Die Krankenhaustransformationsfonds-Verordnung (KHTFV) ist ein zentrales Instrument zur nachhaltigen Neuausrichtung der Krankenhauslandschaft in Deutschland. Während das Krankenhauszukunftsgesetz (KHZG) primär die Digitalisierung von Prozessen und Infrastrukturen vorangetrieben hat, geht die KHTFV einen Schritt weiter: Sie ermöglicht strukturelle Veränderungen und unterstützt Krankenhäuser bei der langfristigen Sicherstellung ihrer Leistungsfähigkeit. Ein wichtiger Bestandteil ist hierbei die Cybersecurity.

Von Dörte Jaskotka, Diplom-Informatikerin der Wirtschaft, Jaskotka Consulting, und Ellen Nicke, Wirtschaftsinformatikerin.

Cyberangriffe auf Krankenhäuser haben in den vergangenen Jahren deutlich zugenommen, gerade durch die zunehmende Digitalisierung. Dabei geht es längst nicht mehr nur um den Diebstahl sensibler Patientendaten, sondern um Angriffe, die den gesamten Krankenhausbetrieb lahmlegen können. Jüngstes Beispiel ist hier ein Hackerangriff auf ein MVZ in Norddeutschland Anfang des Jahres. 12.000 Patientendaten wurden verschlüsselt und waren für das MVZ nicht mehr nutzbar. Die Praxis musste eineinhalb Wochen lang den Betrieb einstellen und teilweise lange im Voraus vereinbarte Termine absagen. 

Obwohl viele Krankenhäuser durch das KHZG erste Schritte in Richtung IT-Sicherheit unternommen haben, mangelt es oft an einer langfristigen Strategie. Hier setzt die KHTFV an: Sie kann unter anderem genutzt werden, um Cybersecurity nicht nur punktuell, sondern als integralen Bestandteil der Krankenhausstruktur zu verankern.

Cybersecurity als zentrale Infrastruktur der KHTFV

Die KHTFV sieht explizit Investitionen in die digitale Infrastruktur vor, um eine nachhaltige Krankenhauslandschaft zu gewährleisten. Die Förderung umfasst unter anderem:

• Modernisierung der IT-Systeme zur Verbesserung der Resilienz gegenüber Angriffen und technischen Ausfällen.
• Nachhaltige IT-Sicherheitsmaßnahmen, die nicht nur temporären Schutz bieten, sondern langfristig auf den Betrieb ausgerichtet sind.
• Strukturierte IT-Notfallkonzepte, die den Krankenhaus betrieb auch bei Cyberangriffen oder technischen Problemen aufrechterhalten.
• Ein funktionierendes Gesundheitswesen setzt voraus, dass digitale Systeme zuverlässig arbeiten und im Notfall schnell wiederhergestellt werden können. Die Frage ist daher nicht mehr, ob Cybersecurity eine Priorität sein sollte, sondern wie Krankenhäuser die bestehenden Sicherheitskonzepte weiterentwickeln können.

Umsetzung in der Praxis

Krankenhäuser können mit KHTFV-Mitteln ein umfassendes Cyber-Resilienz-Programm aufbauen, das folgende Kernmaßnahmen umfasst:

Warum ist dieses Projekt förderfähig?

• Ein solches Cyber-Resilienz-Programm erfüllt zentrale Förderkriterien der KHTFV:
• Es sichert die digitale Betriebsfähigkeit des Krankenhauses langfristig.
• Es stärkt die Resilienz gegenüber Cyberbedrohungen.
• Es hilft, präventiv Schäden zu vermeiden, statt nur reaktiv auf Angriffe zu reagieren.

Die Rolle von IT-Projektmanagement und IT-Service-Management

Die Umsetzung eines Cyber-Resilienz-Programms erfordert eine präzise Projektsteuerung, um sicherzustellen, dass alle Maßnahmen systematisch eingeführt werden. Ergänzend können durch die Implementierung von IT-Service-Management-Praktiken Organisationen ihre Cybersecurity-Strategien stärken und ihre Fähigkeit zur Reaktion auf Cyberangriffe erheblich verbessern.

IT-Projektmanagement: Strukturiertes Vorgehen

Ein professionelles IT-Projektmanagement bildet die Grundlage für die erfolgreiche Umsetzung von Sicherheitsmaßnahmen im Krankenhaus. Dabei bewährt sich ein klar definiertes und transparentes Vorgehen:

• Initiale Bedarfsanalyse zur Ermittlung bestehender Sicherheitslücken und Festlegung der Projektziele.
• Erstellung eines detaillierten Projektplans mit Definition von Arbeitspaketen, Verantwortlichkeiten und Zeitplänen.
• Aufbau einer geeigneten Projektstruktur mit klaren Rollen, Kommunikationswegen und Entscheidungsprozessen.
• Meilensteinplanung von der Fördermittelbeantragung über die technische Umsetzung bis zum Übergang in den Regelbetrieb.
• Risikomanagement zur frühzeitigen Identifikation potenzieller Projektrisiken und Entwicklung von Gegenmaßnahmen.
• Enger Austausch mit allen relevanten Stakeholdern, um die Akzeptanz und Praxistauglichkeit der Maßnahmen sicherzustellen.
• Regelmäßiges Reporting zum Projektfortschritt für Transparenz gegenüber der Geschäftsführung und externen Partnern.
• Qualitätssicherung durch Tests, Abnahmen und Dokumentation aller sicherheitsrelevanten Prozesse.
• Kontinuierliche Evaluation und Optimierung der Maßnahmen auf Basis aktueller Bedrohungslagen und neuer regulatorischer Anforderungen.
• Sicherstellung des nachhaltigen Betriebs durch Übergabe an den IT-Betrieb und Definition von Wartungs und Updatezyklen.

IT-Service-Management: Betrieb und Optimierung

IT-Service Management (ITSM) kann eine entscheidende Rolle bei der Prävention, Erkennung und Reaktion auf Cyberangriffe spielen.

• Ein gut etabliertes Incident Management ermöglicht es, Cyberangriffe schnell zu erkennen und darauf zu reagieren. 
• Durch ein effektives Change Management können Änderungen an IT-Systemen und -Prozessen kontrolliert und dokumentiert werden. Dies hilft, unautorisierte Änderungen zu verhindern, die zu Sicherheitslücken führen könnten. 
• Integrierte Schulungen und Sensibilisierung für Mitarbeiter helfen, das Bewusstsein für Cybersecurity zu schärfen. Informierte Mitarbeiter sind weniger anfällig für Phishing Angriffe und andere Bedrohungen. 
• Monitoring und Reporting -Tools ermöglichen das Monitoring von Systemen und Netzwerken in Echtzeit. Durch das Sammeln und Analysieren von Daten können Anomalien erkannt werden, die auf einen möglichen Cyberangriff hinweisen. 
• Notfallmanagement-Strategien stellen sicher, dass Organisationen auf Cyberangriffe vorbereitet sind. Dies beinhaltet die Entwicklung von Notfallplänen und die Durchführung von regelmäßigen Übungen. 
• Eine Kultur der kontinuierlichen Verbesserung hilft einer Organisation, nach einem Cyberangriff ihre Prozesse und Sicherheitsmaßnahmen zu überprüfen und anzupassen, um zukünftige Angriffe besser abwehren zu können.

Fazit: Cybersecurity nachhaltig verankern

Es ist jetzt an der Zeit, die Chancen der KHTFV zu nutzen, um Cybersecurity als integralen Bestandteil der IT-Strategie zu etablieren. Ein nachhaltiges Cyber-Resilienz-Programm schützt nicht nur sensible Patientendaten, sondern stellt sicher, dass kritische Kliniksysteme jederzeit verfügbar bleiben. Eine Kombination aus stringentem Projektmanagement und fundiertem Service Management ist hierfür der richtige Ansatz, finanziert durch das KHTFV.

Foto: Dörte Jaskotka, Diplom-Informatikerin der Wirtschaft (FH) und Inhaberin der Jaskotka Consulting, ist seit 1992 im Bereich der Healthcare IT tätig. Seit 20 Jahren beschäftigt sie sich mit dem Thema Service Management. Als Beraterin unterstützt sie Unternehmen bei der Analyse und Verbesserung von IT-Prozessen.

Foto: Ellen Nicke, Wirtschaftsinformatikerin (B.Sc.), ist seit 2009 im Gesundheitswesen tätig, seit 2018 Senior Projektmanagerin IT-Healthcare bei der team79 Beratungsgesellschaft mbH und spezialisiert auf die Steuerung anspruchsvoller IT-Vorhaben.

Quelle: Krankenhaus-IT Journal, Ausgabe 09/2025 Stand September 2025 

Symbolbild: afridwi / AdobeStock