Patient lebt. Server tot.

Warum wir unsere Krankenhäuser dringend digitalisieren müssen und dabei eine ziemlich unbequeme Frage verdrängen

Deutschland investiert Milliarden in die Digitalisierung seiner Krankenhäuser. Der Fortschritt ist messbar, medizinisch notwendig und wirtschaftlich längst überfällig. Gleichzeitig wächst die Abhängigkeit von einer Infrastruktur, deren Ausfall immer größere Teile der Patientenversorgung treffen kann. Was passiert, wenn die Technik nicht nach wenigen Stunden zurückkommt, sondern über Tage oder Wochen fehlt? Und wie gut sind unsere Krankenhäuser, ihre Finanzierung und die staatliche Krisenvorsorge darauf tatsächlich vorbereitet?

Montag, 6:20 Uhr. Ein ganz normaler Morgen, bis die IT ausfällt.

Es ist Montagmorgen, 6:20 Uhr. In der Notaufnahme werden die ersten Patienten versorgt, auf der Intensivstation beginnt der Schichtwechsel und im OP-Bereich laufen die Vorbereitungen für die ersten Eingriffe. Das Labor arbeitet, die Radiologie produziert bereits Bilder und irgendwo wartet ein Patient auf die Entscheidung, ob er noch am selben Tag operiert werden muss.

Eigentlich ein ganz gewöhnlicher Morgen in einem deutschen Krankenhaus.

Dann beginnen die ersten Probleme.

Eine Pflegekraft kann sich nicht mehr am Krankenhausinformationssystem anmelden. Ein Arzt versucht, aktuelle Laborwerte aufzurufen, doch die Anwendung reagiert nicht. In der Radiologie lassen sich die Aufnahmen zwar noch erstellen, aber nicht mehr zuverlässig an die Befundungsarbeitsplätze übertragen.

Zunächst deutet alles auf eine technische Störung hin. Vielleicht ein Problem mit dem Netzwerk, vielleicht eine Datenbank, vielleicht die zentrale Benutzeranmeldung. Nichts, was die IT nicht schon einmal gesehen hätte.

Um 6:27 Uhr wird allerdings klar, dass die Sache größer ist. Mehrere zentrale Anwendungen sind gleichzeitig betroffen. Patienten können nur noch eingeschränkt digital aufgenommen werden, elektronische Medikationsanordnungen funktionieren nicht mehr wie gewohnt und die klinische Dokumentation ist teilweise nicht erreichbar.

Kurz darauf stellt die IT fest, dass Teile der zentralen Infrastruktur möglicherweise kompromittiert sind. Ob tatsächlich ein Cyberangriff vorliegt, ist noch unklar. Um eine weitere Ausbreitung zu verhindern, werden vorsorglich Netzwerkverbindungen getrennt.

Technisch kann das genau die richtige Entscheidung sein. Medizinisch beginnt damit ein Problem, das sich nicht durch das Ziehen eines Netzwerkkabels lösen lässt.

Denn die Patienten verschwinden nicht, nur weil die Systeme abgeschaltet werden.

Die Notaufnahme muss weiterhin Patienten versorgen, Medikamente müssen verabreicht und dokumentiert werden, Laboruntersuchungen müssen funktionieren und Operationen können nicht beliebig verschoben werden. Auf den Stationen muss bekannt sein, welche Behandlung ein Patient benötigt und welche Medikamente er bereits erhalten hat.

Nach wenigen Stunden funktioniert vieles nur noch über Telefon, Papier und persönliche Abstimmung. Prozesse, die normalerweise automatisiert ablaufen, müssen von Mitarbeitenden einzeln organisiert werden. Und während die IT versucht, wieder Kontrolle über die Infrastruktur zu bekommen, läuft der Krankenhausbetrieb weiter. Langsamer, aufwendiger und unter deutlich schwierigeren Bedingungen.

Was passiert, wenn die Störung nicht nach einem halben Tag behoben ist? Was, wenn das Krankenhaus auch nach einer Woche noch im Notbetrieb arbeitet? Oder nach sechs Wochen?

Die medizinische Versorgung kann unter solchen Umständen möglicherweise teilweise aufrechterhalten werden. Doch im Hintergrund entsteht ein zweites Problem. Jeder Behandlungstag produziert neue Dokumentation, neue medizinische Anordnungen, neue Leistungen und damit auch neue Abrechnungsdaten.

Diese Informationen müssen irgendwann wieder in den regulären digitalen Betrieb überführt werden. Das klingt in einem Notfallkonzept relativ einfach. In der Praxis könnte es sich als eine der größten Herausforderungen eines längeren IT-Ausfalls herausstellen.

Die geschilderte Situation ist fiktiv. Sie beschreibt weder einen konkreten Cyberangriff noch die Ergebnisse einer bestimmten Krankenhausübung. Die einzelnen Problemstellungen sind allerdings keineswegs konstruiert. Mehrwöchige Ausfälle medizinischer IT-Systeme und ihre Auswirkungen auf Versorgung, Dokumentation und Abrechnung sind wissenschaftlich untersucht und auch aus deutschen Krankenhäusern dokumentiert. [23][24][25][27][28]

Genau deshalb möchte ich die Diskussion etwas weiter führen als die übliche Frage, ob unsere Krankenhäuser ausreichend gegen Hacker geschützt sind.

Denn wir stehen vor einem grundlegenden Widerspruch. Deutschland muss seine Gesundheitsversorgung weiter digitalisieren, um medizinisch leistungsfähig und wirtschaftlich tragfähig zu bleiben. Gleichzeitig verändert diese Digitalisierung die Abhängigkeiten innerhalb unserer Krankenhäuser erheblich.

Wir ersetzen manuelle Prozesse durch digitale, verbinden zuvor getrennte Systeme und zentralisieren Informationen. Das bringt viele Vorteile. Es sorgt aber auch dafür, dass einzelne technische Störungen deutlich größere Auswirkungen haben können.

Das Problem ist nicht, dass wir unsere Krankenhäuser digitalisieren. Das Problem entsteht, wenn ihre digitalen Abhängigkeiten schneller wachsen als ihre Fähigkeit, mit einem Ausfall umzugehen.

Und damit sind wir bei einer Frage, die eigentlich nicht nur IT-Abteilungen beschäftigen sollte. Wie lange kann ein modernes Krankenhaus ohne seine digitale Infrastruktur noch sicher und wirtschaftlich funktionieren?

1. Krankenhäuser können Krise. Aber ein IT-Ausfall ist keine gewöhnliche Krise.

Krankenhäuser gehören zu den wenigen Organisationen, in denen unvorhersehbare Situationen zum Tagesgeschäft gehören. Niemand weiß morgens exakt, welche Patienten im Laufe des Tages in der Notaufnahme eintreffen werden, welche Operationen sich verschieben oder wie viele Intensivbetten am Abend benötigt werden.

Natürlich gibt es Dienstpläne, OP-Programme und Erfahrungswerte. Aber die medizinische Realität hält sich nur bedingt an solche Planungen.

Ein Verkehrsunfall, ein Schlaganfall, eine schwere allergische Reaktion oder ein Patient mit einer plötzlich lebensbedrohlichen Verschlechterung können jederzeit auftreten. Medizinische Teams müssen deshalb regelmäßig unter Zeitdruck Entscheidungen treffen, Prioritäten verändern und mit unvollständigen Informationen umgehen.

Dafür existieren etablierte Verfahren. Notaufnahmen arbeiten mit strukturierten Ersteinschätzungen, Schockraumteams werden alarmiert und bei außergewöhnlichen Ereignissen greifen Krankenhausalarm- und Einsatzpläne.

Das bedeutet nicht, dass jeder ungeplante Patient bereits eine Krise darstellt. Aber Krankenhäuser verfügen grundsätzlich über eine ausgeprägte Routine im Umgang mit medizinischen Ausnahmesituationen. Diese Routine ist eine erhebliche Stärke.

Sie wird allerdings dann zum Problem, wenn wir daraus ableiten, dass Krankenhäuser deshalb auch auf einen umfassenden Ausfall ihrer IT vorbereitet sein müssten.

Medizinische Kompetenz ersetzt keine digitale Krisenfähigkeit

Ein Chirurg weiß, wie eine Notoperation organisiert wird. Eine Intensivpflegekraft kennt die Abläufe bei einer akuten Verschlechterung des Patientenzustands. Ein Notaufnahmeteam kann innerhalb weniger Minuten auf eine große Zahl Verletzter reagieren.

All diese Fähigkeiten setzen heute allerdings voraus, dass bestimmte Informationen und Infrastrukturen verfügbar sind.

Ein Arzt muss wissen, welche Medikamente ein Patient erhält und ob relevante Vorerkrankungen oder Allergien bekannt sind. Laborergebnisse müssen zeitnah verfügbar sein. Radiologische Untersuchungen müssen angefordert, durchgeführt und befundet werden können. Die Patientenidentifikation muss über alle beteiligten Prozesse hinweg zuverlässig funktionieren.

Im Normalbetrieb übernimmt die IT einen erheblichen Teil dieser Informationsverteilung. Fällt sie aus, müssen medizinische Mitarbeitende nicht nur ihre eigentlichen Aufgaben erfüllen. Sie müssen zusätzlich die Informationsflüsse organisieren, die sonst im Hintergrund durch Systeme und Schnittstellen sichergestellt werden.

Das verändert den Arbeitsaufwand erheblich. Eine Pflegekraft muss sich möglicherweise telefonisch nach Laborwerten erkundigen, die normalerweise automatisch in der Patientenakte erscheinen. Ein Arzt muss Befunde manuell anfordern oder weitergeben. Die Apotheke benötigt alternative Verfahren für Bestellungen und Medikationsinformationen.

Die einzelnen Ersatzhandlungen sind zunächst nicht besonders kompliziert. Ihre große Zahl und die gegenseitigen Abhängigkeiten machen sie jedoch problematisch.

Hinzu kommt, dass nicht jeder Ausfall isoliert betrachtet werden kann. Wenn das Krankenhausinformationssystem, die zentrale Benutzerverwaltung und bestimmte Netzwerkdienste gleichzeitig betroffen sind, funktionieren möglicherweise gleich mehrere alternative Arbeitswege nicht mehr.

Hier unterscheiden sich medizinische Notfälle und digitale Krisen in einem wichtigen Punkt. Ein medizinischer Notfall betrifft häufig einen Patienten oder eine begrenzte Patientengruppe. Ein schwerwiegender IT-Ausfall kann dagegen gleichzeitig nahezu sämtliche Patienten, Berufsgruppen und Standorte treffen.

Die Notaufnahmen arbeiten bereits heute am Limit

Wie wenig Spielraum in Teilen der Versorgung vorhanden ist, zeigt die dritte Blitzumfrage der Deutschen Gesellschaft Interdisziplinäre Notfall- und Akutmedizin, kurz DGINA.

Für die Erhebung am 2. Juni 2026 gingen 271 auswertbare Rückmeldungen aus allen 16 Bundesländern ein. Die beteiligten Notaufnahmen verzeichneten im Jahr 2025 zusammen rund 8,52 Millionen Patientenkontakte. [1]

45 Prozent berichteten zum Erhebungszeitpunkt von einer erheblichen Überfüllung ihrer Notaufnahme, dem sogenannten Overcrowding. Bei 60,6 Prozent bestand ein Exit Block. Damit ist gemeint, dass Patienten, die eigentlich stationär weiterbehandelt werden müssten, die Notaufnahme nicht zeitgerecht verlassen können, beispielsweise weil geeignete Betten fehlen.

32,1 Prozent der teilnehmenden Notaufnahmen meldeten der zuständigen Rettungsleitstelle eine Kapazitätserschöpfung. Besonders aufschlussreich ist, dass 79,1 Prozent dieser Einrichtungen trotz entsprechender Meldung weiterhin Notfallpatienten zugewiesen bekamen. [1]

Diese Ergebnisse stammen aus einer freiwilligen Stichtagsbefragung. Sie sind keine repräsentative Dauerstatistik sämtlicher deutscher Notaufnahmen. Sie machen aber deutlich, wie angespannt die Situation in vielen der teilnehmenden Einrichtungen bereits ohne zusätzliche IT-Störung war.

Wenn in einer solchen Lage zentrale Systeme ausfallen, trifft die Krise nicht auf eine Organisation mit großzügigen Reserven. Sie trifft auf Personal, das möglicherweise schon unter normalen Bedingungen an seiner Belastungsgrenze arbeitet.

In einem Industriebetrieb kann eine Produktionslinie unter Umständen stillgesetzt werden. Ein Verwaltungsunternehmen kann bestimmte Dienstleistungen zeitweise verschieben. Das verursacht wirtschaftliche Schäden, ist aber häufig organisatorisch beherrschbar. Ein Krankenhaus hat diese Freiheit nur eingeschränkt.

Ein Patient mit einem akuten Schlaganfall kann nicht einfach am nächsten Montag wiederkommen, wenn das Krankenhausinformationssystem hoffentlich repariert ist.

Krankenhäuser haben Erfahrung mit medizinischen Krisen. Was sie zusätzlich brauchen, ist Erfahrung mit dem Ausfall ihrer digitalen Arbeitsgrundlage. Und diese Erfahrung sollte man besser in Übungen sammeln als während eines echten Cyberangriffs.

2. Deutschland muss digitaler werden. Nicht trotz, sondern wegen der Probleme im Gesundheitswesen.

Die Diskussion über Cyberrisiken darf nicht dazu führen, dass wir die Digitalisierung selbst infrage stellen. Das wäre die falsche Schlussfolgerung. Denn ohne eine konsequente Weiterentwicklung digitaler Prozesse dürfte es zunehmend schwieriger werden, die medizinische Versorgung in Deutschland auf dem heutigen Niveau aufrechtzuerhalten.

Die Gründe sind bekannt. Steigende Kosten, Personalmangel, demografische Veränderungen, eine zunehmende Spezialisierung medizinischer Leistungen und eine Versorgung, die über immer mehr Einrichtungen hinweg koordiniert werden muss.

Die Digitalisierung löst diese Herausforderungen nicht automatisch. Sie ist aber eine wesentliche Voraussetzung, um ihnen sinnvoll begegnen zu können.

Der wirtschaftliche Druck wird nicht kleiner

Nach Angaben des Statistischen Bundesamtes wurden 2025 rund 17,7 Millionen Patientinnen und Patienten vollstationär in deutschen Krankenhäusern behandelt. Das waren zwar 1,2 Prozent mehr als im Vorjahr, aber weiterhin 9,4 Prozent weniger als 2019. Die durchschnittliche Verweildauer lag bei ungefähr sieben Tagen. Anfang der 1990er-Jahre waren es noch rund 14 Tage. [2]

Diese Entwicklung sagt zunächst nicht, dass die medizinische Versorgung schlechter geworden wäre. Im Gegenteil. Moderne Operationsverfahren, bessere Medikamente und neue diagnostische Möglichkeiten haben dazu beigetragen, dass viele Patienten schneller behandelt werden können. Allerdings müssen innerhalb kürzerer Aufenthalte immer mehr diagnostische und therapeutische Leistungen koordiniert werden.

Parallel steigen die Kosten. Für 2024 weist das Statistische Bundesamt Krankenhauskosten von brutto rund 149,8 Milliarden Euro aus. Nach Abzug bestimmter Kostenpositionen lagen die bereinigten Kosten bei etwa 128,4 Milliarden Euro. [3]

Die wirtschaftliche Situation zahlreicher Einrichtungen ist entsprechend angespannt. Das Krankenhaus-Barometer 2025 des Deutschen Krankenhausinstituts basiert auf einer Befragung von 376 Allgemeinkrankenhäusern mit mindestens 100 Betten. Danach schrieben 66 Prozent der teilnehmenden Krankenhäuser im Jahr 2024 rote Zahlen. Für 2025 erwarteten zum Zeitpunkt der Befragung rund 70 Prozent ein negatives Jahresergebnis. [4]

Bei der zweiten Zahl handelt es sich um eine damalige Erwartung und nicht um einen endgültigen Jahresabschluss. Trotzdem wird deutlich, in welchem Umfeld Entscheidungen über neue IT-Systeme getroffen werden.

Krankenhäuser sollen effizienter werden, obwohl zahlreiche Einrichtungen wirtschaftlich kaum Handlungsspielraum besitzen. Gleichzeitig sollen sie ihre Gebäude modernisieren, Medizintechnik erneuern und neue gesetzliche Anforderungen erfüllen. Dazu kommt die Digitalisierung. Und mit ihr wiederum der Aufwand für Cybersicherheit.

Es wäre deshalb zu einfach, dem Gesundheitswesen lediglich einen Modernisierungsrückstand vorzuwerfen, ohne die finanziellen und organisatorischen Rahmenbedingungen zu betrachten.

Digitalisierung schafft nicht automatisch Effizienz

Die Vorteile digitaler Prozesse liegen auf der Hand, werden aber häufig erstaunlich oberflächlich beschrieben.

Ein elektronischer Medikationsprozess kann Dosierungsfehler reduzieren und auf bekannte Wechselwirkungen aufmerksam machen. Eine strukturierte klinische Dokumentation ermöglicht es, Informationen unmittelbar zwischen Behandlungsteams auszutauschen. Digital verfügbare Vorbefunde können unnötige Doppeluntersuchungen vermeiden.

Das alles kann die Behandlungsqualität verbessern. Allerdings hängt der tatsächliche Nutzen davon ab, wie gut die Systeme integriert sind und wie sinnvoll die zugrunde liegenden Prozesse gestaltet wurden.

Ein elektronischer Arztbrief ist beispielsweise noch kein großer Fortschritt, wenn er anschließend als PDF verschickt und in der nächsten Einrichtung wieder manuell ausgewertet werden muss. Eine digitalisierte Aufnahme kann sogar zusätzlichen Aufwand verursachen, wenn dieselben Informationen parallel in mehreren Anwendungen erfasst werden müssen.

Der entscheidende Punkt ist deshalb nicht die bloße Existenz einer Software. Es geht um die durchgängige Verarbeitung medizinischer Informationen.

Daten sollten möglichst dort erfasst werden, wo sie entstehen, und anschließend unter geeigneten Voraussetzungen für weitere Prozesse verfügbar sein. Ein Laborwert sollte nicht mehrfach übertragen werden müssen. Eine Medikationsänderung sollte zuverlässig bei allen relevanten Behandlungsteams ankommen. Und eine medizinische Information sollte nicht an der Grenze zwischen zwei IT-Systemen ihre Struktur verlieren.

In der Praxis ist das eine erhebliche Herausforderung. Gerade deshalb benötigt Deutschland mehr Digitalisierung, aber vor allem bessere Digitalisierung.

Ohne Digitalisierung gibt es auch keinen modernen medizinischen Fortschritt

In einigen medizinischen Bereichen ist die digitale Infrastruktur längst unverzichtbar. Moderne Bildgebung erzeugt große Datenmengen. Radiologische Untersuchungen werden digital gespeichert, übertragen und befundet. In der Pathologie entstehen zunehmend digitale Bilddaten. Die molekulare Diagnostik benötigt leistungsfähige Systeme zur Verarbeitung komplexer Informationen.

Auch der Einsatz künstlicher Intelligenz ist ohne entsprechend strukturierte Daten und digitale Arbeitsabläufe kaum sinnvoll möglich. KI kann bei der Auswertung medizinischer Bilder unterstützen, Auffälligkeiten priorisieren und Behandlungsinformationen strukturieren. Ob eine konkrete Anwendung tatsächlich einen medizinischen Nutzen bietet, muss selbstverständlich wissenschaftlich untersucht werden.

Aber die grundsätzliche Entwicklung ist klar. Eine moderne Medizin wird nicht wieder weniger datenintensiv werden.

Die Digitalisierung ist deshalb keine zusätzliche Komfortfunktion für Krankenhäuser. Sie wird zunehmend zu einer grundlegenden Voraussetzung medizinischer Leistungsfähigkeit. Die Digitalisierungsstrategie des Bundesministeriums für Gesundheit verfolgt entsprechend das Ziel, digitale Anwendungen stärker in die Versorgung zu integrieren und den sektorenübergreifenden Informationsaustausch zu verbessern. [5]

Damit kommen wir allerdings zu einer unbequemen Frage. Wenn wir medizinische Prozesse immer stärker digitalisieren, wie gut sind die deutschen Krankenhäuser bei dieser Entwicklung tatsächlich aufgestellt?

DigitalRadar. Deutschland macht Fortschritte, ist aber noch lange nicht am Ziel

Mit dem DigitalRadar Krankenhaus existiert inzwischen ein Instrument, das den digitalen Reifegrad deutscher Krankenhäuser systematisch bewertet. Das Modell betrachtet verschiedene Bereiche, darunter klinische Prozesse, Informationsmanagement, Datenaustausch und organisatorische Voraussetzungen. Der Gesamtwert reicht von 0 bis 100 Punkten.

Die Entwicklung der vergangenen Jahre ist durchaus bemerkenswert. [6][7]

Von 2021 bis 2026 stieg der durchschnittliche DigitalRadar-Score um 21,7 Punkte. Relativ zum Ausgangswert entspricht das einem Zuwachs von rund 65 Prozent. An der dritten Erhebung beteiligten sich 1.531 Krankenhäuser. Die ersten Ergebnisse wurden im Juni 2026 veröffentlicht. [6]

Wer behauptet, die Digitalisierung deutscher Krankenhäuser würde grundsätzlich stillstehen, ignoriert diese Entwicklung. Die Fortschritte sind messbar.

Allerdings sollte man einen Reifegradwert nicht mit der tatsächlichen Qualität aller klinischen Prozesse verwechseln. Ein Krankenhaus kann beim DigitalRadar gut abschneiden und trotzdem erhebliche Probleme mit einzelnen Schnittstellen haben. Es kann viele elektronische Anwendungen einsetzen, ohne dass diese durchgängig integriert sind.

Und ein hoher DigitalRadar-Score ist selbstverständlich auch kein Nachweis dafür, dass ein Krankenhaus einen mehrwöchigen IT-Ausfall bewältigen kann.

Regional gibt es ebenfalls Unterschiede. Für 2026 wurden beispielsweise 60,3 Punkte für Sachsen, 59,4 für Berlin und 57,6 für Brandenburg veröffentlicht. [8] Solche Ergebnisse sind interessante Indikatoren, aber keine direkte Rangliste der medizinischen Versorgungsqualität.

Der DigitalRadar zeigt vor allem, dass Deutschland digitaler wird. Wie weit diese Entwicklung im internationalen Vergleich tatsächlich reicht, lässt sich allerdings nicht allein aus dem nationalen Score ableiten. Dafür lohnt sich ein genauerer Blick auf HIMSS EMRAM.

EMRAM. Warum die internationale Vergleichbarkeit komplizierter ist, als manche Rankings vermuten lassen

Das Electronic Medical Record Adoption Model, kurz EMRAM, wurde von HIMSS entwickelt und zählt zu den international bekannten Reifegradmodellen für die Digitalisierung von Krankenhäusern. Die Skala reicht von Stufe 0 bis 7. Sie betrachtet insbesondere, wie weit elektronische klinische Informationssysteme und die entsprechenden Arbeitsprozesse integriert sind. [9]

Die Grundlogik ist nachvollziehbar. Auf den unteren Stufen stehen die Verfügbarkeit grundlegender klinischer Systeme und die elektronische Zusammenführung von Informationen im Vordergrund. Mit zunehmender Reife gewinnen strukturierte Dokumentation, elektronische Anordnungen, klinische Entscheidungsunterstützung und die Integration medizinischer Arbeitsabläufe an Bedeutung. Die höchsten Stufen stehen für einen besonders weit entwickelten digitalen Krankenhausbetrieb.

Dabei ist wichtig, dass die konkreten HIMSS-Kriterien im Laufe der Jahre mehrfach verändert wurden. Ein älterer EMRAM-Wert darf deshalb nicht ohne Weiteres mit einer heutigen Zertifizierung gleichgesetzt werden.

Interessant ist vor allem die deutsche Entwicklung. Der DigitalRadar-Zwischenbericht von 2025 enthält eine aus den Erhebungsdaten abgeleitete EMRAM-Auswertung. Danach wurden für 2024 rund 56 Prozent der betrachteten deutschen Krankenhäuser der Stufe 0 zugeordnet. Bei der ersten Erhebung 2021 hatte dieser Anteil noch bei etwa 69 Prozent gelegen. [7]

Das klingt zunächst dramatisch. Allerdings bedeutet Stufe 0 nicht, dass diese Einrichtungen überhaupt keine digitalen Systeme besitzen. Die Zuordnung beschreibt, dass bestimmte Anforderungen des verwendeten Reifegradmodells nicht vollständig erfüllt werden.

Außerdem handelt es sich nicht um eine individuelle HIMSS-Zertifizierung aller deutschen Krankenhäuser, sondern um einen aus DigitalRadar-Angaben abgeleiteten Indikator. Dieser Unterschied ist wesentlich.

Trotzdem zeigen die Daten, dass zwischen der Anschaffung digitaler Anwendungen und ihrer umfassenden Integration weiterhin eine erhebliche Lücke besteht.

Wo stehen europäische Krankenhäuser?

Eine vollständige und methodisch einheitliche EMRAM-Rangliste aller europäischen Krankenhäuser ist öffentlich nicht verfügbar. HIMSS-Zertifizierungen beziehen sich auf konkrete Einrichtungen. Die Auswahl der teilnehmenden Häuser ist nicht zwangsläufig repräsentativ für die Krankenhauslandschaft eines Landes.

Der DigitalRadar-Zwischenbericht enthält beispielsweise einen internationalen Vergleich mit 458 Krankenhäusern aus den USA, Kanada und Australien. Die Daten stammten überwiegend aus den Jahren 2019 bis 2022 und bezogen sich auf ausgewählte Einrichtungen im Umfeld von Zertifizierungen. [7]

Eine solche Stichprobe lässt sich nicht ohne Weiteres mit einer breit angelegten nationalen Erhebung in Deutschland vergleichen. Das bedeutet allerdings nicht, dass internationale Beispiele uninteressant wären. Sie zeigen, welche Digitalisierungsgrade in einzelnen Einrichtungen bereits erreicht werden.

Ausgewählte öffentlich dokumentierte Zertifizierungen. Die Angaben stellen keine aktuelle nationale EMRAM-Rangliste dar und bestätigen nicht automatisch einen unveränderten Zertifizierungsstatus im November 2026. [10][11][12][13]

Auch außerhalb Europas gibt es entsprechende Beispiele. Das Samsung Medical Center in Südkorea meldete im September 2026 eine erneute Validierung auf EMRAM-Stufe 7. [14]

Die eigentliche Erkenntnis ist deshalb weniger, dass Deutschland grundsätzlich keine hochdigitalisierten Krankenhäuser hätte. Die Herausforderung liegt vielmehr darin, einen hohen Integrationsgrad in der Breite zu erreichen.

Und das ist bei einer historisch gewachsenen, wirtschaftlich angespannten und regulatorisch komplexen Krankenhauslandschaft wesentlich schwieriger als die Digitalisierung einzelner Vorzeigeeinrichtungen.

Milliardeninvestitionen lösen keine strukturellen Probleme von allein

Mit dem Krankenhauszukunftsgesetz hat Deutschland einen erheblichen Modernisierungsschub eingeleitet. Über den Krankenhauszukunftsfonds standen bis zu 4,3 Milliarden Euro für digitale Modernisierung und weitere förderfähige Vorhaben zur Verfügung. Drei Milliarden Euro entfielen auf den Bund, die weiteren Mittel auf die vorgesehene Beteiligung der Länder beziehungsweise Krankenhausträger. [15]

Die Förderung ermöglichte Investitionen in digitale Dokumentation, Medikationsprozesse, Patientenportale, telemedizinische Anwendungen und Informationssicherheit. Die Entwicklung des DigitalRadar zeigt, dass in dieser Zeit tatsächlich erhebliche Fortschritte erzielt wurden.

Allerdings wird Digitalisierung häufig wie ein abgeschlossenes Investitionsprojekt behandelt. Man beschafft Software, führt sie ein und meldet das Projekt als erfolgreich abgeschlossen. Damit ist der entscheidende Teil der Arbeit allerdings keineswegs erledigt.

Eine moderne Krankenhaus-IT verursacht dauerhaft Kosten. Softwarelizenzen, Wartung, Cloud-Dienste, Rechenzentrumsleistungen, Netzwerkbetrieb, Informationssicherheit, externe Dienstleister und qualifiziertes Personal müssen langfristig finanziert werden.

Hinzu kommen kontinuierliche Anpassungen an medizinische, technische und regulatorische Veränderungen. Die Deutsche Krankenhausgesellschaft weist deshalb ausdrücklich darauf hin, dass die nachhaltige Finanzierung der Digitalisierung weiterhin ungelöst ist. [16]

Das Problem wird durch die klassische duale Krankenhausfinanzierung verstärkt. Während die Krankenkassen grundsätzlich für die laufende Finanzierung der Krankenhausleistungen zuständig sind, liegt die Investitionsförderung traditionell bei den Bundesländern.

Diese Trennung ist bei langfristig zu betreibenden digitalen Plattformen nicht immer besonders hilfreich. Eine moderne IT-Infrastruktur besteht schließlich nicht nur aus einmalig beschaffter Hardware. Ihre Leistungsfähigkeit hängt wesentlich vom kontinuierlichen Betrieb und ihrer Weiterentwicklung ab.

Krankenhausreform und digitale Abhängigkeiten

Mit der Krankenhausreform und den 2026 beschlossenen Anpassungen verfolgt der Bund das Ziel, die stationäre Versorgungsstruktur weiterzuentwickeln. [17]

Der Transformationsfonds soll diesen Umbau bis 2035 unterstützen. Der Bund stellt hierfür insgesamt 29 Milliarden Euro bereit. Unter Einbeziehung weiterer vorgesehener Finanzierungsanteile soll ein Fördervolumen von bis zu 50 Milliarden Euro ermöglicht werden. [18]

Für die Digitalisierung ist dabei entscheidend, dass organisatorische und medizinische Veränderungen nicht unabhängig von der IT-Landschaft betrachtet werden. Wer Krankenhausstandorte stärker vernetzt oder Leistungen konzentriert, schafft neue Anforderungen an Datenverfügbarkeit, Schnittstellen und gemeinsame Infrastruktur.

Das kann wirtschaftlich und medizinisch sinnvoll sein. Es kann aber auch neue gemeinsame Ausfallrisiken schaffen. Die Modernisierung unserer Krankenhauslandschaft benötigt deshalb mehr als neue Gebäude, moderne Medizintechnik und ein paar zusätzliche Schnittstellen.

Sie benötigt eine langfristig tragfähige digitale Architektur. Und zwar eine, deren Ausfallrisiken ebenso sorgfältig geplant werden wie ihr wirtschaftlicher Nutzen.

3. Datenschutz, Föderalismus und gewachsene IT-Landschaften. Warum Digitalisierung in Deutschland so mühsam ist

Wenn man über die Schwierigkeiten der Digitalisierung im deutschen Gesundheitswesen spricht, dauert es meist nicht lange, bis das Thema Datenschutz auftaucht. Dann heißt es, in anderen Ländern sei längst möglich, worüber Deutschland noch jahrelang diskutiere.

Diese Kritik ist teilweise nachvollziehbar. Aber die Erklärung, Datenschutz sei der Hauptgrund für den deutschen Digitalisierungsrückstand, ist mir zu einfach. Die tatsächlichen Probleme liegen tiefer.

Jahrzehnte gewachsene Systeme lassen sich nicht einfach austauschen

Viele Krankenhäuser verfügen über eine IT-Landschaft, die über lange Zeiträume entstanden ist. Neue Anwendungen wurden eingeführt, sobald ein bestimmter Fachbereich sie benötigte. Labor, Radiologie, Apotheke, Intensivmedizin, OP-Management, Verwaltung und Abrechnung erhielten eigene Systeme.

Aus Sicht der jeweiligen Abteilungen waren diese Entscheidungen häufig sinnvoll. Über die Jahre entstand daraus allerdings eine komplexe Landschaft, in der zahlreiche Anwendungen miteinander kommunizieren müssen.

Dabei verwenden nicht alle Systeme dieselben Datenmodelle und Schnittstellenstandards. Manche Anwendungen sind eng an einzelne Hersteller gebunden. Andere benötigen ältere Betriebssysteme oder spezielle technische Konfigurationen.

Die vollständige Modernisierung einer solchen Landschaft ist kein gewöhnliches Softwareprojekt. Sie greift unmittelbar in den klinischen Betrieb ein. Ein Fehler beim Wechsel des Krankenhausinformationssystems kann weitreichende Folgen für die Patientenversorgung haben. Entsprechend vorsichtig werden solche Entscheidungen getroffen.

Das ist verständlich. Es erklärt aber auch, warum moderne Anwendungen häufig weiterhin mit älteren Systemen kombiniert werden müssen.

Interoperabilität entscheidet über den tatsächlichen Nutzen

Ein zentraler Begriff ist die Interoperabilität. Es reicht nicht, dass zwei Systeme grundsätzlich Daten austauschen können. Sie müssen diese Daten auch korrekt interpretieren.

Ein Medikament muss eindeutig identifiziert werden können. Messwerte benötigen die richtigen Einheiten. Diagnosen und Prozeduren müssen standardisiert beschrieben werden. Dafür existieren etablierte Standards wie HL7 FHIR, DICOM, SNOMED CT und LOINC.

Allerdings lösen Standards allein keine organisatorischen Probleme. Sie müssen von den Herstellern unterstützt, technisch umgesetzt und in den klinischen Prozessen tatsächlich verwendet werden.

Ein Krankenhaus kann intern hochdigitalisiert sein und trotzdem erhebliche Schwierigkeiten haben, Informationen mit anderen Einrichtungen auszutauschen. Das ist insbesondere bei Patienten problematisch, die innerhalb kurzer Zeit von mehreren Leistungserbringern behandelt werden.

Die Digitalisierung der Gesundheitsversorgung wird ihren vollen Nutzen deshalb erst dann entfalten, wenn medizinische Informationen nicht an den Grenzen einzelner Anwendungen oder Organisationen hängen bleiben.

Datenschutz ist eine Anforderung, kein generelles Verbot

Gesundheitsdaten gehören zu den besonders schutzwürdigen personenbezogenen Daten. Artikel 9 der Datenschutz-Grundverordnung stellt für ihre Verarbeitung besondere Anforderungen auf. Gleichzeitig enthält die DSGVO ausdrücklich Ausnahmen, beispielsweise für medizinische Diagnostik, Behandlung und Versorgung unter den jeweils vorgesehenen Voraussetzungen. [19]

Dazu kommen die erforderlichen Rechtsgrundlagen nach Artikel 6 DSGVO und ergänzende nationale Vorschriften. Die digitale Verarbeitung medizinischer Daten ist also keineswegs grundsätzlich verboten. Das wäre auch ziemlich absurd, denn ohne sie wäre ein moderner Krankenhausbetrieb kaum denkbar.

Entscheidend ist, dass die Verarbeitung rechtmäßig erfolgt und die entsprechenden Schutzmaßnahmen umgesetzt werden. Hinzu kommen die ärztliche Schweigepflicht nach § 203 StGB und gegebenenfalls weitere berufs- und landesrechtliche Regelungen. [20]

Schwierigkeiten entstehen insbesondere beim Datenaustausch zwischen Einrichtungen, bei Forschungszwecken, bei der Einbindung externer Dienstleister und beim Einsatz neuer Technologien.

Dabei sollte man allerdings genauer unterscheiden, was tatsächlich gesetzlich verboten ist und was lediglich aufgrund einer besonders vorsichtigen organisatorischen Auslegung nicht umgesetzt wird. In der Praxis entsteht aus Unsicherheit schnell eine Blockade.

Ein Projekt wird dann mit dem Hinweis auf mögliche Datenschutzprobleme verzögert, obwohl eigentlich geklärt werden müsste, unter welchen Bedingungen es rechtmäßig umgesetzt werden kann. Das ist nicht zwangsläufig ein Problem der DSGVO. Es kann ebenso an fehlender Expertise, unklaren Verantwortlichkeiten oder unzureichender Projektvorbereitung liegen.

Föderalismus erschwert einheitliche Lösungen

Neben europäischen und bundesrechtlichen Vorgaben existieren in Deutschland unterschiedliche landesrechtliche Anforderungen an Krankenhäuser. Welche Regelungen im Einzelnen gelten, hängt unter anderem vom Bundesland, der Trägerschaft und der konkreten Verarbeitungssituation ab.

Für eine Krankenhausgruppe mit Standorten in mehreren Bundesländern bedeutet das zusätzlichen Abstimmungsaufwand. Eine technische Lösung, die an zahlreichen Standorten einheitlich eingeführt werden soll, muss unter Umständen unterschiedliche rechtliche und organisatorische Rahmenbedingungen berücksichtigen.

Das ist aufwendig, insbesondere wenn die Systeme ohnehin komplex und die verfügbaren personellen Ressourcen begrenzt sind. Allerdings sollte auch der Föderalismus nicht pauschal für sämtliche Digitalisierungsprobleme verantwortlich gemacht werden.

Manche Schwierigkeiten entstehen weniger durch unterschiedliche gesetzliche Anforderungen als durch uneinheitliche Organisationsstrukturen, historisch gewachsene Prozesse oder fehlende gemeinsame Standards.

Die ePA und der europäische Gesundheitsdatenraum verändern die Voraussetzungen

Mit der elektronischen Patientenakte für alle hat Deutschland 2025 einen wichtigen Schritt in Richtung eines besseren sektorenübergreifenden Informationsaustauschs unternommen. [21]

Die ePA ersetzt allerdings nicht das Krankenhausinformationssystem. Sie ist keine vollständige Plattform für sämtliche klinischen Arbeitsprozesse eines Krankenhauses. Sie kann vielmehr dazu beitragen, relevante medizinische Informationen über Einrichtungsgrenzen hinweg verfügbar zu machen.

Mit dem European Health Data Space, kurz EHDS, entsteht darüber hinaus ein europäischer Rechtsrahmen, der den grenzüberschreitenden Zugang zu elektronischen Gesundheitsdaten und ihre rechtlich geregelte Sekundärnutzung verbessern soll.

Die Verordnung (EU) 2025/327 trat 2025 in Kraft. Ihre Anforderungen werden schrittweise in den kommenden Jahren angewendet. [22]

Damit entwickelt sich der regulatorische Rahmen weiter. Entscheidend wird allerdings sein, ob die Vorgaben auch technisch und organisatorisch in der Versorgung ankommen.

Denn eine neue gesetzliche Möglichkeit bedeutet noch lange nicht, dass bestehende Krankenhausanwendungen plötzlich interoperabel sind. Dazu braucht es zusätzliche Investitionen, verbindliche Standards und eine realistische Umsetzungsplanung. Und vor allem braucht es eine IT-Architektur, die nicht nur im Normalbetrieb funktioniert.

4. Cyberangriffe treffen nicht den Server. Sie treffen die medizinischen Prozesse dahinter.

Je stärker ein Krankenhaus digitalisiert ist, desto größer wird die Bedeutung seiner technischen Infrastruktur. Das betrifft inzwischen weit mehr als klassische Arbeitsplatzcomputer und Server.

Moderne Krankenhäuser betreiben vernetzte Medizintechnik, Laborautomaten, bildgebende Systeme, Patientenmonitore, technische Anlagen, Kommunikationsplattformen und zahlreiche externe Schnittstellen. Viele dieser Komponenten sind auf zentrale Dienste angewiesen.

Das beginnt bei Netzwerkverbindungen und reicht über Benutzerverwaltung und Datenbanken bis hin zu spezialisierten Anwendungen. Fällt eine solche zentrale Komponente aus, können die Auswirkungen erheblich sein.

Ein kompromittierter Identitätsdienst kann beispielsweise dazu führen, dass sich Mitarbeitende an zahlreichen Anwendungen nicht mehr anmelden können. Die Server müssen dafür nicht einmal vollständig ausgefallen sein. Sie können technisch erreichbar sein und trotzdem nicht mehr vertrauenswürdig betrieben werden.

Genau das unterscheidet einen schwerwiegenden Cybervorfall von einem gewöhnlichen technischen Defekt. Bei einem Hardwarefehler lässt sich das betroffene System möglicherweise relativ schnell reparieren oder ersetzen.

Bei einer erfolgreichen Kompromittierung muss zunächst geklärt werden, welche Teile der Infrastruktur betroffen sind und unter welchen Voraussetzungen sie wieder sicher betrieben werden können.

Ein Domain Controller wird nicht dadurch vertrauenswürdig, dass er nach einem Neustart wieder erreichbar ist. Und ein Backup ist noch keine belastbare Wiederherstellungsstrategie, solange nicht geklärt ist, ob die Sicherungen vollständig und unverändert sind.

Was die Bedrohungszahlen tatsächlich aussagen

Die europäische Cybersicherheitsagentur ENISA beschäftigt sich seit Jahren mit Angriffen auf den Gesundheitssektor. In einer Analyse von Vorfällen aus dem Zeitraum Januar 2021 bis März 2023 machten Ransomware-Angriffe rund 54 Prozent der untersuchten Fälle aus. [23a]

Solche Zahlen beschreiben die jeweils untersuchte Datenbasis. Sie sind keine vollständige Statistik aller Angriffe auf europäische Krankenhäuser.

Für die Einordnung ist außerdem wichtig, dass nicht jeder schwerwiegende IT-Ausfall durch einen Cyberangriff verursacht wird. Fehlerhafte Softwareupdates, Störungen bei Dienstleistern, Stromausfälle oder Probleme in der Netzwerkinfrastruktur können ebenfalls erhebliche Auswirkungen haben.

Der weltweite CrowdStrike-Ausfall im Juli 2024 hat das eindrucksvoll gezeigt. Ein fehlerhaftes Update führte dazu, dass zahlreiche Windows-Systeme nicht mehr ordnungsgemäß starteten. Auch Gesundheitseinrichtungen waren betroffen.

Es handelte sich dabei nicht um einen Angriff. Die organisatorischen Konsequenzen konnten trotzdem denen eines schwerwiegenden Sicherheitsvorfalls ähneln.

Deshalb wäre es zu kurz gegriffen, ausschließlich die Fähigkeit zur Abwehr krimineller Angreifer zu betrachten. Ein Krankenhaus muss auch dann funktionieren, wenn eine kritische digitale Komponente aus anderen Gründen ausfällt.

Wenn ein Cyberangriff die Patientenversorgung verändert

Eine im Februar 2026 im American Economic Journal: Economic Policy veröffentlichte Untersuchung von Hannah Neprash, Claire McGlave und Sayeh Nikpay analysierte die Auswirkungen von Ransomware-Angriffen auf Krankenhäuser und Patienten in den USA.

Die Forscher verknüpften Informationen über Cyberangriffe mit Abrechnungsdaten des amerikanischen Medicare-Systems. Dabei stellten sie fest, dass die Zahl der behandelten Patienten in der ersten Woche nach einem Angriff um ungefähr 17 bis 24 Prozent zurückging.

Bei Patienten, die sich zum Zeitpunkt des Angriffs bereits im Krankenhaus befanden, stieg die untersuchte innerklinische Sterblichkeit relativ um etwa 34 bis 38 Prozent. [23]

Diese Ergebnisse sind bemerkenswert, müssen aber korrekt eingeordnet werden. Es handelt sich um eine Untersuchung amerikanischer Krankenhäuser und der dort betrachteten Patientengruppen. Die Ergebnisse lassen sich nicht ohne Weiteres auf Deutschland übertragen.

Auch bedeutet ein relativer Anstieg der Sterblichkeit um 34 bis 38 Prozent selbstverständlich nicht, dass ein entsprechender Anteil aller betroffenen Patienten verstirbt.

Die Untersuchung zeigt aber, dass schwerwiegende Cyberangriffe nicht nur wirtschaftliche und technische Schäden verursachen können. Sie können auch erhebliche Auswirkungen auf medizinische Behandlungsergebnisse haben.

Spätestens damit sollte klar sein, warum Cybersicherheit im Krankenhaus nicht ausschließlich als Aufgabe einer technischen Fachabteilung betrachtet werden darf.

Der Cyberangriff auf die Johannesstift Diakonie

Ein besonders anschauliches deutsches Beispiel ist der Cyberangriff auf die Johannesstift Diakonie im Oktober 2024. Am 13. Oktober wurden nach Angaben der Organisation rund 600 Server verschlüsselt. Betroffen waren zahlreiche Einrichtungen des Trägers, darunter Krankenhäuser.

Die Johannesstift Diakonie berichtete wenige Tage später über die Auswirkungen auf das Evangelische Krankenhaus Paul Gerhardt Stift in Wittenberg. Die Patientenversorgung konnte unter Einschränkungen fortgeführt werden. Allerdings mussten die medizinischen Dokumentationsprozesse vorübergehend wieder auf Papier erfolgen. [24][25]

Allein die Aufnahme eines Patienten in der Rettungsstelle dauerte nach damaliger Darstellung teilweise bis zu 15 Minuten, weil die Angaben manuell erfasst werden mussten. Auch Laboruntersuchungen und andere Abläufe waren von Verzögerungen betroffen.

Besonders interessant sind die damaligen Aussagen zur wirtschaftlichen Abwicklung. Die während des Ausfalls erbrachten Leistungen mussten nachvollziehbar dokumentiert werden, damit sie später wieder in die elektronischen Systeme übernommen und gegenüber den Krankenkassen abgerechnet werden konnten.

Außerdem wurden Kostenträger und Lieferanten darüber informiert, dass Rechnungen zeitweise nicht wie gewohnt empfangen und bezahlt werden konnten. [25]

Das ist ein entscheidender Punkt. Das Krankenhaus konnte medizinisch weiterarbeiten. Aber zahlreiche Prozesse, die für den regulären Krankenhausbetrieb ebenso notwendig sind, funktionierten nicht mehr wie gewohnt.

Die Versorgung konnte also unter erheblichen zusätzlichen Anstrengungen aufrechterhalten werden, während sich im Hintergrund administrative und wirtschaftliche Probleme aufbauten.

Genau hier liegt eine Schwäche vieler Debatten über Krankenhaus-Cybersicherheit. Wir konzentrieren uns darauf, ob medizinische Leistungen während eines Angriffs noch erbracht werden können. Mindestens ebenso wichtig ist aber die Frage, wie lange das unter den gegebenen Bedingungen möglich ist und welche Folgen sich daraus ergeben.

5. Papier hält ein Krankenhaus nicht sechs Wochen am Laufen. Zumindest nicht ohne erhebliche Konsequenzen.

In nahezu jedem Notfallkonzept findet sich irgendwann der Hinweis, dass bei einem Ausfall elektronischer Systeme auf Papier zurückgegriffen werden könne. Das ist zunächst sinnvoll.

Ein Formular benötigt keine Netzwerkverbindung, eine handschriftliche Dokumentation funktioniert auch ohne zentrale Benutzeranmeldung und medizinische Informationen können notfalls telefonisch übermittelt werden.

Daraus entsteht allerdings schnell eine gefährliche Annahme. Dass sich ein modernes Krankenhaus mit solchen Ersatzprozessen auch über längere Zeiträume weitgehend normal betreiben ließe.

Ich halte diese Vorstellung für ausgesprochen optimistisch. Nicht, weil Papier grundsätzlich ungeeignet wäre. Sondern weil sich die Arbeitsabläufe im Krankenhaus in den vergangenen Jahrzehnten grundlegend verändert haben.

Ein digitalisierter Prozess lässt sich nicht einfach zurückdrehen

Ein modernes Krankenhaus kann Hunderte verschiedene Anwendungen einsetzen. Patientenverwaltung, klinische Dokumentation, Labor, Radiologie, Medikationssysteme, Pflegeplanung, Materialwirtschaft und Abrechnung sind über zahlreiche Schnittstellen miteinander verbunden.

Viele Informationen werden nur einmal erfasst und anschließend automatisch an unterschiedliche Systeme weitergegeben. Im Normalbetrieb spart das Arbeit und reduziert Medienbrüche.

Fällt die Infrastruktur aus, müssen diese Informationsflüsse teilweise manuell ersetzt werden.

Ein Laborauftrag wird dann möglicherweise wieder auf Papier geschrieben. Die Probe muss eindeutig zugeordnet und anschließend im Labor bearbeitet werden. Das Ergebnis muss an die richtige Station gelangen und dort dem richtigen Patienten zugeordnet werden.

Bei zeitkritischen Untersuchungen benötigt man zusätzliche Verfahren, um sicherzustellen, dass wichtige Ergebnisse tatsächlich bei den behandelnden Personen ankommen.

Das ist möglich. Aber jeder einzelne Schritt benötigt mehr Personal, mehr Abstimmung und zusätzliche Kontrollen.

Labor Berlin stellt beispielsweise öffentlich dokumentierte Ersatzverfahren für den Fall bereit, dass reguläre IT-gestützte Abläufe nicht verfügbar sind. [26]

Solche Vorbereitungen sind sinnvoll. Sie ändern allerdings nichts daran, dass die manuelle Abwicklung deutlich aufwendiger sein kann. Der eigentliche Unterschied zeigt sich mit zunehmender Dauer.

Ein Ausfall über zwei Stunden ist etwas anderes als ein Ausfall über zwei Tage. Und ein Ausfall über zwei Wochen ist organisatorisch noch einmal eine andere Größenordnung.

Die Nachdokumentation wird schnell zum eigenen Großprojekt

Stellen wir uns ein Krankenhaus mit 500 stationären Patienten vor. Nehmen wir rein beispielhaft an, dass pro Patient und Tag 20 dokumentationsrelevante Einträge entstehen. Dazu könnten Medikationsgaben, Pflegeleistungen, Beobachtungen, ärztliche Anordnungen und andere Informationen gehören.

Dann entstehen täglich 10.000 Einträge. Innerhalb einer Woche wären es 70.000. Nach sechs Wochen bereits 420.000.

Das ist ausdrücklich ein Rechenbeispiel und keine gemessene Dokumentationsmenge eines bestimmten Krankenhauses. Es verdeutlicht aber, wie schnell sich die Größenordnung verändert.

Natürlich muss nicht jeder handschriftliche Eintrag später einzeln in dieselbe elektronische Struktur übertragen werden. Das hängt davon ab, welche Informationen medizinisch, rechtlich und abrechnungstechnisch benötigt werden und welche Verfahren für eine spätere Übernahme vorgesehen sind.

Trotzdem entsteht ein erheblicher Aufwand. Denn während die während des Ausfalls entstandenen Unterlagen aufgearbeitet werden müssen, läuft der reguläre Krankenhausbetrieb weiter.

Neue Patienten werden aufgenommen, neue Behandlungen dokumentiert und neue Leistungen abgerechnet. Das Personal müsste also zwei Aufgaben gleichzeitig bewältigen: die laufende Versorgung und die Aufarbeitung der Vergangenheit.

Genau hier stößt die vermeintlich einfache Rückfallstrategie Papier an ihre Grenzen.

Wissenschaftliche Untersuchungen zeigen, was mehrwöchige Ausfälle bedeuten

Im American Journal of Clinical Pathology wurde 2022 eine mehrteilige Untersuchung zu einem schwerwiegenden Cyberangriff auf ein amerikanisches Krankenhausnetzwerk veröffentlicht.

Die elektronische Patientenakte war in dem untersuchten Fall 25 Tage nicht verfügbar. Andere Systeme waren sogar länger als 40 Tage betroffen. Auch Laborinformationssysteme, Terminplanung, Abrechnung und weitere Anwendungen fielen aus. [27]

Die Mitarbeitenden entwickelten manuelle Ersatzverfahren, um wesentliche Leistungen weiter erbringen zu können. Ein weiterer Teil der Untersuchungsreihe beschreibt ausführlich die Herausforderungen bei Qualitätssicherung, Abrechnung und der späteren Überführung der während des Ausfalls entstandenen Informationen in die elektronischen Systeme. [28]

Dafür waren erhebliche zusätzliche personelle und organisatorische Ressourcen notwendig.

Eine weitere wissenschaftliche Untersuchung aus dem Jahr 2024 beschreibt einen Krankenhausausfall, bei dem zentrale Systeme erst über mehrere Wochen schrittweise wiederhergestellt werden konnten. Die elektronische Patientenakte war nach ungefähr vier Wochen wieder verfügbar. Andere Kommunikationssysteme benötigten bis zu acht Wochen. [29]

Die Wiederherstellung einzelner Anwendungen führte dabei nicht automatisch dazu, dass sämtliche medizinischen und organisatorischen Abläufe sofort wieder normal funktionierten.

Diese Beispiele zeigen, dass mehrwöchige IT-Ausfälle keineswegs unrealistisch sind. Sie zeigen aber ebenso, dass ein vorübergehender Weiterbetrieb unter solchen Bedingungen erhebliche Einschränkungen und zusätzliche Belastungen verursachen kann.

Der technische Wiederanlauf ist nur die halbe Arbeit

Angenommen, ein Krankenhaus konnte nach zehn Tagen seine wesentlichen IT-Systeme wiederherstellen. Die Server laufen, die Anwendungen sind erreichbar und die Mitarbeitenden können sich wieder anmelden.

Damit ist das technische Problem möglicherweise weitgehend gelöst. Für das Krankenhaus beginnt jetzt allerdings eine neue Aufgabe.

Was passiert mit den Informationen aus den vergangenen zehn Tagen? Welche Papierdokumente müssen gescannt und archiviert werden? Welche Informationen müssen strukturiert nacherfasst werden? Welche Medikationsdaten sind für die laufende Behandlung erforderlich? Und welche Angaben benötigen die Verwaltung und die Abrechnung?

Das lässt sich nicht mit einer pauschalen Anweisung beantworten, sämtliche Unterlagen nachzutragen. Besonders bei medizinisch relevanten Informationen muss die Übernahme kontrolliert erfolgen.

Wenn während des Ausfalls beispielsweise Medikamente verändert oder abgesetzt wurden, darf das wiederhergestellte System nicht einfach mit einem veralteten Medikationsstand weiterarbeiten.

Gleichzeitig muss nachvollziehbar bleiben, welche Informationen während der Behandlung tatsächlich vorlagen und welche erst später elektronisch übernommen wurden.

Die wissenschaftliche Literatur beschreibt solche Verfahren unter anderem als Reconciliation, also den kontrollierten Abgleich zwischen den während des Ausfalls entstandenen Unterlagen und den wiederhergestellten elektronischen Daten. [30]

Das ist nicht nur eine technische Aufgabe. Es ist ein eigenständiger klinischer und organisatorischer Prozess.

Dokumentation ist nicht dasselbe wie nachträgliche Digitalisierung

Eine medizinische Leistung kann ordnungsgemäß auf Papier dokumentiert worden sein, obwohl keine elektronische Erfassung möglich war. Das bedeutet aber nicht automatisch, dass diese Dokumentation später beliebig in digitale Einträge umgewandelt werden darf.

Behandlungszeitpunkte, Verantwortlichkeiten und die Herkunft der Informationen müssen nachvollziehbar bleiben. Eine nachträgliche Übertragung darf nicht den Eindruck erwecken, dass ein Vorgang bereits während der Behandlung elektronisch erfasst wurde, wenn das tatsächlich nicht der Fall war.

Außerdem besteht beim Übertragen großer Dokumentationsmengen ein zusätzliches Fehlerrisiko. Ein falsch übernommener Medikationswert kann deutlich gravierendere Konsequenzen haben als ein fehlender administrativer Berichtseintrag.

Deshalb benötigt die Nachdokumentation medizinische Prioritäten, geeignete Kontrollmechanismen und realistische personelle Ressourcen.

Gerade bei längeren Ausfällen muss möglicherweise entschieden werden, welche Informationen strukturiert nacherfasst werden müssen und bei welchen Unterlagen eine ordnungsgemäße Übernahme der Originaldokumentation ausreicht. Das ist jeweils fachlich und rechtlich zu bewerten.

Papier ist damit eine sinnvolle Rückfallmöglichkeit. Aber es ist keine dauerhafte Ersatzarchitektur für einen vollständig digitalisierten Krankenhausbetrieb.

Und noch etwas wird häufig unterschätzt. Selbst wenn die medizinische Versorgung mit erheblichen Einschränkungen weiterläuft, kann der wirtschaftliche Betrieb bereits weitgehend zum Stillstand gekommen sein.

Sechs Wochen ohne Abrechnung. Wer bezahlt eigentlich das Krankenhaus?

Krankenhäuser müssen nicht nur Patienten behandeln. Sie müssen auch Gehälter bezahlen, Medikamente einkaufen, Dienstleister finanzieren und ihre laufenden Verpflichtungen erfüllen.

Ein erheblicher Teil ihrer Einnahmen entsteht aus der Abrechnung erbrachter medizinischer Leistungen. Diese Abrechnung ist heute weitgehend digital organisiert.

Für zugelassene Krankenhäuser regelt § 301 SGB V unter anderem die Übermittlung bestimmter Behandlungs- und Abrechnungsdaten an die Krankenkassen. Die Verfahren sind grundsätzlich auf elektronische beziehungsweise maschinell verwertbare Datenübermittlung ausgelegt. [31]

Der GKV-Spitzenverband beschreibt die entsprechenden Abrechnungsgrundlagen und Vereinbarungen. [32]

Damit wird die Dokumentation zu einer wesentlichen Voraussetzung des wirtschaftlichen Betriebs. Ein Krankenhaus kann nicht einfach einen handschriftlichen Zettel mit der Information verschicken, dass in den vergangenen sechs Wochen ungefähr 800 Patienten behandelt wurden, und anschließend die reguläre Vergütung erwarten.

Für die Abrechnung müssen die erforderlichen Angaben vorliegen. Dazu gehören beispielsweise Diagnosen, Prozeduren und weitere behandlungs- beziehungsweise fallbezogene Informationen.

Wenn diese Daten während eines längeren Ausfalls nicht regulär verarbeitet werden können, entsteht ein Rückstand. Und dieser Rückstand verschwindet nicht, sobald die IT wieder funktioniert.

Die während des Ausfalls erbrachten Leistungen müssen aufbereitet, gegebenenfalls kodiert, überprüft und anschließend abgerechnet werden. Währenddessen entstehen bereits neue Behandlungsfälle.

Aus einem IT-Ausfall über sechs Wochen kann dadurch eine wesentlich längere Phase eingeschränkter administrativer Leistungsfähigkeit werden.

Die Liquiditätsfrage gehört in jedes ernsthafte Krisenkonzept

Stellen wir uns vor, ein Krankenhaus kann über mehrere Wochen nur eingeschränkt Rechnungen stellen. Die laufenden Kosten bleiben trotzdem bestehen. Beschäftigte erwarten ihre Gehälter, Lieferanten müssen bezahlt und medizinische Materialien beschafft werden.

Damit entsteht möglicherweise ein Liquiditätsproblem. Es wäre deshalb sinnvoll, bereits vor einem solchen Vorfall zu klären, welche rechtlich zulässigen Übergangslösungen mit Kostenträgern und anderen Finanzierungspartnern möglich wären.

Denkbar wären beispielsweise vorübergehende Abschlagszahlungen, technische Sonderverfahren oder andere individuell abgestimmte Übergangslösungen.

Das ist ausdrücklich keine Behauptung, dass Krankenhäuser bei einem Cyberangriff automatisch Anspruch auf eine pauschale Fortzahlung ihrer bisherigen Erlöse hätten. Eine solche Lösung müsste den gesetzlichen und vertraglichen Anforderungen entsprechen und mit den jeweiligen Beteiligten vereinbart werden.

Aber genau deshalb gehört diese Diskussion in die Vorbereitung. Nicht erst dann, wenn eine Einrichtung seit mehreren Wochen kaum noch regulär abrechnen kann.

Ein international bekanntes Beispiel für die wirtschaftlichen Auswirkungen digitaler Abhängigkeiten ist der Cyberangriff auf Change Healthcare im Jahr 2024. Der Angriff beeinträchtigte die elektronische Abrechnung und Zahlungsabwicklung zahlreicher amerikanischer Gesundheitseinrichtungen. Teilweise konnten über mehrere Wochen keine regulären Abrechnungen über den betroffenen Dienstleister abgewickelt werden. [33]

Das amerikanische Vergütungssystem ist nicht direkt mit dem deutschen vergleichbar. Der grundsätzliche Zusammenhang ist allerdings derselbe.

Ein Krankenhaus kann medizinisch weiterarbeiten und gleichzeitig wirtschaftlich erheblich unter Druck geraten, wenn seine digitalen Abrechnungsprozesse nicht mehr funktionieren.

Aus meiner Sicht gehört deshalb neben der technischen und medizinischen Wiederherstellungsfähigkeit eine dritte Dimension in die Krisenvorsorge: die wirtschaftliche Handlungsfähigkeit.

Ein Notfallplan, der die Patientenversorgung betrachtet, aber die Finanzierung des Betriebs über mehrere Wochen ausblendet, ist nicht vollständig.

6. Ein Krankenhausausfall ist kein lokales Problem. Er kann eine ganze Versorgungsregion treffen.

Eine weitere Schwäche vieler Cyberrisikobetrachtungen liegt darin, dass sie sich auf die einzelne Organisation konzentrieren. Ein Krankenhaus betrachtet seine eigene IT, erstellt Wiederherstellungspläne und organisiert Ersatzprozesse.

Das ist notwendig. Aber medizinische Versorgung funktioniert nicht isoliert. Krankenhäuser sind Teil regionaler Versorgungsstrukturen. Wenn eine Einrichtung ausfällt, können andere Krankenhäuser Patienten übernehmen. Zumindest solange dort ausreichend Kapazitäten verfügbar sind.

Was passiert aber, wenn mehrere Krankenhäuser gleichzeitig betroffen sind? Oder wenn die umliegenden Einrichtungen bereits an ihrer Belastungsgrenze arbeiten?

Dann wird aus einer lokalen IT-Störung sehr schnell ein Problem der regionalen Gesundheitsversorgung.

Cyberangriffe erzeugen einen Dominoeffekt

Im Mai 2023 erschien in JAMA Network Open eine Untersuchung von Christian Dameff und weiteren Autoren zu den Auswirkungen eines vierwöchigen Ransomware-Angriffs auf vier Krankenhäuser in den USA.

Besonders interessant ist, dass die Forscher nicht ausschließlich die angegriffenen Einrichtungen untersuchten. Sie betrachteten auch benachbarte Notaufnahmen, deren IT überhaupt nicht betroffen war. Insgesamt wurden 19.857 Notaufnahmebesuche analysiert. [35]

Während der Angriffsphase stieg die durchschnittliche tägliche Patientenzahl in den untersuchten benachbarten Notaufnahmen um 15,1 Prozent. Die Rettungsdienstankünfte nahmen um 35,2 Prozent zu.

Die mediane Wartezeit stieg von 21 auf 31 Minuten, also um ungefähr 48 Prozent. Auch die Zahl der Patienten, die eine Notaufnahme verließen, ohne ärztlich untersucht worden zu sein, nahm deutlich zu.

Das ist eine wichtige Erkenntnis. Die benachbarten Krankenhäuser waren nicht selbst angegriffen worden. Trotzdem litten ihre Abläufe unter dem Cybervorfall.

Denn Patientenströme verlagerten sich, Rettungsdienste mussten andere Einrichtungen anfahren und dort stieg die Belastung.

Die Studie bezieht sich auf eine konkrete amerikanische Versorgungssituation. Sie liefert deshalb keine unmittelbar übertragbare Prognose für deutsche Regionen. Sie belegt aber den grundsätzlichen Zusammenhang.

Die Auswirkungen eines Krankenhaus-Cyberangriffs enden nicht an der Netzwerkgrenze der betroffenen Einrichtung.

Wenn zur Cyberkrise noch ein Massenanfall von Verletzten kommt

Stellen wir uns die Situation in einem deutschen Landkreis vor. Mehrere Krankenhäuser einer Region sind aufgrund eines gemeinsamen IT-Problems nur eingeschränkt betriebsfähig. Vielleicht nutzen sie dieselbe zentrale Infrastruktur oder gehören zu einer Krankenhausgruppe, deren Systeme gemeinsam betroffen sind.

Ein Teil der Notaufnahmen kann keine zusätzlichen Patienten aufnehmen. Bestimmte Leistungen müssen verschoben werden. Einige Patienten werden in andere Einrichtungen verlegt. Die umliegenden Krankenhäuser übernehmen zusätzliche Versorgungsaufgaben.

Das funktioniert zunächst, wenn auch unter erheblicher Belastung.

Und dann passiert auf einer Autobahn in der Region eine Massenkarambolage. Mehrere Fahrzeuge sind beteiligt, zahlreiche Menschen werden verletzt und Rettungsdienst, Feuerwehr sowie Polizei müssen eine größere Einsatzlage bewältigen.

Normalerweise könnten die Verletzten auf verschiedene Krankenhäuser verteilt werden. Jetzt steht aber nur ein Teil der regulären Behandlungskapazitäten zur Verfügung.

Schwerverletzte müssen möglicherweise längere Transportwege zurücklegen. Bestimmte Fachdisziplinen sind regional nur eingeschränkt verfügbar. Rettungsmittel bleiben länger gebunden und die verbleibenden Krankenhäuser geraten zusätzlich unter Druck.

Auch dieses Szenario ist fiktiv. Aber die zugrunde liegende Frage ist real. Wie widerstandsfähig ist unsere regionale Gesundheitsversorgung, wenn eine oder mehrere zentrale Einrichtungen über längere Zeit ausfallen?

Das ist keine Frage, die eine einzelne IT-Abteilung beantworten kann. Sie betrifft Krankenhausplanung, Rettungsdienst, Katastrophenschutz und die zuständigen Behörden.

Die Länder sind für die Krankenhausplanung verantwortlich

Die Krankenhausplanung liegt in Deutschland grundsätzlich in der Zuständigkeit der Bundesländer. Auch der Katastrophenschutz ist in wesentlichen Teilen Ländersache.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe weist darauf hin, dass Krankenhausalarm- und Einsatzpläne sowohl den Ausfall der Funktionsfähigkeit einer Einrichtung als auch außergewöhnliche Patientenaufkommen berücksichtigen müssen. [36]

Dazu gehören beispielsweise Großschadensereignisse mit einem Massenanfall von Verletzten, kurz MANV.

Die vorhandenen Strukturen sind grundsätzlich sinnvoll. Allerdings müssen digitale Ausfallszenarien stärker mit der regionalen Versorgungsplanung verbunden werden.

Denn ein Cyberangriff kann mehrere Standorte gleichzeitig betreffen und damit gerade diejenigen Reserven reduzieren, die bei einem größeren Schadensereignis dringend benötigt werden.

Die Zahlen zeigen erhebliche Unterschiede bei der regionalen Einbindung

Besonders aufschlussreich ist das Krankenhaus-Barometer 2025. Danach berichteten 84 Prozent der befragten Krankenhäuser, in landesweite Planungen für Massenunfälle und Großschadensereignisse eingebunden zu sein.

Bei Gesundheitskrisen und Pandemien lag der Anteil bei 80 Prozent. Bei technischen beziehungsweise infrastrukturellen Ausfällen sank er auf 56 Prozent. Und bei Cyberangriffen berichteten lediglich 36 Prozent von einer entsprechenden Einbindung in landesweite Notfallpläne. [4]

Weitere 33 Prozent gaben an, dass entsprechende Pläne zwar existierten, ihre Einrichtung aber nicht einbezogen sei. 31 Prozent berichteten, dass solche Pläne nicht vorhanden oder ihnen nicht bekannt seien.

Diese Zahlen beschreiben die Angaben der befragten Einrichtungen. Sie sind keine vollständige Bestandsaufnahme sämtlicher behördlicher Planungen. Trotzdem ist die Diskrepanz auffällig.

Für klassische Großschadensereignisse bestehen offenbar deutlich etabliertere Abstimmungsstrukturen als für Cyberangriffe. Dabei können gerade schwerwiegende IT-Sicherheitsvorfälle mehrere Krankenhäuser gleichzeitig treffen.

Hier sehe ich eine wichtige Aufgabe der Länder. Die regionale Krankenhausplanung sollte nicht ausschließlich betrachten, welche medizinischen Leistungen an welchem Standort angeboten werden. Sie sollte auch berücksichtigen, von welchen gemeinsamen digitalen Infrastrukturen diese Leistungen abhängen.

Wenn mehrere Krankenhäuser dieselbe zentrale IT-Plattform verwenden, kann daraus ein gemeinsames Ausfallrisiko entstehen. Das bedeutet nicht, dass Zentralisierung grundsätzlich falsch wäre. Gemeinsame Infrastruktur kann wirtschaftlicher und sicherer betrieben werden als eine große Zahl schlecht gepflegter Einzelsysteme.

Sie kann aber auch den Wirkungsradius eines Vorfalls vergrößern. Deshalb muss eine stärkere Zentralisierung mit geeigneter Segmentierung, Redundanz und belastbaren Ausweichverfahren verbunden werden.

Krankenhausreform und Resilienz müssen zusammen gedacht werden

Mit der Krankenhausreform verfolgt Deutschland unter anderem das Ziel, medizinische Leistungen stärker zu konzentrieren und die Versorgungsqualität zu verbessern. Das kann fachlich sinnvoll sein.

Spezialisierte Einrichtungen verfügen bei bestimmten Behandlungen über größere Erfahrung und können ihre Ressourcen effizienter einsetzen. Allerdings verändert eine solche Konzentration auch die regionalen Abhängigkeiten.

Wenn bestimmte Leistungen nur noch an wenigen Standorten verfügbar sind, gewinnt deren Betriebsfähigkeit zusätzlich an Bedeutung.

Die Krankenhausplanung muss deshalb neben Qualität, Wirtschaftlichkeit und Erreichbarkeit auch die Widerstandsfähigkeit der Versorgungsstruktur berücksichtigen.

Es reicht nicht, dass eine Region unter normalen Bedingungen ausreichend Krankenhauskapazitäten besitzt. Sie muss auch wissen, was passiert, wenn ein wesentlicher Teil dieser Kapazitäten unerwartet wegfällt.

Gerade bei digitalen Abhängigkeiten ist das keine rein theoretische Frage.

7. Mehr Regulierung, mehr Verantwortung. Aber werden unsere Krankenhäuser dadurch tatsächlich krisenfester?

Deutschland und die Europäische Union haben die Anforderungen an Informationssicherheit und kritische Infrastrukturen in den vergangenen Jahren erheblich erweitert. Für Krankenhäuser existiert inzwischen ein umfangreicher regulatorischer Rahmen.

Dazu gehören allgemeine Anforderungen an die IT-Sicherheit, branchenspezifische Sicherheitsstandards, NIS2, das KRITIS-Dachgesetz und weitere gesetzliche Verpflichtungen.

Diese Entwicklung ist grundsätzlich nachvollziehbar. Ein Krankenhaus gehört zur kritischen gesellschaftlichen Infrastruktur. Sein Ausfall kann unmittelbare Auswirkungen auf die Versorgung der Bevölkerung haben.

Allerdings stellt sich die Frage, ob zusätzliche regulatorische Anforderungen automatisch zu mehr tatsächlicher Resilienz führen.

IT-Sicherheit ist längst gesetzliche Pflicht

Mit dem Patientendaten-Schutz-Gesetz wurden die Anforderungen an die IT-Sicherheit von Krankenhäusern über die klassische KRITIS-Einstufung hinaus erweitert.

Die entsprechende Verpflichtung trat Anfang 2022 zunächst als § 75c SGB V in Kraft. In der aktuellen Gesetzesstruktur findet sich die Regelung unter § 391 SGB V. [38]

Krankenhäuser müssen angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik treffen, um ihre maßgeblichen IT-Systeme und Prozesse zu schützen. Dazu gehört auch die Sensibilisierung der Mitarbeitenden.

Ergänzend existiert mit dem B3S Medizinische Versorgung ein branchenspezifischer Sicherheitsstandard, der die Besonderheiten des Krankenhausbetriebs berücksichtigt. [39]

Solche Standards sind sinnvoll, weil sich die Anforderungen eines Krankenhauses deutlich von denen eines gewöhnlichen Verwaltungsunternehmens unterscheiden.

Ein medizinisches Gerät lässt sich nicht beliebig aktualisieren. Ein kritisches klinisches System kann nicht ohne Abstimmung für mehrere Stunden abgeschaltet werden. Und viele technische Entscheidungen haben unmittelbare Auswirkungen auf die Patientenversorgung.

NIS2 erweitert die Verantwortung

Mit der Umsetzung der europäischen NIS2-Richtlinie wurden die Cybersicherheitsanforderungen in Deutschland weiterentwickelt. Die neuen Regelungen gelten seit dem 6. Dezember 2025. [40]

Je nach gesetzlicher Einordnung können Krankenhäuser und weitere Organisationen des Gesundheitssektors unter die entsprechenden Pflichten fallen.

Das BSI-Gesetz verlangt unter anderem Maßnahmen zum Risikomanagement, zum Umgang mit Sicherheitsvorfällen, zur Sicherheit von Lieferketten sowie zum Backup- und Wiederherstellungsmanagement. [41]

Hinzu kommen Meldepflichten für bestimmte erhebliche Sicherheitsvorfälle. [42]

Damit wird Cybersicherheit ausdrücklich zu einer organisatorischen Führungsaufgabe. Die Geschäftsleitung kann die Verantwortung nicht vollständig an eine IT-Abteilung delegieren.

Das ist konsequent. Denn wenn ein Sicherheitsvorfall dazu führt, dass ein Krankenhaus keine Patienten mehr aufnehmen kann, handelt es sich nicht mehr ausschließlich um ein technisches Problem.

Das KRITIS-Dachgesetz erweitert die Perspektive

Das im März 2026 in Kraft getretene KRITIS-Dachgesetz adressiert die physische Resilienz kritischer Anlagen. [43]

Damit werden Risiken betrachtet, die über klassische Cyberangriffe hinausgehen. Dazu zählen beispielsweise Sabotage, Naturereignisse und schwerwiegende Störungen wichtiger Versorgungsleistungen.

Für Krankenhäuser ist diese breitere Betrachtung sinnvoll. Denn auch ein längerer Stromausfall, Probleme mit der Wasser- oder Wärmeversorgung oder der Ausfall kritischer Lieferanten können erhebliche medizinische Konsequenzen haben.

Eine belastbare Krisenplanung muss deshalb unterschiedliche Ursachen berücksichtigen. Entscheidend ist nicht immer, wodurch eine Störung ausgelöst wurde. Entscheidend ist, welche Auswirkungen sie auf die medizinische Versorgung hat und wie die Organisation darauf reagieren kann.

Eine Richtlinie ist noch keine funktionierende Krise

Genau hier liegt allerdings die Schwäche eines rein regulatorischen Ansatzes. Ein Krankenhaus kann über umfangreiche Richtlinien, Notfallpläne und Dokumentationen verfügen. Ob diese im Ernstfall funktionieren, ist damit noch nicht bewiesen.

Eine gemeinsame Studie von BDO und dem Deutschen Krankenhausinstitut zur Cybersicherheit im Krankenhaus liefert dazu interessante Erkenntnisse.

Befragt wurden 177 Allgemeinkrankenhäuser mit mindestens 100 Betten. Die Ergebnisse wurden Anfang 2026 veröffentlicht. [34]

90 Prozent der teilnehmenden Einrichtungen bewerteten die Bedrohung durch Cyberkriminalität als hoch oder sehr hoch. Etwa jedes fünfte Krankenhaus berichtete von einem meldepflichtigen Cybervorfall innerhalb der zurückliegenden drei Jahre.

70 Prozent nannten fehlende finanzielle Mittel als wesentliches Hindernis beim Ausbau der IT-Sicherheit. Rund ein Drittel berichtete über unbesetzte Stellen im Bereich der IT-Sicherheit.

Besonders interessant ist der Bereich des Business Continuity Managements. Nur etwa 16 Prozent der befragten Krankenhäuser verfügten über ein vollständig etabliertes BCM. Weitere 53 Prozent befanden sich noch in der Umsetzung.

Lediglich elf Prozent berichteten, bereits realitätsnahe Notfallübungen für Cyberangriffe durchgeführt zu haben. [34]

Das bedeutet ausdrücklich nicht, dass nur 16 Prozent ein Informationssicherheitsmanagementsystem besitzen. Informationssicherheitsmanagement und Business Continuity Management sind unterschiedliche Disziplinen.

Ein ISMS strukturiert Sicherheitsrisiken und Schutzmaßnahmen. Ein BCM soll sicherstellen, dass kritische Prozesse bei schwerwiegenden Störungen weiterlaufen oder innerhalb definierter Grenzen wiederhergestellt werden können.

Ein Krankenhaus kann also durchaus über ein etabliertes Informationssicherheitsmanagement verfügen und trotzdem Schwierigkeiten haben, einen mehrtägigen IT-Ausfall organisatorisch zu bewältigen.

Genau diese Unterscheidung ist wesentlich.

Übungen müssen Medizin, Pflege, Verwaltung und Geschäftsführung zusammenbringen

Die Konsequenz aus diesen Erkenntnissen sollte nicht darin bestehen, einfach noch mehr Dokumentation zu verlangen. Viel wichtiger wäre es, die vorhandenen Verfahren regelmäßig unter realistischen Bedingungen zu testen.

Dafür eignen sich unter anderem Tabletop Exercises. In solchen Übungen wird ein vorbereitetes Krisenszenario gemeinsam durchgespielt. Die Teilnehmenden müssen Entscheidungen treffen, Informationen austauschen und auf eine sich verändernde Lage reagieren.

Entscheidend ist allerdings, wer an einer solchen Übung beteiligt wird. Wenn ausschließlich IT-Abteilungen teilnehmen, wird vor allem die technische Reaktion betrachtet. Für eine Krankenhauskrise reicht das nicht.

Ärztliche Leitung, Pflege, Geschäftsführung, Verwaltung, Medizintechnik, Betriebstechnik, Kommunikation und gegebenenfalls externe Partner müssen ebenfalls eingebunden werden.

Denn die relevanten Fragen verlaufen quer durch die Organisation.

Die IT kann erklären, dass eine zentrale Infrastruktur kompromittiert wurde und nicht mehr vertrauenswürdig betrieben werden kann. Ob deshalb bestimmte Operationen verschoben werden müssen, die Notaufnahme abgemeldet wird oder Patienten in andere Einrichtungen verlegt werden, ist dagegen eine medizinische und organisatorische Entscheidung.

Gleichzeitig muss die Verwaltung klären, wie Materialversorgung, Rechnungsbearbeitung und Abrechnung unter den gegebenen Bedingungen fortgesetzt werden können. Diese Schnittstellen funktionieren nicht automatisch, nur weil alle Beteiligten engagiert sind. Sie müssen vorbereitet und geübt werden.

Eine realistische Übung darf nicht nach zwei Stunden aufhören

Aus meiner Sicht besteht ein wesentliches Problem vieler Krisenszenarien darin, dass sie sich zu stark auf die unmittelbare Reaktion konzentrieren.

In den ersten Stunden geht es um Erkennung, Eindämmung und die Aufrechterhaltung kritischer medizinischer Leistungen. Das ist wichtig. Aber die schwierigeren Fragen entstehen möglicherweise erst später.

Nach sechs Stunden muss geklärt werden, welche Ersatzprozesse tatsächlich belastbar sind. Nach 24 Stunden werden Personalplanung, Kommunikationswege und organisatorische Ermüdung relevanter.

Nach drei Tagen stellt sich die Frage, welche medizinischen Leistungen noch verantwortbar erbracht werden können und wie sich die zusätzlichen Dokumentationsaufgaben auswirken.

Nach einer Woche geht es möglicherweise um Nachdokumentation, Materialversorgung, Liquidität und die Frage, ob ein eingeschränkter Weiterbetrieb überhaupt noch wirtschaftlich und organisatorisch tragfähig ist.

Solche Zeitdimensionen sollten in Übungen berücksichtigt werden. Eine gute Übung muss nicht beweisen, dass ein Krankenhaus bereits perfekt vorbereitet ist. Sie soll zeigen, wo die vorhandenen Pläne unter realistischen Bedingungen an ihre Grenzen stoßen.

Vielleicht stellt sich heraus, dass ein Papierprozess nur für wenige Stunden funktioniert. Vielleicht fehlen verbindliche Ansprechpartner. Vielleicht werden wichtige Entscheidungen von Personen erwartet, die gar nicht über die notwendigen Informationen verfügen.

Oder eine Klinik stellt fest, dass sie bei einem gleichzeitigen Ausfall mehrerer Standorte keine ausreichenden Alternativen besitzt.

Das sind keine schlechten Übungsergebnisse. Im Gegenteil. Es sind genau die Erkenntnisse, die man benötigt, um die tatsächliche Krisenfähigkeit zu verbessern.

Resilienz muss auf der Ebene klinischer Prozesse bewertet werden

Die klassische IT verwendet für die Wiederherstellungsplanung häufig Kennzahlen wie Recovery Time Objective und Recovery Point Objective.

Die RTO beschreibt die angestrebte maximale Wiederherstellungszeit. Die RPO beschreibt den maximal tolerierbaren Datenverlust, ausgedrückt als Zeitspanne zwischen dem letzten verfügbaren Datenstand und dem Störungszeitpunkt.

Beide Größen sind sinnvoll. Im Krankenhaus müssen sie allerdings aus den medizinischen Prozessen abgeleitet werden.

Ob eine Anwendung vier Stunden ausfallen darf, lässt sich nicht unabhängig davon beurteilen, wofür sie verwendet wird. Ein internes Berichtssystem kann möglicherweise mehrere Tage nicht verfügbar sein, ohne die unmittelbare Patientenversorgung wesentlich zu beeinträchtigen.

Bei Medikationsdaten, intensivmedizinischer Dokumentation oder bestimmten Notfallprozessen können dagegen völlig andere Anforderungen gelten.

Deshalb benötigt ein Krankenhaus eine klinisch fundierte Business Impact Analysis. Dabei wird nicht nur gefragt, welche Systeme existieren und wie schnell sie wiederhergestellt werden können. Es muss untersucht werden, welche medizinischen Leistungen von diesen Systemen abhängen.

Welche Prozesse sind kritisch? Welche Ersatzverfahren existieren? Wie lange funktionieren sie? Welche medizinischen Risiken entstehen bei zunehmender Ausfalldauer? Und welche technischen Abhängigkeiten müssen für einen vertrauenswürdigen Wiederanlauf zuerst wiederhergestellt werden?

Das führt zu einer anderen Betrachtung von Cybersicherheit. Nicht der einzelne Server steht im Mittelpunkt. Sondern die Fähigkeit, medizinische Versorgung trotz schwerwiegender digitaler Störungen aufrechtzuerhalten.

8. Was wir aus all dem lernen sollten

Deutschland hat in den vergangenen Jahren erhebliche Fortschritte bei der Digitalisierung seiner Krankenhäuser gemacht. Die DigitalRadar-Ergebnisse zeigen das deutlich.

Gleichzeitig belegen die EMRAM-Auswertungen, dass die umfassende Integration digitaler klinischer Prozesse noch längst nicht überall erreicht ist.

Der finanzielle Druck nimmt weiter zu, und neue medizinische Möglichkeiten werden die Abhängigkeit von leistungsfähiger IT eher vergrößern als verringern.

Es wäre deshalb falsch, Digitalisierung aus Sorge vor Cyberrisiken zu bremsen. Genau das Gegenteil ist notwendig.

Wir müssen unsere Krankenhäuser weiter digitalisieren, weil moderne medizinische Versorgung, effizientere Abläufe und eine bessere Nutzung vorhandener Ressourcen ohne leistungsfähige digitale Systeme kaum denkbar sind.

Allerdings reicht es nicht, Digitalisierung ausschließlich als Modernisierung der Technik zu verstehen. Jede neue Schnittstelle, jede zentrale Plattform und jeder digitalisierte klinische Prozess verändert auch die möglichen Auswirkungen eines Ausfalls.

Daraus ergeben sich aus meiner Sicht vier zentrale Erkenntnisse.

Wir digitalisieren schneller, als wir lernen, mit dem Ausfall umzugehen.

Die technische Entwicklung schafft neue Möglichkeiten. Aber sie verändert auch die Voraussetzungen für einen sicheren Krankenhausbetrieb.

Wenn immer mehr Prozesse von denselben digitalen Diensten abhängen, muss die organisatorische Vorbereitung auf deren Ausfall entsprechend mitwachsen. Das betrifft nicht nur Backup-Systeme und technische Wiederherstellung.

Es betrifft auch medizinische Ersatzprozesse, Kommunikation, personelle Ressourcen und die Steuerung der Patientenversorgung.

Ein Krankenhaus kann technisch gut geschützt und trotzdem nicht krisenfest sein.

Sicherheitsmaßnahmen reduzieren Risiken. Sie garantieren aber keine vollständige Verfügbarkeit. Auch gut abgesicherte Systeme können ausfallen.

Ein schwerwiegender Angriff kann außerdem dazu führen, dass technisch noch funktionsfähige Infrastruktur aus Sicherheitsgründen abgeschaltet werden muss.

Deshalb entscheidet sich Krisenfestigkeit nicht allein an der Qualität der technischen Schutzmaßnahmen. Sie zeigt sich daran, wie die Organisation handelt, wenn diese Maßnahmen nicht ausreichen.

Ein funktionierender Notbetrieb ist noch keine erfolgreiche Wiederherstellung.

Dieser Punkt wird meiner Ansicht nach besonders häufig unterschätzt. Ein Krankenhaus kann seine Patienten während eines IT-Ausfalls unter erheblichen Anstrengungen weiter versorgen.

Damit ist aber noch nicht sichergestellt, dass die während dieser Zeit entstandenen Informationen später vollständig und korrekt in den regulären Betrieb überführt werden können. Ebenso wenig ist garantiert, dass sämtliche erbrachten Leistungen ohne zusätzliche Schwierigkeiten abgerechnet werden können.

Je länger ein Ausfall dauert, desto größer werden die organisatorischen und wirtschaftlichen Folgelasten.

Deshalb müssen Notbetrieb, technischer Wiederanlauf, Nachdokumentation und wirtschaftliche Erholung als zusammenhängender Prozess verstanden werden.

Cybersicherheit im Krankenhaus ist Teil der Patientensicherheit und der öffentlichen Daseinsvorsorge.

Das ist für mich die wichtigste Erkenntnis. Ein Krankenhaus betreibt seine IT nicht zum Selbstzweck. Sie dient dazu, medizinische Versorgung zu ermöglichen und zu unterstützen.

Wenn digitale Systeme ausfallen, können Behandlungsprozesse beeinträchtigt werden. Wenn Daten manipuliert werden, können medizinische Entscheidungen auf einer falschen Grundlage entstehen. Und wenn zentrale Infrastruktur kompromittiert wird, kann eine ganze Einrichtung ihre Leistungsfähigkeit verlieren.

Die Auswirkungen können weit über das betroffene Krankenhaus hinausreichen. Dann müssen andere Einrichtungen zusätzliche Patienten übernehmen, Rettungsdienste verändern ihre Transportwege und die regional verfügbaren Behandlungskapazitäten werden reduziert.

Damit wird aus einem Cybervorfall ein Thema der öffentlichen Daseinsvorsorge. Und daraus folgt eine Verantwortung, die nicht allein bei IT-Abteilungen oder Informationssicherheitsbeauftragten liegen kann.

Sie betrifft Geschäftsführungen, medizinische Leitungen, Pflege, Verwaltung, Krankenhausplanung, Katastrophenschutz, Kostenträger und Politik.

Zurück zu Montag, 6:20 Uhr

Kommen wir noch einmal zu unserem Krankenhaus vom Anfang.

Die IT ist ausgefallen. Die technische Ursache ist noch nicht vollständig geklärt, und die medizinische Versorgung läuft nur unter erheblichen Einschränkungen weiter.

Ein gut vorbereitetes Krankenhaus wird eine solche Situation nicht ohne Probleme überstehen. Das wäre eine unrealistische Erwartung.

Aber es wird wissen, welche medizinischen Prozesse unbedingt aufrechterhalten werden müssen, welche Ersatzverfahren tatsächlich funktionieren und wie lange diese belastbar sind.

Es wird klare Verantwortlichkeiten besitzen und Kommunikationswege nutzen können, die nicht vollständig von der betroffenen Infrastruktur abhängen.

Die technischen Teams werden wissen, welche Systeme in welcher Reihenfolge wiederhergestellt werden müssen. Und die medizinischen Verantwortlichen werden einschätzen können, welche Leistungen unter den gegebenen Bedingungen noch sicher erbracht werden können.

Vor allem aber wird die Organisation auch auf die Zeit nach dem eigentlichen IT-Ausfall vorbereitet sein. Auf die Rückführung der Dokumentation. Auf die Wiederaufnahme der regulären Abrechnung. Auf die wirtschaftlichen Folgekosten. Und auf die Rückkehr in einen tatsächlich stabilen Krankenhausbetrieb.

Genau das ist der Unterschied zwischen einem Krankenhaus, das einen Notfallplan besitzt, und einem Krankenhaus, das seine Krisenfähigkeit tatsächlich überprüft hat.

Wir sollten deshalb aufhören, Cybersicherheit im Gesundheitswesen ausschließlich über technische Schutzmaßnahmen, regulatorische Nachweise und Reifegradmodelle zu diskutieren.

All diese Dinge sind notwendig. Aber der eigentliche Maßstab bleibt die Versorgung der Patienten.

Die Zukunft der Medizin ist digital. Daran führt kein sinnvoller Weg vorbei.

Wenn wir diese Entwicklung ernst nehmen, müssen wir allerdings auch die Widerstandsfähigkeit der dahinterstehenden Systeme und Organisationen ernst nehmen.

Denn ein Patient interessiert sich am Ende ziemlich wenig dafür, ob sein Krankenhaus nach EMRAM auf Stufe 4, 6 oder 7 steht.

Er möchte behandelt werden. Auch dann, wenn der Server gerade tot ist.

Quellen und Referenzen

Redaktionsstand 9. November 2026. Die Quellenverweise beziehen sich auf die folgenden Veröffentlichungen. Historische Studien und Zertifizierungen werden mit ihrem jeweiligen Erhebungs- beziehungsweise Veröffentlichungsjahr verwendet. Illustrative Szenarien und Modellrechnungen sind im Text ausdrücklich gekennzeichnet.

Krankenhausversorgung, Digitalisierung und Finanzierung

[1] Deutsche Gesellschaft Interdisziplinäre Notfall- und Akutmedizin (DGINA). Ergebnisse der 3. Blitzumfrage zur Belastungssituation der Notaufnahmen. 23. September 2026. https://www.dgina.de/aktuelles/ergebnisse-der-3-blitzumfrage-der-dgina-zur-belastungssituation-der-notaufnahmen

[2] Statistisches Bundesamt (Destatis). 1,2 % mehr Krankenhausbehandlungen im Jahr 2025. Pressemitteilung Nr. 376, 28. Oktober 2026. https://www.destatis.de/DE/Presse/Pressemitteilungen/2026/10/PD26_376_231.html

[3] Statistisches Bundesamt (Destatis). Krankenhäuser in Deutschland. Krankenhauskostenstatistik, Angaben für 2024. https://www.destatis.de/DE/Themen/Gesellschaft-Umwelt/Gesundheit/Krankenhauser/_inhalt.html

[4] Deutsches Krankenhausinstitut (DKI). Krankenhaus-Barometer 2025. Dezember 2025. https://www.dki.de/fileadmin/user_upload/2025-12-29_Anlage_DKI-Krankenhaus-Barometer.pdf

[5] Bundesministerium für Gesundheit (BMG). Digitalisierungsstrategie für das Gesundheitswesen und die Pflege. https://www.bundesgesundheitsministerium.de/themen/digitalisierung/digitalisierungsstrategie

[6] DigitalRadar Krankenhaus, Projektkonsortium. Pressemitteilung zu den ersten Ergebnissen der dritten Erhebung. 17. Juni 2026. https://www.digitalradar-krankenhaus.de/pressemitteilung-zu-den-ersten-ergebnissen-der-dritten-erhebung/

[7] DigitalRadar-Konsortium / Bundesministerium für Gesundheit. Zwischenbericht 2025 – Ergebnisse der zweiten nationalen Reifegradmessung deutscher Krankenhäuser 2024. https://www.bundesgesundheitsministerium.de/fileadmin/Dateien/5_Publikationen/Gesundheit/Berichte/DigitalRadar_Zwischenbericht_t2_barrierefrei.pdf

[8] Techniker Krankenkasse. Berliner Kliniken bei der Digitalisierung im Spitzenfeld. 29. September 2026. https://www.tk.de/presse/themen/digitale-gesundheit/digitaler-fortschritt/digitalisierung-krankenhaeuser-berlin-2225680

[9] Healthcare Information and Management Systems Society (HIMSS). Electronic Medical Record Adoption Model (EMRAM). https://www.himss.org/maturity-models/emram/

[10] HIMSS. HIMSS22 Europe Celebrates Healthcare Systems Validated at EMRAM Stages 6 and 7. 28. Juli 2022. https://keystone.himss.org/news/himss22-europe-celebrates-healthcare-systems-validated-emram-stages-6-and-7

[11] HIMSS. HIMSS23 Europe Celebrates Healthcare Systems Validated at EMRAM Stages 6 and 7. 28. Juni 2023. https://keystone.himss.org/news/himss23-europe-celebrates-healthcare-systems-validated-emram-stages-6-and-7

[12] HIMSS. HIMSS24 Europe Digital Maturity Awards Ceremony Recognizes Exceptional Healthcare Systems. 2024. https://www.himss.org/news-center/himss24-europe-digital-maturity-awards-ceremony-recognizes-exceptional-healthcare-systems/

[13] Cleveland Clinic. Cleveland Clinic London Is the First Private Hospital in the UK to Be Awarded with HIMSS EMRAM Stage 7 Accreditation. 18. November 2024. https://newsroom.clevelandclinic.org/2024/11/18/cleveland-clinic-london-is-the-first-private-hospital-in-the-uk-to-be-awarded-with-himss-emram-stage-7-accreditation

[14] Samsung Medical Center. Samsung Medical Center Reaffirms Top HIMSS Ratings in EMRAM and DIAM. 11. September 2026. https://samsunghospital.com/en/about-smc/news/132/samsung-medical-center-reaffirms-top-himss-ratings-in-emram-and-diam.do

[15] Bundesamt für Soziale Sicherung (BAS). Der Krankenhauszukunftsfonds. Fördervolumen und Fördertatbestände. https://www.krankenhauszukunftsfonds.de/DE/Krankenhauszukunftsfonds/krankenhauszukunftsfonds_node.html

[16] Deutsche Krankenhausgesellschaft (DKG). Krankenhäuser treiben Digitalisierung voran – nachhaltige Finanzierung bleibt ungelöst. 17. Juni 2026. https://www.dkgev.de/dkg/presse/details/krankenhaeuser-treiben-digitalisierung-voran-nachhaltige-finanzierung-bleibt-ungeloest/

[17] Deutscher Bundestag, Dokumentations- und Informationssystem für Parlamentsmaterialien (DIP). Gesetz zur Anpassung der Krankenhausreform (KHAG). 2026. https://dip.bundestag.de/vorgang/g/326717

[18] Bundesministerium für Gesundheit (BMG). Transformation der Krankenhauslandschaft – BAS bewilligt erste Fördermittel. 17. April 2026. https://www.bundesgesundheitsministerium.de/presse/pressemitteilungen/transformationsfonds-bundesamt-fuer-soziale-sicherung-bewilligt-bereits-erste-foerdermittel-17-04-2026

Datenschutz und Gesundheitsdaten

[19] Europäische Union. Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung. https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu

[20] Bundesrepublik Deutschland. Strafgesetzbuch, § 203 – Verletzung von Privatgeheimnissen. https://www.gesetze-im-internet.de/stgb/__203.html

[21] Bundesministerium für Gesundheit (BMG). Die elektronische Patientenakte für alle. https://www.bundesgesundheitsministerium.de/themen/digitalisierung/elektronische-patientenakte/epa-fuer-alle

[22] Europäische Union. Verordnung (EU) 2025/327 über den europäischen Raum für Gesundheitsdaten. https://eur-lex.europa.eu/eli/reg/2025/327/oj/deu

Cyberangriffe, IT-Ausfälle und medizinische Auswirkungen

[23] Hannah Neprash, Claire McGlave und Sayeh Nikpay. Hacked to Pieces? The Effects of Ransomware Attacks on Hospitals and Patients. American Economic Journal: Economic Policy, Band 18, Ausgabe 1, Februar 2026, Seiten 256–281. https://doi.org/10.1257/pol.20240594

[23a] European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape: Health Sector. 2023. https://www.enisa.europa.eu/sites/default/files/publications/Health%20Threat%20Landscape.pdf

[24] Johannesstift Diakonie. Cyberangriff – Informationen und Updates. Oktober 2024. https://www.johannesstift-diakonie.de/cyberangriff

[25] Johannesstift Diakonie. Update vom 18.10.2024 zum Cyberangriff auf die Johannesstift Diakonie. https://www.johannesstift-diakonie.de/presse-aktuelles/aktuelle-meldungen/meldung/676-update-18102024-zum-cyberangriff-auf-die-johannesstift-diakonie

[26] Labor Berlin. Hilfe bei IT-Ausfällen. https://www.laborberlin.com/backup/

[27] American Journal of Clinical Pathology. Anatomy of a Cyberattack: Part 1 – Managing an Anatomic Pathology Laboratory During 25 Days of Downtime. 2022. https://academic.oup.com/ajcp/article/157/4/510/6533547

[28] American Journal of Clinical Pathology. Anatomy of a Cyberattack: Part 4 – Quality Assurance and Error Reduction, Billing and Compliance, Transition to Uptime. 2022. https://doi.org/10.1093/ajcp/aqac004

[29] Frontiers in Digital Health. When All Computers Shut Down: The Clinical Impact of a Major Cyber-Attack on a General Hospital. 2024. https://doi.org/10.3389/fdgth.2024.1321485

[30] Journal of the American Medical Informatics Association / PubMed Central. What Goes Up, Must Come Down: A State-of-the-Art Electronic Health Record Downtime and Uptime Procedure in a Metropolitan Health Setting. 2023. https://pmc.ncbi.nlm.nih.gov/articles/PMC10322225/

Krankenhausabrechnung und wirtschaftliche Folgen

[31] Bundesrepublik Deutschland. Sozialgesetzbuch V, § 301 – Krankenhäuser und Rehabilitationseinrichtungen. https://www.gesetze-im-internet.de/sgb_5/__301.html

[32] GKV-Spitzenverband. Abrechnung von Krankenhausleistungen. https://www.gkv-spitzenverband.de/krankenversicherung/krankenhaeuser/krankenhaeuser_abrechnung/abrechnung.jsp

[33] Oregon Public Broadcasting. Oregon Health Care Providers Still Feeling Cash Crunch After National Hack Ends. 29. März 2024. https://www.opb.org/article/2024/03/29/oregon-health-providers-cash-crunch-cyberattack/

Krisenmanagement und regionale Auswirkungen

[34] Deutsches Krankenhausinstitut (DKI) und BDO. BDO/DKI-Studie 2025 – Cybersicherheit im Krankenhaus. Veröffentlicht am 4. Februar 2026. https://www.dki.de/fileadmin/user_upload/BDO_DKI_Studie_2025_final.pdf

[35] Christian Dameff et al. Ransomware Attack Associated With Disruptions at Adjacent Emergency Departments in the US. JAMA Network Open, 8. Mai 2023. https://doi.org/10.1001/jamanetworkopen.2023.12270

[36] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Krankenhausalarm- und -einsatzplanung. https://www.bbk.bund.de/DE/Themen/Gesundheitlicher-Bevoelkerungsschutz/Krankenhausalarmplanung/krankenhausalarmplanung_node.html

[37] Land Nordrhein-Westfalen. Krankenhausgestaltungsgesetz des Landes Nordrhein-Westfalen (KHGG NRW). Gesetzesfassung vom 1. Juli 2025. https://recht.nrw.de/lrgv/gesetz/01072025-krankenhausgestaltungsgesetz-des-landes-nordrhein-westfalen-khgg-nrw/

Gesetzliche Anforderungen und Informationssicherheit

[38] Bundesrepublik Deutschland. Sozialgesetzbuch V, § 391 – IT-Sicherheit in Krankenhäusern. https://www.gesetze-im-internet.de/sgb_5/__391.html

[39] Deutsche Krankenhausgesellschaft (DKG). Informationssicherheit im Krankenhaus. Informationen zum B3S Medizinische Versorgung. https://www.dkgev.de/themen/digitalisierung-daten/informationssicherheit-und-technischer-datenschutz/informationssicherheit-im-krankenhaus/

[40] Bundesregierung. Mehr digitale Sicherheit – Umsetzung der NIS2-Richtlinie. 8. Dezember 2025. https://www.bundesregierung.de/breg-de/bundesregierung/bundeskanzleramt/nis-2-richtlinie-deutschland-2373174

[41] Bundesrepublik Deutschland. BSI-Gesetz, § 30 – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen. https://www.gesetze-im-internet.de/bsig_2025/__30.html

[42] Bundesrepublik Deutschland. BSI-Gesetz, § 32 – Meldepflichten. https://www.gesetze-im-internet.de/bsig_2025/__32.html

[43] Bundesrepublik Deutschland. KRITIS-Dachgesetz – Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen. März 2026. https://www.gesetze-im-internet.de/kritisdachg/BJNR0420B0026.html