Der Blick auf die Mikroebene

Die sechs genannten Angriffskategorien ermöglichen indirekte Rückschlüsse auf die Auswirkungen von Cyberangriffen vor Ort. Zunächst lässt sich feststellen, dass die An­griffs­ziele im Gesund­heitssektor sehr hete­ro­gen sind: Sie reichen von Krankenhäusern, Praxen, Apotheken und Medizinprodukteherstellern über Ver­sicherungen, Rettungsdienste und Pharmafirmen bis hin zu Nicht­regierungsorganisationen. Je nach betroffener Einrichtung, Methode und Weg (Angriffs­vektor) sowie Ausmaß des Angriffs (Anzahl und Typ der betroffenen Systeme und Ein­richtungen) sind die Auswirkungen auf die öffentliche Gesundheit sehr unter­schied­lich. Die Kriti­ka­lität einer Ein­rich­tung für die Gesundheitsversorgung wird an­hand von Faktoren wie Größe, Versorgungs­auftrag, Standort, Spezialisierung und (nicht) vorhandener Alter­nativen eingeschätzt.

Will man die identifizierten Cluster (C0–C5) von Cyberangriffen nach ihrer Aus­wirkung auf die Gesundheitsversorgung klassifizieren, bietet sich folgende Aufteilung an (aufsteigen­de Relevanz):

1. Datendiebstahl/-verschlüsselung (z. B. Patient:innendaten, Versicherungs­nummern oder Bankdaten),

2. Einschränkungen von IT-Serviceleistun­gen (z. B. Website, Terminportale oder Kommunikation),

3. Einschränkungen operativer Programme und Dienstleistungen (z. B. Krankenhaus­informationssystem, Sterilisation, radiologische oder Laborprogramme, Blutbank).

In Kombination mit dem Wissen über die betroffene(n) Einrichtung(en) und der zeitlichen Komponente lässt sich eine Aus­sage über die spezifischen Auswirkungen auf die Gesundheitsversorgung treffen. Die EuRepoC-Daten zeigen, dass Cyberangriffe, die diagnostische (z. B. Labore oder die Radio­logie) oder operative Prozesse (z. B. Steri­li­sation, Aufnahme von Patienten, Doku­men­tation) beeinträchtigen, schwerwiegende Folgen für die Gesundheitsversorgung haben. Dies geschah 2023 am Universitätsklinikum Luigi Vanvitelli in Italien, wo es zu spür­baren Kapazitätseinschränkungen kam, weil auf manuelle Pro­zesse umgestellt wurde (C4).

Angriffe hin­gegen, die rein auf den Dieb­stahl von Pati­ent:innen­daten ab­zielen, werden häufig mit Infor­ma­tions- bzw. Ver­trau­ensverlust assoziiert. 2025 wurden zum Bei­spiel bei der britischen HCRG Care Group, die Gesundheitsdienstleistungen anbietet, sen­sible Daten ent­wen­det und teilweise ins Darknet gestellt (C2), 2023 die Daten von über einer Million Patient:innen des Medi­zin­produkte­herstel­lers Zoll gestoh­len (C1). Auch wenn Angriffe mit dem Ziel Datendiebstahl theo­retisch keine direk­ten Aus­wir­kungen auf die operative Ge­sund­heits­versor­gung haben, können auch sie die Versorgung indirekt beeinträchtigen, näm­lich wenn die ergrif­fe­nen Schutzmaßnahmen eine Tren­nung vom Netz oder das Herunterfahren be­stimmter Dienste erfor­dern. Dazu kam es 2025 beim Unternehmen Simon­Med, das 200 Radiologen an 170 Stand­orten in 11 US-Bundesstaaten be­schäftigt (C2).

Bekannte kriminelle Bedrohungs­akteure wie BianLian, Medusa, BlackCat oder Lock­Bit, die offen als Täter auftreten, über­neh­men häufig die Verantwortung für solche Ransomware-Angriffe, um die be­troffenen Einrichtungen zu erpressen. Beispielsweise wurde 2023 der Dienstleister TransForm Shared Service Organization durch das DAIXIN-Team angegriffen, was sich indirekt auf die Patientenversorgung und die Ter­min­planung in fünf Krankenhäusern in der kanadischen Provinz Ontario auswirkte (C1). 2024 musste das pharmazeutische Unter­nehmen Octapharma aus der Schweiz im Zuge eines Angriffs durch die Blacksuit-Gruppe über 150 Plasmaspende­zentren in den USA temporär schließen (C2). Obwohl Angreifer wie LockBit von sich selbst be­haupten, dass sie sich explizit nicht gegen den Gesundheitssektor richten, zeich­nen die Daten ein anderes Bild. Die häufigs­ten Angriffsziele sind neben Kranken­häu­sern vor allem größere Praxen und Dienst­leister wie Versicherungen oder Medi­zin­produkte­unternehmen. Selbst Nicht­regie­rungs­organisationen werden zur Ziel­scheibe, wie der Fall Omni Family Health (C1) zeigt.

Krankenhäuser können manchmal recht schnell auf Angriffe reagie­ren, indem sie analoge Notfallprozesse in Kraft setzen, wie Beispiele 2024 im Kran­ken­haus Lindenbrunn in Coppenbrügge (C4) und 2025 im Stell Hospital in Frankreich (C4) belegen. Zugleich gehen auch damit Einschränkungen einher, wodurch wäh­rend eines Angriffs Ter­mine oder geplante Eingriffe verscho­ben werden müssen, wie bei einem Angriff auf die Krankenhäuser in Lippstadt, Erwitte und Geseke 2024 (C4). Ob dies reine Vorsichtsmaßnahmen waren, lässt sich den öffent­lich zugänglichen Berichten nicht entnehmen. Als Heiligabend 2023 drei Krankenhäu­ser der Katholischen Hospi­tal­vereini­gung Ostwestfalen gGmbH von der Notfall­ver­sor­gung abgemeldet (C4) und 2024 bei den Wertachkliniken Bobin­gen und Schwab­münchen (C4) Opera­tionen ver­scho­ben wurden, geschah dies hingegen vor­sorg­lich. Klar ist: Mehr Transparenz über die Gefah­ren­lage ermöglicht ein stärker abge­stimm­tes Krisen- bzw. Notfallmanagement.

Wenn Krankenhäuser infolge eines Cyber­angriffs von der Notfallversorgung abge­mel­det werden, müssen Ret­tungs­wagen unter Umständen um­geleitet werden, so 2023 bei einem Angriff auf das ameri­kanische Unter­nehmen Ardent, das über 30 Kran­ken­häu­ser betreibt und zeitweise 10 Notaufnahmen abmelden musste (C4), oder 2024, als in Mailand zwei Krankenhäuser nicht mehr von Rettungswagen angefahren wur­den (C4). In ländlichen Gegenden muss in sol­chen Fällen mit deutlich längeren Trans­port­zeiten gerechnet werden, was in der Kon­se­quenz zu Patientenschäden führen kann.

Als besonders schwerwiegend sind Angriffe, die zentrale Systeme in einem Krankenhausnetzwerk oder einem Konzern der Gesundheitsversorgung betreffen. Die da­durch ausgelösten Kaskadeneffekte können die Systeme mehr als einer Insti­tution kompromittieren. Ein Beispiel hier­für ist der Angriff auf das Hipocrate-Infor­mations­system in Rumä­nien 2024, der zur Folge hatte, dass 25 Kran­ken­häuser analog weiter­arbeiten muss­ten und weitere 75 Einrichtungen sich vor­sorg­lich von der Plattform abkoppelten (C4). Auch die Be­einträchtigung von Zulieferern, Ret­tungs­diensten oder Apotheken kann er­heb­liche Auswirkungen auf die Versorgung haben. Dies zeigen der Ausfall einer Ret­tungs­leitstelle in Bozen 2025 (C0) und zwei rus­sische Apothekenketten, die 2025 etwa 1000 Filia­len vorübergehend schlossen (C0).

Solcherart Vulnerabilitäten werden in Zukunft zunehmen. Bezogen auf Deutschland liegt das daran, dass die Zentrums­medizin unter anderem im Zuge des Krankenhausversorgungsverbesserungs­gesetzes mit einer Zentralisierung von Informationssystemen einhergeht. Außer­dem ist damit zu rechnen, dass die Wieder­herstellung von Systemen nach einem Cyberangriff mit längerfristigen Leistungseinschränkungen verbunden ist. Dadurch wiederum entsteht eine Mehr­belastung alternativer Ver­sorger im Nah­bereich. Gravierende Auswirkungen hätten solche durch Cyberangriffe bedingten Leis­tungs­einschränkungen, wenn eine soge­nannte Doppellage (twin threats) vor­liegt, also zum Beispiel während eines mili­täri­schen Kon­flikts oder eines Extremwetter­ereignisses wie Hitze.

Auf Basis der getroffenen Cluster­einteilung der EuRepoC-Daten und anhand der skizzierten Folgen von Cyber­angriffen für die Gesundheitsversorgung wird deut­lich: Auch wenn sich das Angriffs­muster ähnelt, haben die Angriffe unterschiedlich disruptive Auswirkungen. Ins­gesamt wir­ken sich Angriffe, die den Clus­tern 3 oder 5 zu­geordnet werden, weniger stark auf die Gesundheitsversorgung aus als diejenigen der Cluster 0,1 und 4; die des Clusters 2 liegen in der Mitte. Jedoch können auch An­griffe innerhalb eines Clusters sehr unter­schiedlich verlaufen, sodass bisher jeweils eine Einzelfallbetrachtung erforderlich ist.

Mögliche Rolle der WHO auf der Makroebene

Die auf der Mikroebene identifizierten Cluster und Wirkungsketten haben regel­mäßig eine internationale Dimension. Der Angriff auf Stryker legte Pro­duk­tions­stand­orte in Cork, Tuttlingen und Mühlheim gleich­zeitig still, der Vorfall bei Octapharma zwang über 150 Plasmaspende­zentren zur temporären Schlie­ßung, und der Ausfall des Hipocrate-Informations­sys­tems betraf mehr als ein­hundert Einrichtungen. Cyber­angriffe auf das Gesundheits­wesen wirken damit ent­lang von Versorgungsketten, die nationale und sektorale Grenzen über­schreiten. Zur systematischen Erfassung bedarf es einer Institution mit globaler Perspektive und klini­scher Fach­expertise, die die Auswirkungen einzelner Cyber­angriffe auf die Gesundheitsversorgung in einer Gesamtschau ermitteln kann.

Die zentrale Instanz zur Koordinierung globaler Gesundheitsbemühungen und der Bewertung gesundheitlicher Risiken ist die Weltgesundheitsorganisation (WHO). Mit dem Surveillance System for Attacks on Health Care (SSA) verfügt sie bereits über ein institutionell geeignetes Modell, dessen aktuelles Mandat jedoch auf kinetische (physische) Angriffe in humanitären Not­lagen begrenzt ist. Eine Ausweitung des SSA-Mandats auf den Cyberbereich würde eine kritische Lücke schließen, da die be­stehenden sicher­heits­orientierten Register die spezifischen und mitunter grenzüberschreitenden Aus­wirkungen von Cyber­angriffen auf die Gesundheitsversorgung nicht erfassen können – ihnen fehlt die nötige Fach­expertise: EuRepoC liefert be­last­bare Infor­mationen zu Angriffsvektor, At­tri­bution und technischer Intensität, macht aber keine Angaben zur Auswirkung auf die Gesundheitsversorgung. Die Emer­gency Events Database (EM-DAT) und die Global Terrorism Database (GTD) bilden weder digitale Angriffsformen noch die fach­spezifische Kritikalität von Gesundheits­einrichtungen ab.

Das seit 2017 von der WHO betriebene SSA registriert zwar auch An­griffe, die zu einer Behinderung der Gesund­heitsversor­gung führen (»obstruction to health care delivery«), be­schränkt sich bislang jedoch auf kinetische Angriffe und nur solche in komplexen humanitären Notlagen (»com­plex humanitarian emergencies«). Allein das Krisenregister der Deutschen Arbeitsgemeinschaft Krankenhaus-Einsatz­planung (DAKEP) um­fasst Sonderlagen einschließlich IT-Vorfäl­len in Krankenhäusern, berücksichtigt aber nur Deutschland, Österreich, die Schweiz und Luxemburg; überdies erfolgt die Mel­dung durch die Einrichtung selbst und meistens erst im Nachhinein.

Werden Cyberangriffe und ihre Folgen für die Gesundheitsversorgung nicht syste­ma­tisch erfasst und bewertet, bleiben Wirkungsmuster im Cyberraum anekdotisch und Schutzstandards können nicht evidenz­basiert entwickelt werden. Des Weite­ren bleibt die politische Rechenschafts­pflicht von Staaten, von deren Gebiet Cyber­angriffe ausgehen (die also Bedrohungs­akteure steuern oder zumindest tolerieren), schwach. Angriffe global zu erfassen und zu benennen sowie ihre Folgen für die Gesundheitsversorgung zu beurteilen, ist somit nicht nur eine analy­tische, sondern gleichermaßen eine versorgungs- und sicherheitspolitische Notwendigkeit.

Die WHO könnte die existierende Lücke schließen, da sie gesundheitliche Fach­expertise und globale Reichweite vereint. Die Auswirkungen von Cyberangriffen auf den Gesundheitssektor in einer Gesamtschau auf globaler Ebene zu bewerten, ist besonders relevant, denn Konzentrations­risiken, Kaskadeneffekte und Doppellagen, die auf der Mikroebene sichtbar geworden sind (S. 4ff), entfalten ihre Wirkung grenz­überschreitend. Die WHO besitzt mit ihrem über die Regionalbüros etablierten Netz­werk die Reichweite, die diese transnatio­nale Wirkungslogik erfordert, und mit ihrer Arbeit zum Schutz von Gesundheitseinrichtungen die Legitimität, die für ein Cyber-Monitoring-Mandat unverzichtbar sind. Dass die WHO Cyberangriffe auf kritische Gesundheits­infra­struktur mittlerweile explizit als An­griffe auf Gesundheits­einrichtungen klassi­fiziert, unterstreicht diesen Ansatz.

Mit dem SSA verfügt die WHO über eine erprobte Plattform für genau diese Aufgabe des Monitorings der Auswirkungen von Cyberangriffen auf das Gesundheitssystem. Das SSA verfolgt drei eng verknüpfte Zwecke: Es macht gezielte Angriffe auf die Gesundheitsversorgung global sichtbar; es schafft eine Datengrundlage für evidenz­basierte Prävention und Schutzstandards; es etab­liert Rechenschaftspflicht, indem An­griffe auf Gesundheitseinrichtungen als solche benannt und dokumentiert werden. Diese drei Funktionen sind für Cyberangriffe ebenso relevant wie für kinetische und sind unabhängig von bewaffneten Konflikten bedeutsam.

Resolution WHA 65.20 der Weltgesundheitsversammlung, die das Mandat des SSA beschreibt, nutzt zudem einen weiten Angriffs­begriff, indem sie nur von »attacks« spricht. Nach huma­nitärem Völker­recht schließen An­griffe auf Gesund­heits­infra­struk­tur grund­sätzlich auch digi­tale Angriffe ein, denn ein Cyber­angriff, der ein Kranken­haus funk­tions­unfähig macht, unterscheidet sich in seiner Wirkung nicht grund­legend von einem phy­sischen Angriff. Die konzeptionelle Anschlussfähigkeit ist damit gegeben. Das Mandat selbst bleibt indes auf Angriffe in komplexen humani­tären Not­lagen be­schränkt. Eine Erweiterung des SSA um ein Cybermodul, das nicht an diese Voraussetzung gebunden ist, ist der nahe­liegende nächste Schritt zur Besei­ti­gung der identi­fi­zierten Lücke.