Cyberbedrohung im Schweizer Gesundheitswesen: Risiken erkennen und richtig handeln
Cyberangriffe nehmen zu, doch wir sind diesen nicht schutzlos ausgeliefert. Die zunehmende Digitalisierung bringt enorme Vorteile für die medizinische Versorgung, aber auch neue Herausforderungen für die Sicherheit sensibler Daten und Systeme. Spitäler, Arztpraxen und andere kritische Infrastrukturen stehen zwar im Fokus von Cyberkriminellen, können sich aber mit dem richtigen Wissen, gezielten Massnahmen und einer gemeinsamen Sicherheitskultur wirksam schützen.
Am HIN Event vom 3. Juli 2025 boten das Bundesamt für Cybersicherheit (BACS) und unsere Security Officer Lisa Wang einen Einblick in die aktuelle Bedrohungslage und zeigten gleichzeitig auf, wie Gesundheitsorganisationen sich besser aufstellen können. In diesem Beitrag fasst Lisa Wang die wichtigsten Erkenntnisse und praxisnahen Empfehlungen aus ihrer Perspektive zusammen.
Die Lage: Angriffe, die Leben gefährden können
Cyberangriffe im Gesundheitswesen sind kein hypothetisches Risiko mehr, sondern Realität. Beispiele wie der Angriff auf das Klinikinformationssystem (KIS) eines Schweizer Spitals oder der Daten-Leak bei einem Dienstleister der Finanzbranche zeigen, wie real die Bedrohung ist. Besonders verbreitet sind:
-
Ransomware-Angriffe: Bei diesen Angriffen handelt es sich um gezielte Erpressungsversuche. Ransomware legt kritische Daten oder Systeme durch Verschlüsselung lahm. Die Angreifer verlangen ein Lösegeld – häufig unter der Drohung, vertrauliche Informationen zu veröffentlichen.
-
Lieferkettenangriffe (Supply-Chain-Attacken): Diese Angriffe nutzen Schwachstellen bei Drittanbietern wie zum Beispiel IT-Dienstleistern aus. Ein ungenügend geschützte Partnerorganisation mit Zugängen zu einem Spitalsystem kann so zum Einfallstor für Angriffe auf das ganze Netzwerk werden. Aber auch Software mit ungepatchten Schwachstellen stellen eine immerwährende Herausforderung für den Gesundheitssektor dar.
-
Phishing-Attacken: Diese Attacken sind in absoluten Zahlen sehr verbreitet, denn sie dienen häufig als Vorbereitungshandlungen für nachgelagerte bösartige Aktivitäten. Dabei werden beispielsweise durch betrügerische E-Mails (z. B. im Namen einer Bank) Empfänger dazu aufgefordert, Passwörter oder Zugangsdaten preiszugeben.
-
Cyberspionage und Sabotage: Diese beiden Angriffstypen haben eine politische oder wirtschaftliche Motivation. Sie zielen darauf ab, Informationen – wie zum Beispiel Forschungsresultate – zu stehlen, Systeme zu manipulieren oder das Vertrauen in kritische Infrastrukturen zu untergraben. In Bezug auf Cybersabotage sind solche Angriffe vor allem in Konfliktgebieten zu beobachten.
-
DDoS-Angriffe (Distributed Denial of Service): Diese Angriffe haben das Ziel, Webseiten und somit die dahinterstehenden Server zu überlasten, indem diese mit einer Flut an Anfragen von verschiedenen Quellen bombardiert werden. Dies führt zu Ausfällen oder eingeschränkter Erreichbarkeit der Webseite.
Die Folgen eines Cyberangriffs auf eine Gesundheitsorganisation können gravierend sein, sowohl für den Betrieb als auch für die betroffenen Personen. Wird beispielsweise das KIS durch Ransomware verschlüsselt, ist der Zugriff auf Patientendaten, Laborwerte oder Medikationspläne plötzlich nicht mehr möglich. Dies kann dazu führen, dass sich Diagnosen verzögern, Operationen verschoben werden müssen oder Notfälle nur eingeschränkt behandelt werden können. Gleichzeitig droht ein enormer Vertrauens- und Reputationsverlust, wenn sensible Gesundheitsdaten gestohlen oder veröffentlicht werden. Auch finanziell kann ein Angriff schwer wiegen, beispielsweise durch Erpressung, Betriebsunterbruch, Wiederherstellungskosten oder potenzielle Haftungsansprüche. Ein solcher Vorfall zeigt auf, wie abhängig die moderne Medizin von funktionierenden digitalen Prozessen ist.
Neue Meldepflicht für kritische Infrastrukturen seit April 2025
Die Meldepflicht für Cybervorfälle ist ein zentrales Thema für die Cybersicherheitsbranche. Betreiber kritischer Infrastrukturen, darunter auch viele Einrichtungen im Gesundheitswesen, sind seit dem 1. April 2025 gesetzlich verpflichtet, bestimmte Vorfälle dem Bundesamt für Cybersicherheit (BACS) zu melden. Diese Meldungen ermöglichen es dem BACS, Betroffene bei der Bewältigung von Cyberangriffen zu unterstützen und Betreiberinnen kritischer Infrastrukturen frühzeitig zu warnen.
Für das Gesundheitswesen bedeutet das: IT- und Sicherheitsverantwortliche sollten ihre internen Prozesse überdenken und sicherstellen, dass Zuständigkeiten, Meldeketten und Schnittstellen zum BACS klar definiert sind.
Handlungsempfehlungen
Cybersicherheit ist kein Zustand, den man einmal erreicht, sondern ein kontinuierlicher Prozess. Um Angriffe wirksam zu verhindern oder im Ernstfall schnell zu reagieren, braucht es eine durchdachte und koordinierte Vorgehensweise. Vier zentrale Handlungsfelder sollten dabei im Fokus stehen:
-
Notfallpläne regelmässig überprüfen und aktualisieren: Sind in Ihren Notfallplänen auch Szenarien wie Datenabfluss, Systemstillstand oder Kommunikationsausfall berücksichtigt? Ist klar geregelt, wer im Ernstfall entscheidet oder wann kritische Systeme heruntergefahren oder wiederhergestellt werden?
-
Die Lieferkette absichern: Cyberangriffe können über IT-Dienstleister erfolgen, indem diese kompromittiert werden. Dadurch können Cyberkriminelle Zugang zu den Netzwerken der nachgelagerten Kunden erhalten. Deshalb ist es entscheidend, zu wissen, welche Daten Ihre IT-Dienstleister verarbeiten und wie sie abgesichert sind. Achten Sie in den Verträgen mit den IT-Dienstleistern darauf, dass u. a. folgende Themen geregelt sind: Meldepflichten bei Vorfällen, Auditrechte und Mindestanforderungen an die Cybersicherheit.
-
Sicherheitsbewusstsein im Unternehmen verankern: Technische Schutzmassnahmen allein reichen nicht, es braucht eine starke Sicherheitskultur. Schulen Sie Ihre Mitarbeitenden regelmässig im Umgang mit Social Engineering, wie z. B. Phishing oder Fake-Anrufen. Etablieren Sie klare Abläufe für sensible Prozesse (z. B. das Vier-Augen-Prinzip bei Zahlungen) und sensibilisieren Sie auch für Risiken im privaten Bereich, wie öffentliche Social-Media-Profile oder QR-Codes unbekannter Herkunft.
-
Erfahrungen teilen, statt schweigen: Der Informationsaustausch ist ein Schlüssel zur kollektiven Resilienz. Vernetzen Sie sich mit anderen Organisationen, etwa über das neu gegründete Health Cyber Security Center (Health-CSC). Wer Informationen zu Vorfällen teilt, hilft anderen, ähnliche Angriffe schneller zu erkennen und abzuwehren und profitiert umgekehrt vom Wissen der Gemeinschaft.
Sicherheit ist Teamsache
Cyberbedrohungen sind dynamisch, komplex und oft unsichtbar, bis es zu spät ist. Ein einzelnes fehlendes Update, eine unachtsam geöffnete E-Mail oder eine ungesicherte Schnittstelle kann ausreichen, um den Betrieb einer ganzen Institution zu gefährden. Deshalb gilt: Cybersicherheit ist nicht allein Sache der IT – sie betrifft alle Ebenen einer Organisation. Nur wenn technische Schutzmassnahmen, klare Prozesse und ein wachsames Sicherheitsbewusstsein zusammenwirken, lässt sich die digitale Resilienz nachhaltig stärken. Entscheidend ist ein ganzheitlicher Ansatz: von der Geschäftsleitung über das Fachpersonal bis hin zu externen Partnern und Dienstleistern.
Mit einem gemeinsamen Verständnis für Risiken, offenem Informationsaustausch und gelebter Sicherheitskultur schafft man Vertrauen im digitalen Raum ebenso wie im realen Gesundheitsalltag. Denn nur wer Sicherheit zur Gemeinschaftsaufgabe macht, ist langfristig widerstandsfähig.
