Am 10. Februar 2016 wurde bekannt, dass das IT-System am Lukas-Krankenhaus im rheinischen Neuss das Opfer eines Schadsoftware-Angriffs mit Ransomware wurde. Die Folgen waren weitreichend: Aufnahmen und Operationen mussten verschoben werden. Presse und Fernsehen berichteten ausführlich. Wenige Tage später traf es das Krankenhaus im sauerländischen Arnsberg. Ein Wochenende lang fiel hier die IT aus. Auch hier mit ganz ähnlichen Folgen: Die Aufnahme von Patienten musste verschoben werden, umliegende Krankenhäuser mussten einspringen.
In beiden bekannt gewordenen Fällen kam die Frage auf, ob Krankenhaus-IT-Systeme nicht sicher genug sind, weil die Hersteller das Thema nicht ernst genug nehmen. Oder sind es vorrangig die Krankenhausbetreiber, die ihre IT-Abteilungen personell und finanziell darben lassen? Einfach lassen sich diese Fragen nicht beantworten – wie so häufig dürften mehrere Faktoren ausschlaggebend sein.
Klar ist aber, dass der Ausfall ihrer gesamten IT die Kliniken teuer zu stehen kommt. Konkrete gesetzliche Konsequenzen sind auch schon in Ausarbeitung: Zumindest große Klinikbetriebe werden bald mit zentralen Meldestellen arbeiten müssen und Zwischenfälle ab einer bestimmten Größenordnung an das Bundesamt für Sicherheit in der Informationstechnologie (BSI) melden müssen. Denn auch sie zählen zu den Kritischen Infrastrukturen (KRITIS). Genaue Vorgaben für Krankenhäuser sowie Unternehmen aus dem Gesundheitssektor sollen im Frühjahr 2017 finalisiert werden.
Auch die Forderung nach einer Umsetzung des IT-Grundschutz und der ISO 27001 wird wohl gesetzlich geregelt werden. Die notwendigen Investitionen hierfür dürften sich freilich bezahlt machen, wenn man die fortlaufend entstehenden Schäden betrachtet.
