Ransomware im Krankenhausnetz

Die Bedrohung

Ransomware verschlüsselt klinische Systeme im vollen Betrieb. Die elektronische Patientenakte fällt aus, einige vernetzte Geräte verhalten sich auffällig, und die Leitung muss zuerst Patienten schützen und zugleich Meldepflichten erfüllen.

Zentrale Injects

• 01Die Patientenakte fällt in den Lesemodus; das Personal weicht auf Papier aus.
• 02Ein vernetztes Infusionsgerät zeigt einen unerwarteten Neustart.
• 03Die Aufsicht fragt nach dem Umfang betroffener Datensätze.
• 04Lokale Presse berichtet über umgeleitete Rettungswagen.

Was bewertet wird

• Patientensicherheit vs. Eindämmung
• Klinische Kontinuität & Notfallprozesse
• Bestimmung des Datenumfangs & Meldung
• Ruhige, korrekte öffentliche Kommunikation

Übungsziele

• Binnen 45 Minuten Downtime-Verfahren auf allen betroffenen Stationen aktivieren; die Versorgung läuft weiter, bevor die Eindämmung perfekt ist.
• Vernetzte Medizingeräte für die Isolation triagieren, ohne laufende Behandlungen zu unterbrechen.
• Den Datenabfluss so weit eingrenzen, dass die Meldung nach Art. 33 DSGVO (72 Stunden an die Aufsichtsbehörde) trägt und die Art.-34-Entscheidung zur Patienteninformation belastbar fällt.
• Die öffentliche Kommunikation ruhig und korrekt halten, während Rettungswagen umgeleitet werden.

Rollen am Tisch

• ●Krisenstabsleitung · Führt den Takt zwischen Medizin, IT und Verwaltung; Patientensicherheit bleibt Tagesordnungspunkt eins.
• ●IT / SOC · Eindämmung und Wiederanlauf der Akte; sagt der Medizin ehrlich, was ausfällt und wie lange.
• ●Ärztliche Betriebsleitung · Diensthabende ärztliche Leitung: Downtime je Station, Umleitungsentscheidungen, Personal im Papierbetrieb.
• ●Kommunikation · Patienten, Angehörige, Personal und Lokalpresse: ruhige Formulierungen, die bestätigten Fakten nie vorauslaufen.
• ●Datenschutz / Recht · Art.-33/34-DSGVO-Bewertung, Behördenkontakt, Lösegeld- und Beweisfragen.
• ●Klinikleitung · Trägt das Restrisiko, gibt Umleitung und Papierbetrieb frei, steht vor Träger und Öffentlichkeit.

Diskussionsfragen

• 01Die Akte ist nur noch lesbar, die Notaufnahme voll. Welche Patienten leiten Sie zuerst um, und entscheidet das die IT oder die Medizin?
• 02Eine Infusionspumpe hat ohne Erklärung neu gestartet. Nehmen Sie auf Verdacht jedes vernetzte Gerät von den Stationen?
• 03Sie können noch nicht sagen, welche Datensätze betroffen sind. Was melden Sie der Aufsichtsbehörde bei Stunde 70, und was den Patienten?
• 04Das Personal arbeitet auf Papier bei doppelter Last. Wann wird aus der Cyber-Krise ein eigenständiges Patientensicherheits-Ereignis?
• 05Die Lokalpresse berichtet über umgeleitete Rettungswagen. Sagt Ihr Statement „Ransomware“, bevor es bestätigt ist?
• 06Würden Sie aus Backups wiederherstellen, solange der Angriffsweg unbekannt ist, wenn die Alternative weitere Tage Papier bedeutet?

Empfohlener Ablauf

• 00:00–00:25Akte nur noch im Lesemodus: Downtime-Verfahren, Triage je Station
• 00:25–01:10Geräte-Entscheidungen: isolieren, beobachten oder klinisch weiterbetreiben
• 01:10–02:00Eingrenzung des Datenabflusses: welche Datensätze, welche Patienten, Art.-33/34-Bewertung
• 02:00–02:40Meldung im Entwurf; Pressestatement und Plan zur Patienteninformation
• 02:40–03:00Hot Wash: Versorgungswirkung, Meldequalität, Wiederanlauf-Prioritäten