Krankenhaus-IT: Warum Kliniken ihre Altlasten nicht länger ignorieren können

Veraltete IT-Systeme in deutschen Krankenhäusern sind häufig weder sicher noch rechtlich zulässig, auch wenn sie technisch noch funktionieren. Prof. Thomas Jäschke von der Datatree AG machte das beim Clubabend des Bundesverbands der Krankenhaus-IT-Leiterinnen und -Leiter deutlich. Der laufende Betrieb eines Systems belegt weder seine Sicherheit noch seine Legalität.

Das Problem ist strukturell. Steuerrechtliche Aufbewahrungsfristen von zehn Jahren und medizinische Aufbewahrungspflichten von 15 bis 30 Jahren erzwingen den Weiterbetrieb alter Systeme. Bei Medizintechnik kommt hinzu, dass eigenmächtige Updates die Gerätezulassung gefährden können.

Einig waren sich die Veranstaltungsteilnehmer darüber, dass eine gemeinsame Liste veralteter Systeme Transparenz schafft, aber nicht ausreicht. Entscheidend ist, welche Prozesse, Daten und Schnittstellen an einem System hängen und welche Folgen ein Ausfall hätte. Nicht das Alter allein bestimmt die Kritikalität, sondern der Prozesskontext.

NIS2 und der Branchenspezifische Sicherheitsstandard fürs Krankenhaus (B3S) erhöhen den Druck. Krankenhäuser als kritische Infrastruktur müssen Informationssicherheit nachweisbar steuern. Die IT kann Handlungsbedarf aufzeigen, Entscheidungen über Weiterbetrieb, Isolation oder Abschaltung bleiben jedoch organisatorische Verantwortung. In der Praxis scheitert die Umsetzung oft an fehlendem Budget, Personal und klaren Eskalationswegen.