen und wie sich diese in bestehende Umgebungen integrieren lassen.

Welche Themen stehen aktuell besonders im Fokus?

Sehr häufig sprechen wir über Identitäten und Zugriffsrechte. Angreifer zielen heute zunehmend auf Benutzerkonten ab, weil sie damit oft vergleichsweise einfach Zugang zu kritischen Systemen erhalten. Daneben bleibt E-Mail-Sicherheit ein wichtiges Thema. Trotz aller technischen Entwicklungen beginnen viele Angriffe weiterhin mit einer Phishing-Nachricht oder mit kompromittierten Zugangsdaten. Gleichzeitig wächst das Interesse an Lösungen, die mehr Transparenz schaffen. Viele Einrichtungen möchten besser verstehen, welche Systeme miteinander kommunizieren, wo sensible Daten verarbeitet werden und welche Risiken tatsächlich bestehen. Auch Managed Services gewinnen an Bedeutung. Nicht jede Organisation kann rund um die Uhr Sicherheitsereignisse überwachen oder eigene Spezialisten für Incident Response vorhalten.

Was bedeutet das für die Zukunft des Channels im Gesundheitswesen?

Die Nachfrage nach Beratung, Integration und Managed Services wird weiter steigen. Gesundheitseinrichtungen suchen zunehmend Partner, die technologische, organisatorische und regulatorische Anforderungen gemeinsam betrachten können. Die eigentliche Herausforderung besteht heute nicht darin, die nächste Sicherheits­lösung zu finden. Die meisten Technologien sind verfügbar. Die grössere Aufgabe besteht darin, aus einer Vielzahl möglicher Massnahmen diejenigen auszuwählen, die unter den gegebenen Rahmenbedingungen den grössten Mehrwert liefern.

Die Digitalisierung im Gesundheitswesen schreitet voran. Gleichzeitig nehmen Cyberrisiken zu. Welche Auswirkungen hat das auf die Anforderungen der Kunden?

Rainer Schwegler: Kundengespräche haben sich in den vergangenen Jahren deutlich verändert. Früher ging es oft um einzelne Produkte oder klar abgegrenzte Projekte. Heute sehen wir wesentlich häufiger Diskussionen über Risiken, Resilienz und die langfristige Planung. Das hat vor allem mit der zunehmenden Digitalisierung zu tun. Moderne Gesundheitseinrichtungen betreiben heute weit mehr als klassische Arbeitsplatzrechner und Server. Patientenportale, mobile Anwendungen, Cloud-Dienste, digitale Verwaltungsprozesse und vernetzte Medizingeräte sind mittlerweile fester Bestandteil des Betriebs. Jede neue Anwendung bringt Vorteile mit sich, erhöht aber gleichzeitig die Komplexität der IT-Landschaft. Dadurch entstehen neue Anforderungen an Sicherheit, Transparenz und Governance.

Jetzt informieren