Nach der PHP-Warnung des BSI: Sechs Bausteine für krisenfeste IT-Sicherheit im Krankenhaus

Kliniken sollten ihre IT-Sicherheit über die Grundlagen verbessern, bevor sie neue Werkzeuge einführen. Die BSI-Warnung vom 21. Oktober 2026 zu kritischen PHP-Schwachstellen mit Warnstufe orange zeigt, wie schnell eine einzelne Lücke Einrichtungen treffen kann. Marek Worreschk, Head of Core Information & Cybersecurity bei dem Digitalisierungsdienstleister ]init[ AG, empfiehlt deshalb ein zusammenhängendes Upgrade aus sechs Bausteinen.

Die Charité in Berlin sowie die Universitätskliniken Köln, Düsseldorf, Freiburg, Heidelberg und Mannheim nahmen ihre Webseiten vorsorglich vom Netz. Hoster meldeten Angriffe schon vor dem BSI-Patch, während das BSI von unbestätigten Berichten über bestehende Exploits sprach.

Fehlendes Patch-Management und fehlende Netzwerksegmentierung sind ein altbekanntes Muster. Neue Lücken werden innerhalb von Stunden ausgenutzt, wenn die Basics fehlen. Kliniken stehen in einer besonderen Lage, weil stark vernetzte Medizintechnik, Verwaltung und Patientenaktensysteme oft historisch gewachsen und ohne durchgängige Segmentierung betrieben werden. Der Betrieb lässt sich nicht für ein paar Tage herunterfahren, ohne die Patientenversorgung zu gefährden.

Die sechs Bausteine reichen von strategischem Patch- und Änderungsmanagement mit dokumentierten Fristen über Security Hardening, kontinuierliche Penetrationstests und Netzwerksegmentierung bis zu einem SOC beziehungsweise SIEM mit KI-gestütztem Monitoring. Den Abschluss bildet das Business Continuity Management, dessen Notfallpläne existieren und geübt werden müssen.

Vier Leitfragen zu Prävention, Validierung, Erkennung und Wiederherstellung zeigen, wo die nächste interne Prüfung ansetzen sollte. Sie fragen, wie schnell Schwachstellen geschlossen werden, wann die Angriffsfläche zuletzt unabhängig getestet wurde und wie lange die Versorgung ohne zentrale IT läuft.

Die Warnung ist ein konkreter Anlass, das eigentliche Problem liegt in Lücken bei Prozessen, Segmentierung und Notfallplanung, die oft nur deshalb bestehen, weil sie im Alltag keine Priorität haben.