Veraltete IT-Systeme und unzureichend gesicherte IoT-Geräte stellen im Jahr 2025 weiterhin eine der größten Schwachstellen in deutschen Krankenhäusern dar. Angriffe belegen die Gefährlichkeit dieser Situation. Um Risiken zu begegnen, sind konsequentes Patch- und Update-Management, die Segmentierung von Netzwerken notwendig, um kritische Medizintechnik von Büro-IT zu trennen, sowie der Einsatz von Intrusion-Detection-Systemen. Die Verantwortung für die Umsetzung dieser Maßnahmen liegt bei der Krankenhausleitung, den IT-Verantwortlichen sowie den Herstellern und Dienstleistern.
Der technologische Fortschritt im Gesundheitswesen schreitet zwar voran, doch viele Einrichtungen arbeiten weiterhin mit Betriebssystemen und Geräten, die keine aktuellen Sicherheitsupdates mehr erhalten. Diese Schwachstellen bieten Angriffsflächen für Cyberkriminelle, etwa durch Ransomware-Attacken oder das Abgreifen sensibler Patientendaten. Besonders problematisch ist die wachsende Zahl vernetzter Medizingeräte, die oft nicht für den dauerhaften Internetbetrieb konzipiert wurden und daher über mangelhafte Schutzmechanismen verfügen. Häufig fehlt es an standardisierten Sicherheitsrichtlinien und einem zentralen IT-Management. Die mangelnde Investition in moderne IT-Infrastrukturen resultiert nicht nur aus Budgetbeschränkungen, sondern auch aus fehlendem Bewusstsein für Cybersicherheitsrisiken. Um den Status quo zu verbessern, sind gezielte Investitionen, regelmäßige Updates sowie Schulungen für Mitarbeitende unerlässlich, um den Schutz kritischer Systeme nachhaltig zu gewährleisten.
Kliniken leiden an kritischen Schwachstellen
Veraltete IT-Systeme und unzureichend gesicherte IoT-Geräte stellen im Jahr 2025 weiterhin eine der größten Schwachstellen in deutschen Krankenhäusern dar. Viele Kliniken arbeiten noch immer mit überalterten Betriebssystemen, nicht mehr unterstützter Medizintechnik und proprietären Geräten, für die keine regelmäßigen Sicherheitsupdates bereitgestellt werden. Insbesondere in der Medizintechnik sind Geräte oft über viele Jahre im Einsatz, da hohe Investitionskosten und komplexe Zulassungsverfahren einen schnellen Austausch erschweren. Dies führt dazu, dass bekannte Schwachstellen – etwa in Windows-Systemen, Netzwerkkomponenten oder medizinischen IoT-Geräten – nicht zeitnah geschlossen werden können. Der aktuelle Status quo zeigt, dass trotz gestiegener Sensibilität für IT-Sicherheit viele Krankenhäuser beim Patch-Management und der Segmentierung von Netzwerken Defizite aufweisen. So sind laut aktuellen Studien über 60 Prozent der Kliniken von kritischen Schwachstellen betroffen, die Angreifern das Eindringen in sensible Systeme ermöglichen.
Spektakuläre Angriffe belegen die Gefährlichkeit dieser Situation: Mehrere Ransomware-Attacken in den Jahren 2024 und 2025 nutzten gezielt Schwachstellen in veralteter Software oder unsicheren IoT-Geräten aus. Beispielsweise wurde eine große Klinik in Nordrhein-Westfalen durch eine Sicherheitslücke in einem nicht gepatchten Bildarchivierungssystem lahmgelegt, was zu massiven Einschränkungen in der Patientenversorgung führte. Auch Angriffe auf vernetzte Infusionspumpen und Diagnostikgeräte wurden dokumentiert, bei denen Angreifer über das Krankenhausnetzwerk Zugriff auf lebenswichtige Systeme erlangten.
Zu den Angriffen auf Krankenhäuser zählen der Ransomware-Angriff auf rund 100 rumänische Krankenhäuser im Februar 2025, bei dem die IT vieler Einrichtungen ausfiel. Mehrere Attacken auf deutsche Kliniken zeigten: Am 24. Dezember 2023 wurden Krankenhäuser der Katholischen Hospitalvereinigung Ostwestfalen (KHO) Ziel eines Cyberangriffs mit der Ransomware Lockbit 3.0, was zum kompletten Ausfall der IT führte. Am 27. Januar 2024 traf es die Bezirkskliniken Mittelfranken, wo Angreifer Daten verschlüsselten und abgezogen hatten. Auch die Caritas-Klinik Dominikus in Berlin war im Januar 2024 betroffen, ebenso wie die Johannesstift Diakonie im Oktober 2024, wo vier Krankenhäuser und weitere Einrichtungen lahmgelegt wurden. Laut Sophos-Studie erreichten Ransomware-Angriffe auf Gesundheitseinrichtungen 2024 ein Vierjahreshoch, 67 Prozent der befragten Kliniken waren betroffen.
Verantwortung trägt die Krankenhausleitung
Um diesen Risiken zu begegnen, sind umfassende Maßnahmen notwendig. Dazu zählen ein konsequentes Patch- und Update-Management, die Segmentierung von Netzwerken, um kritische Medizintechnik von Büro-IT zu trennen, sowie der Einsatz von Intrusion-Detection-Systemen. Die regelmäßige Durchführung von Schwachstellenanalysen und Penetrationstests ist ebenso essenziell wie die Sensibilisierung des Personals für IT-Sicherheitsrisiken. Auch die Beschaffungspolitik muss angepasst werden: Bereits bei der Geräteauswahl sollten Sicherheitsaspekte und Updatefähigkeit zentrale Kriterien sein.
Die Verantwortung für die Umsetzung dieser Maßnahmen liegt bei der Krankenhausleitung, den IT-Verantwortlichen sowie den Herstellern und Dienstleistern, die für die Wartung und Sicherheit der eingesetzten Systeme sorgen müssen. Durch ein koordiniertes Vorgehen aller Beteiligten lässt sich die wachsende Bedrohung durch Schwachstellen nachhaltig eindämmen.
Autor: Wolf-Dietrich Lorenz
Foto: Adobe Stock / Papisut
