Cybersecurity in der Pflege – Patientendaten wirksam schützen

Pflegeunternehmen sind keine Banken – aber sie speichern sensible Gesundheitsdaten, die auf dem Schwarzmarkt begehrte Ware sind. Ransomware-Angriffe auf Krankenhäuser und Pflegedienste nehmen zu. Dieser Artikel zeigt, welche Risiken bestehen und wie Sie sich praktisch schützen.

Warum Pflegeunternehmen attraktive Angriffsziele sind

Gesundheitsdaten sind wertvoll: Auf dem Schwarzmarkt erzielen sie das 10- bis 20-fache von Kreditkartendaten. Der Grund: Gesundheitsdaten können nicht einfach geändert werden – sie sind dauerhaft missbrauchbar für Identitätsdiebstahl.

Zudem haben Pflegeunternehmen oft:

Schwachstelle	Warum es ein Risiko ist
Veraltete IT-Infrastruktur	Windows 7, ungepatchte Server
Wenig IT-Personal	Oft gar keine professionelle IT-Betreuung
Hohe Dringlichkeit	Bei Ransomware zahlen viele, weil Patienten versorgt werden müssen
Vielschichtiger Zugriff	Viele Mitarbeiter, oft private Geräte

Das macht Pflegeunternehmen zum „low-hanging fruit" für Angreifer.

Die häufigsten Bedrohungen

Ransomware

Die größte Gefahr: Software verschlüsselt alle Daten und fordert Lösegeld. Laut dem BSI-Lagebericht 2024 wurden in Deutschland über 70 Gesundheitseinrichtungen von Ransomware angegriffen.

Typischer Ablauf:

1. Phishing-Mail mit infiziertem Anhang

2. Malware installiert sich unbemerkt

3. Nach Tagen/Wochen: Verschlüsselung aller Daten

4. Lösegeldforderung (oft 10.000–100.000 €)

5. Betrieb steht still – Patientenversorgung gefährdet

Phishing & Social Engineering

Mitarbeiter in der Pflege sind oft wenig IT-geschult. E-Mails wie „Ihr Gehaltsnachweis" oder „Wichtige Information der Krankenkasse" werden häufig geklickt.

Unverschlüsselte Geräte

Laptops und Tablets mit Patientendaten, die in Bus oder Auto gestohlen werden – ohne Verschlüsselung ein Datenschutz-GAU.

Schwache Passwörter

„Pflege2024" als Passwort ist kein Passwort. Es ist eine Einladung.

DSGVO-Strafen: Was auf dem Spiel steht

Die DSGVO droht mit Bußgeldern bis zu 20 Mio. € oder 4 % des Jahresumsatzes – je nachdem, was höher ist. In der Praxis sehen Bußgelder bei Pflegeunternehmen oft so aus:

Verstoß	Typisches Bußgeld
Fehlende Verschlüsselung mobiler Geräte	5.000–50.000 €
Unzulässige Datenweitergabe	10.000–100.000 €
Fehlende Datenschutz-Folgenabschätzung	5.000–50.000 €
Keine angemessenen IT-Sicherheitsmaßnahmen	10.000–500.000 €
Verstoß gegen Meldepflicht bei Datenpannen	5.000–100.000 €

Erschwerend: Die Aufsichtsbehörden prüfen bei Gesundheitseinrichtungen besonders streng – Gesundheitsdaten gelten als besondere Kategorien personenbezogener Daten (Art. 9 DSGVO).

10 Praxistipps für mehr IT-Sicherheit

1. Passwortmanagement einführen

• Ein Passwort-Manager für alle Mitarbeiter
• Mindestens 12 Zeichen, komplexe Passwörter
• Keine Passwortwiederverwendung

2. Zwei-Faktor-Authentifizierung (2FA)

• Für alle Systeme mit Patientendaten
• SMS, Authenticator-App oder Hardware-Key
• Besonders wichtig für Remote-Zugang

3. Geräte verschlüsseln

• BitLocker (Windows) oder FileVault (Mac) aktivieren
• Mobile Device Management (MDM) für Tablets und Smartphones
• Keine Patientendaten auf unverschlüsselten USB-Sticks

4. Updates und Patches automatisieren

• Automatische Updates für Betriebssystem und Software
• Mindestens ein Patch-Day pro Monat
• End-of-Life-Systeme (Windows 7!) sofort ersetzen

5. Backup-Strategie (3-2-1-Regel)

• 3 Kopien der Daten
• auf 2 verschiedenen Medien
• 1 Kopie außer Haus (Cloud oder sicherer Standort)
• Backups regelmäßig testen – ein ungetestetes Backup ist kein Backup

6. Phishing-Schulungen für Mitarbeiter

• Regelmäßige Simulationen (Phishing-Tests)
• Klare Regel: Unbekannte Anhänge nicht öffnen
• Verdächtige Mails an IT melden

7. Netzwerksegmentierung

• Patientendaten auf einem separaten Netzwerk
• IoT-Geräte (Pflegebetten, Messgeräte) isolieren
• Gästenetz getrennt vom Firmennetz

8. Notfallplan für Ransomware

• Wer wird informiert? (Geschäftsführung, IT, Datenschutzbeauftragter)
• Backup-Einspielung testen
• Entscheidung: Zahlen oder Neuinstallation?

9. Datenschutzbeauftragten benennen

• Ab 20 Mitarbeitern, die personenbezogene Daten verarbeiten, ist ein DSB Pflicht
• Auch externe DSB möglich
• Der DSB hilft bei der Umsetzung der technisch-organisatorischen Maßnahmen (TOMs)

10. Regelmäßige Sicherheitsaudits

• Mindestens einmal jährlich
• Externe Audits alle 2 Jahre
• Penetrationstests bei kritischer Infrastruktur

Was Pflegesoftware zur Sicherheit beitragen kann

Moderne Pflegesoftware bietet Sicherheitsfunktionen, die manuell kaum umsetzbar sind:

Funktion	Sicherheitsnutzen
Rollenbasierte Zugriffskontrolle	Jeder Mitarbeiter sieht nur, was er sehen darf
Automatische Sperrung	Inaktivitäts-Timeout nach konfigurierbaren Minuten
Audit-Trail	Jeder Zugriff wird protokolliert
Verschlüsselte Datenübertragung	TLS für alle Datenwege
DSGVO-konforme Datenhaltung	Server in Deutschland/EU, Auftragsdatenverarbeitung (AVV) geregelt

FAQ: Cybersecurity in der Pflege

Sind Pflegeunternehmen wirklich im Visier von Hackern?

Ja. Laut BSI-Lagebericht sind Gesundheitseinrichtungen die am häufigsten angegriffenen Organisationen in Deutschland – vor Banken und Behörden.

Was kostet ein Cyberangriff durchschnittlich?

Laut aktuellen Studien 25.000–500.000 € pro Vorfall (inkl. Ausfallzeit, Wiederherstellung, Bußgelder). Bei Ransomware mit Lösegeldzahlung kann es deutlich mehr sein.

Reicht ein Antivirenprogramm?

Nein. Antivirensoftware ist nur ein Baustein. Mindestens genauso wichtig: Updates, Backups, 2FA, Mitarbeiterschulungen und Verschlüsselung.

Muss ich einen Datenschutzbeauftragten bestellen?

Ab 20 Mitarbeitern, die personenbezogene Daten verarbeiten, ist ein DSB gesetzlich verpflichtend. Für Pflegeunternehmen gilt das fast immer.

Wie schnell muss ich eine Datenpanne melden?

Innerhalb von 72 Stunden nach Bekanntwerden bei der Aufsichtsbehörde (Art. 33 DSGVO). Bei hohem Risiko für Betroffene müssen diese ebenfalls informiert werden (Art. 34 DSGVO).

Fazit

Cybersecurity ist keine Optionalität – sie ist eine Pflicht, insbesondere im Gesundheitswesen. Die Investition in IT-Sicherheit ist deutlich günstiger als die Folgen eines Angriffs: Bußgelder, Reputationsschaden, Betriebsstillstand. Beginnen Sie mit den Basics: Passwörter, Updates, Backups, Verschlüsselung.

15 Minuten Beratung – dann wissen Sie, ob es passt. Kontaktieren Sie uns für ein unverbindliches Gespräch zu IT-Sicherheit in der Pflege. Lesen Sie auch unseren Artikel zur DSGVO in der Pflege.

---