Ransomware im Krankenhaus: Warum Papier kein Notfallplan ist

Es gehört zu den hartnäckigsten Missverständnissen in der Krankenhaus-IT: dass ein Stapel Notfallformulare ein Notfallplan sei. Papier wird gern als „analoges Backup" verkauft – als der eine Weg, der immer funktioniert, weil er keinen Strom und kein Netzwerk braucht. Diese Vorstellung ist beruhigend. Und sie ist gefährlich, gerade im Fall eines Ransomware-Angriffs.

Denn Papier ersetzt kein System. Papier ist das, was übrig bleibt, wenn das System weg ist. Und beim Thema Ransomware lohnt es sich, genau hinzusehen, was in diesem Moment eigentlich alles „weg" ist.

Ransomware trifft mehr als nur das KIS

Wer sich einen KIS-Ausfall als isolierte Störung eines einzelnen Systems vorstellt, unterschätzt Ransomware. Ein Angriff, der es bis in die produktiven Systeme schafft, verschlüsselt selten sauber begrenzt nur eine Anwendung. Betroffen sind in der Praxis regelmäßig auch:

• Der zentrale Verzeichnisdienst (Active Directory oder vergleichbar), über den sich Personal an nahezu allen Systemen anmeldet.

• Backups, sofern sie nicht konsequent offline oder unveränderlich vorgehalten werden – Angreifer suchen sie gezielt.

• Netzwerk- und Infrastrukturdienste, deren Kompromittierung ganze Segmente lahmlegt.

Das Ergebnis ist kein sauberer Ausfall eines Systems, sondern ein Ausfall des Systems, mit dem man den Ausfall eigentlich überbrücken wollte. Wer sein Notfallkonzept auf „dann melden wir uns eben an einem anderen System an" aufbaut, stellt fest, dass die Anmeldung selbst nicht mehr funktioniert.

Die zwei Eigenschaften, die ein echtes Notfallsystem braucht

Aus dieser Beobachtung folgen zwei Anforderungen, die ein Notfallsystem erfüllen muss, um in genau dem Moment verfügbar zu sein, in dem es gebraucht wird.

1. Es muss offlinefähig sein

Ein Notfallsystem, das erst dann funktioniert, wenn Netzwerk, Internet und Serverinfrastruktur laufen, ist kein Notfallsystem – es ist ein zweites Primärsystem mit denselben Abhängigkeiten. Echte Offlinefähigkeit bedeutet, dass die klinisch relevanten Daten lokal auf vorinstallierten Geräten vorliegen und dort abgerufen werden können, auch wenn KIS, Netzwerk oder Internetverbindung ausgefallen sind.

2. Es darf nicht am zentralen Identitätsdienst hängen

Das ist der Punkt, den viele übersehen. Ein Notfallsystem, dessen Anmeldung über das zentrale Active Directory läuft, teilt das Schicksal genau des Dienstes, der bei einem Angriff besonders häufig betroffen ist. Wird das AD verschlüsselt oder abgeschaltet, kann sich niemand mehr am Notfallsystem anmelden – und zwar unabhängig davon, wie gut die Daten darin gesichert sind.

Ein resilientes System löst dieses Problem, indem es eine vom zentralen Identitätsdienst unabhängige Benutzerverwaltung mitbringt. Das erzeugt zwar organisatorischen Aufwand – Konten müssen parallel gepflegt werden –, aber es beseitigt einen einzelnen Ausfallpunkt, der dem eigentlichen Schutzziel entgegensteht. (Warum das kein Kompromiss zulasten der Sicherheit ist, haben wir in einem eigenen Beitrag ausführlich begründet.)

Was Papier nicht kann

Zurück zum Papier. Selbst wenn man akzeptiert, dass Formulare im äußersten Notfall besser sind als gar nichts, bleibt das grundlegende Problem: Papier enthält kein Wissen über den Patienten. Es kennt keine Diagnosen, keine Allergien, keine aktuelle Medikation und keinen gestern eingegangenen Befund. Diese Historie liegt im digitalen System – und wenn das ausgefallen ist, ist sie für das Behandlungsteam nicht mehr sichtbar.

Papier kann Neues aufnehmen. Aber es kann nicht wiedergeben, was schon da war. Ein leeres Formular am Patientenbett ist kein Zugriff auf die Krankengeschichte, sondern dessen Abwesenheit.

Der eigentliche Anspruch an einen Notfallplan

Ein belastbarer Notfallplan beantwortet zwei Fragen zugleich:

1. Behalten wir Zugriff auf das, was wir über den Patienten schon wissen?

2. Können wir das, was wir jetzt neu erfassen, später sauber und ohne Medienbruch in die Akte zurückführen?

Papier beantwortet die erste Frage gar nicht und die zweite nur um den Preis aufwendiger, fehleranfälliger Nachdokumentation.

Genau hier setzt eine Resilienz-Lösung wie TrioMed an: Sie hält eine aktuelle, schreibgeschützte Spiegelung der klinisch relevanten Daten lokal und offlinefähig vor, arbeitet bewusst unabhängig vom zentralen Identitätsdienst des Krankenhauses und führt die im Notfall erfassten Informationen strukturiert in den Regelbetrieb zurück. Nicht als Ersatz für ein durchdachtes organisatorisches Notfallkonzept – sondern als die technische Komponente, die dieses Konzept erst tragfähig macht.

Papier hat im Notfallhandbuch weiterhin seinen Platz. Nur sollte es die letzte Rückfallebene sein – nicht der Plan.

Ob Ihr Haus als kritische Infrastruktur überhaupt verpflichtet ist, solche Vorkehrungen nachzuweisen, klären wir im Beitrag zu KRITIS, NIS2 und dem BSIG.