Cyberangriffe auf Kliniken: Wer haftet, wenn Patienten zu Schaden kommen?

Cyberangriffe auf Krankenhäuser gefährden nicht nur Daten, sondern auch Menschenleben. Strafrechtliche Konsequenzen treffen nicht nur Hacker, sondern auch Klinikleitungen, wenn Sicherheitslücken bestehen. Um Haftung zu vermeiden, müssen Krankenhäuser den B3S-Standard einhalten und IT-Risiken umfassend dokumentieren.

18. Februar 2025

IT
Medizin
QM

Krankenhäuser sind zunehmend Ziel von Cyberangriffen. Neben Datenverlust drohen lebensbedrohliche Versorgungsausfälle. Besonders bekannt wurde der Angriff auf das Uniklinikum Düsseldorf, bei dem eine Patientin aufgrund einer Umverlegung verstarb. Ein strafrechtlicher Zusammenhang konnte jedoch nicht nachgewiesen werden.

Laut Studien verschlechtert sich in 75 % der Fälle die Patientenversorgung nach Cyberattacken. Erste Untersuchungen aus den USA zeigen sogar eine erhöhte Sterblichkeitsrate betroffener Kliniken.

Juristisch stehen nicht nur die Täter im Fokus, sondern auch Klinikleitungen. Die neue NIS-2-Richtlinie der EU verschärft die Anforderungen an IT-Sicherheitsmanagement. Geschäftsführungen müssen künftig regelmäßige Schulungen absolvieren und dokumentieren, dass angemessene Sicherheitsmaßnahmen getroffen wurden.

Ein zentraler Maßstab ist der Branchenspezifische Sicherheitsstandard (B3S). Wer diesen einhält, kann sich gegen Fahrlässigkeitsvorwürfe absichern. Bei Versäumnissen drohen jedoch strafrechtliche Konsequenzen. Entscheidend ist eine lückenlose Dokumentation der IT-Risikomanagementprozesse.

Obwohl in Deutschland bisher keine nachweislichen Patientenschäden durch Cyberangriffe dokumentiert wurden, gilt das Risiko als hoch. Krankenhäuser müssen sich daher konsequent gegen IT-Bedrohungen wappnen – nicht nur zum Schutz der Patientendaten, sondern auch der Patienten selbst…

Quelle:

heise.de