lorenz2.jpg
IT im Krankenhaus – gut auf Krisen eingestellt?
Category : IT-Management
Published by Kerstin Müller on 31.07.2026 10:40

Die IT in deutschen Krankenhäusern ist strukturell als kritische Infrastruktur anerkannt, praktisch aber oft nur halbwegs krisenfest. Viele Häuser verfügen über klassische klinische Notfallpläne, jedoch selten über umfassende, interdisziplinäre Szenarien für IT-Ausfälle oder Cyberangriffe. Im besten Fall existiert ein isoliertes IT-Notfallkonzept ohne durchges-pielte Abläufe auf Station, in OP, Verwaltung und Kommunikation.

Branchenspezifische Standards wie der B3S mit seinen Muss , Soll  und Kann-Anforderungen bieten einen klaren Rahmen, um Verfügbarkeit, Integrität und Vertraulichkeit der Systeme mit Patientensicherheit zu verzahnen, werden aber vor allem von KRITIS-Häusern systematisch umgesetzt. Mit NIS2 verschärft sich der Druck: Geschäftsführungen tragen persönlich Verantwortung für Risikomanagement, Incident-Response und Meldewege und müssten entsprechende Ressourcen bereitstellen. In der Realität bremsen Investitionsstau, Personalmangel und kurzfristige Wirtschaftlichkeitslogik den Aufbau robuster Prävention, etwa redundanter Notfallarbeitsplätze oder getrennter Notfallkommunikation. Die Aufgabenverteilung bleibt häufig unklar: IT, Medizintechnik, Klinikleitung, Pflege und Verwaltung arbeiten im Ernstfall nicht eingespielt zusammen, wie Vorfälle mit Abmeldungen von der Notfallversorgung und massiven Betriebsstörungen zeigen. Perspektivisch hängt echte Resilienz davon ab, ob Krankenhäuser Krisenvorsorge als Teil der Versorgungssicherheit verstehen und ob Träger und Gesetzgeber den ökonomischen Rahmen schaffen, in dem Prävention nicht länger als verzichtbare Kostenstelle gilt.

Investitionen und organisatorische Veränderungen

Der Aufbau einer resilienten Krankenhaus-IT ist mit erheblichen Investitionen und tiefgreifenden organisatorischen Veränderungen verbunden. Kurzfristig werden für Cyberangriffe und Sabotage allein im Bereich IT- und Kommunikationssicherheit sowie Infrastruktur bundesweit Milliardenbeträge veranschlagt; eine DKI Studie nennt rund 2,7 Milliarden Euro Investitionsbedarf plus hunderte Millionen an zusätzlichen Betriebskosten. Für einzelne Häuser bedeutet Resilienz daher nicht nur Hardware  und Softwareinvestitionen in segmentierte Netze, moderne Security Lösungen, Backup- und Recovery-Umgebungen, sondern auch dauerhaft höhere Ausgaben für Personal, Schulungen und 24/7 Überwachung. Dem steht gegenüber, dass deutsche Kliniken im internationalen Vergleich besonders wenig in IT und IT Personal investieren und der IT Anteil am Budget bei rund drei Prozent liegt. Die Finanzierungslücke gegenüber Ländern wie Dänemark oder den Niederlanden gilt als strukturell. Als zentrale Herausforderung wirkt dieser chronische Unterfinanzierungsdruck zusammen mit einem ausgeprägten Fachkräftemangel in IT und Informationssicherheit, der Projekte verzögert oder verkürzt. Hinzu kommen steigende regulatorische Anforderungen durch NIS2 und KRITIS, die Governance, Risikomanagement und Incident Response auf ein professionelles Niveau heben sollen, aber in vielen Häusern auf begrenzte Managementkapazitäten und ein historisch operativ geprägtes Selbstverständnis der IT treffen. Resilienz wird damit weniger zur technischen Aufgabe als zu einer strategischen Transformationsleistung, die klare Priorisierung, politische Flankierung und ein Umdenken weg vom Minimalbudget hin zu einer dauerhaft finanzierten Sicherheits- und Verfügbarkeitskultur erfordert.

Klare Prozesse und regelmäßige Übungen

In Deutschland gibt es positive Beispiele für Notfall IT. Ein oft zitiertes Beispiel ist die Asklepios Klinik Nord in Hamburg, die eine softwaregestützte Alarmierungs- und Krisenmanagementlösung etabliert hat. Ein MANV (Massenanfall von Verletzten) beschreibt eine Großschadenslage, bei der die Anzahl der Betroffenen die regulären Rettungskapazitäten übersteigt, wobei Amokläufe (als Teil sogenannter Lebensbedrohlicher Einsatzlagen (LebEL)) eine häufige Ursache darstellen, die spezielle Konzepte erfordern, da die Gefahrenlage dynamisch und unklar ist, was den Eigenschutz der Einsatzkräfte zur obersten Priorität macht, bevor eine sichere medizinische Versorgung möglich ist. Dort werden unterschiedliche Krisenszenarien – von IT Ausfall über MANV bis hin zu Amoklagen – mit digitalen Alarmierungs- und Evakuierungsplänen, klaren Rollenprofilen und regelmäßig geübten Abläufen hinterlegt. Die Lösung ist so aufgebaut, dass Alarme über mehrere Kommunikationskanäle (Telefon, E Mail, Fax, perspektivisch Apps) ausgelöst werden können und auch dann funktioniert, wenn Teile der eigenen IT Infrastruktur beeinträchtigt sind. Erfolgsfaktoren sind hier insbesondere die Kombination aus technischer Redundanz, verständlichen Checklisten für 3.500 Mitarbeitende und einem eng geführten Kreis von Auslöseberechtigten, um Fehlalarme zu vermeiden. Weitere erfolgreiche Ansätze finden sich in digitalisierten Rettungsketten, etwa mit landesweiten Kapazitätsnachweisen und Voranmeldesystemen, die Notfallpatienten IT gestützt in geeignete Kliniken lenken und damit die Schockraum- und Notaufnahmeteams frühzeitig informieren. Solche Beispiele zeigen, dass Notfall IT dort gut funktioniert, wo Technik, klare Prozesse und regelmäßige Übungen konsequent zusammengedacht werden.

KHTFV als Basis für Resilienzprojekte

KHTFV Krankenhaustransformationsfonds-Verordnung legt die die Regeln für den 50 Milliarden Euro umfassenden Transformationsfonds fest, der Krankenhäuser in Deutschland umstrukturieren soll. Sie konkretisiert die Förderbedingungen für Digitalisierung, Modernisierung und Umstrukturierung im Rahmen der Krankenhausreform (KHVVG) und regelt die Antragsstellung sowie die Verwendung der Gelder bis 2035.

Deutsche Kliniken zeigen zunehmend resiliente IT-Ansätze, die über Einzelfälle hinausgehen. Die KHTFV nutzen Krankenhäuser wie die des Katholischen Hospitalverbunds für Cyber-Resilienz-Programme, die IT-Modernisierung, Notfallkonzepte und Incident-Management mit Projektsteuerung verknüpfen. Kern sind langfristige Maßnahmen wie redundante Systeme, regelmäßige Penetrationstests und Schulungen, die den Betrieb auch bei Ausfällen sichern; Förderkriterien priorisieren präventive Stabilität über reaktive Krisenbewältigung.

Eine Klinikstudie zeigt auf, dass nach IT-Ausfall-Übungen 86,7 Prozent der Einheiten bereichsspezifische Pläne hatten,  besonders Blutbank und Gebäudeleittechnik dank papierbasierter Fallbacks. Solche Simulationen heben Resilienz in Telekommunikation und Radiologie. Der Erfolg liegt in der prozessualen Evaluierung IT-abhängiger Abläufe.

 

Informationen 

 

 

Autor: Wolf-Dietrich Lorenz

Symbolbild: KI-Illustration, generiert mit ChatCPT/OpenAI