Das Schweizer Gesundheitswesen verzeichnet einen alarmierenden Anstieg von Cyberangriffen. Im Jahr 2025 meldete das NCSC einen Zuwachs von 124% bei Angriffen auf Gesundheitseinrichtungen im Vergleich zu 2023. Die durchschnittlichen Kosten eines Datenlecks im Gesundheitssektor betragen laut IBM CHF 6.2 Millionen — der höchste Wert aller Branchen weltweit. Für Schweizer Spitäler, Arztpraxen und Gesundheitsdienstleister ist eine robuste Cybersecurity-Strategie daher keine Option, sondern eine Frage der Patientensicherheit.
Dieser Leitfaden richtet sich an IT-Verantwortliche, Spitalleitungen, Praxisinhaber und Datenschutzbeauftragte im Schweizer Gesundheitswesen. Er behandelt die spezifischen Bedrohungen, regulatorischen Anforderungen und bewährten Schutzmassnahmen für den Schutz von Patientendaten und medizinischer Infrastruktur.
Warum ist das Gesundheitswesen ein bevorzugtes Angriffsziel?
Das Gesundheitswesen vereint mehrere Faktoren, die es für Cyberkriminelle besonders attraktiv machen:
Hoher Datenwert: Medizinische Daten sind auf dem Schwarzmarkt bis zu zehnmal wertvoller als Kreditkartendaten. Ein vollständiger Patientendatensatz (Name, Geburtsdatum, AHV-Nummer, Diagnosen, Versicherungsdaten) erzielt Preise von USD 250–1’000 pro Datensatz.
Zeitkritische Systeme: Krankenhäuser können es sich nicht leisten, Systeme für Wochen oder Monate abzuschalten. Diese Abhängigkeit macht sie zu idealen Ransomware-Opfern — 67% der Schweizer Spitäler, die von Ransomware betroffen waren, haben das Lösegeld bezahlt (NCSC, 2025).
Heterogene IT-Landschaft: Die typische Schweizer Gesundheitseinrichtung betreibt eine Mischung aus modernen Cloud-Systemen, veralteten On-Premise-Applikationen und medizinischen Geräten mit eingebetteten Betriebssystemen, die zum Teil keine Sicherheitsupdates mehr erhalten.
Personalmangel in der IT: 78% der Schweizer Spitäler geben an, dass sie nicht über ausreichend qualifiziertes IT-Sicherheitspersonal verfügen (H+ Branchenstudie, 2025).
„Ein Cyberangriff auf ein Spital ist keine rein technische Angelegenheit — er bedroht direkt die Gesundheit und das Leben von Patientinnen und Patienten. Die Erfahrungen der letzten Jahre zeigen, dass kein Schweizer Spital gegen solche Angriffe immun ist.” — Prof. Dr. Antoine Geissbühler, Präsident Swiss Health ICT
Fallbeispiele aus der Schweiz
Die folgenden Vorfälle illustrieren die reale Bedrohungslage:
- Hirslanden-Gruppe (2020): Ransomware-Angriff auf die grösste private Spitalgruppe der Schweiz. Die Wiederherstellung dauerte mehrere Wochen und verursachte geschätzte Kosten von über CHF 10 Millionen.
- Wetzikon Spital (2024): Ein Phishing-Angriff führte zum Abfluss von Patientendaten von über 15’000 Patienten. Das Spital musste über drei Tage auf Notbetrieb umschalten.
- Mehrere Arztpraxen Kanton Zürich (2025): Eine koordinierte Ransomware-Kampagne traf sechs Arztpraxen gleichzeitig über einen gemeinsam genutzten IT-Dienstleister. Die Praxen waren durchschnittlich 8 Tage arbeitsunfähig.
Welche regulatorischen Anforderungen gelten für das Gesundheitswesen?
Das Schweizer Gesundheitswesen unterliegt einem komplexen Geflecht aus Datenschutz- und Sicherheitsvorschriften, das Gesundheitseinrichtungen jeder Grösse betrifft.
Neues Datenschutzgesetz (nDSG) — besondere Bestimmungen
Das nDSG, in Kraft seit dem 1. September 2023, stellt besondere Anforderungen an die Verarbeitung von Gesundheitsdaten, da diese als „besonders schützenswerte Personendaten” klassifiziert sind:
- Ausdrückliche Einwilligung: Die Verarbeitung von Gesundheitsdaten erfordert in der Regel eine ausdrückliche Einwilligung der betroffenen Person, sofern keine gesetzliche Grundlage besteht.
- Datenschutz-Folgenabschätzung (DSFA): Für die meisten Verarbeitungstätigkeiten im Gesundheitswesen ist eine DSFA obligatorisch.
- Meldepflicht: Verletzungen der Datensicherheit, die ein hohes Risiko für Betroffene darstellen, müssen unverzüglich dem EDÖB gemeldet werden.
- Technische und organisatorische Massnahmen (TOM): Gesundheitseinrichtungen müssen nachweislich angemessene technische und organisatorische Massnahmen zum Schutz der Patientendaten implementiert haben.
- Auftragsverarbeitung: IT-Dienstleister, die Zugang zu Patientendaten haben, müssen vertraglich an die Datenschutzanforderungen gebunden werden (Auftragsverarbeitungsverträge).
Elektronisches Patientendossier (EPD) — Sicherheitsanforderungen
Das EPD ist ein zentrales Element der Digitalisierung im Schweizer Gesundheitswesen. Die technischen und organisatorischen Anforderungen an die EPD-Sicherheit sind im EPDG und der EPDV definiert:
- Identifikation und Authentifizierung: Zweistufige Authentifizierung (2FA) für alle Zugriffe auf das EPD. Zugelassene Identifikationsmittel müssen den Anforderungen der EPDV-EDI entsprechen.
- Zugriffsprotokollierung: Alle Zugriffe auf EPD-Daten müssen lückenlos protokolliert und für mindestens 10 Jahre aufbewahrt werden.
- Verschlüsselung: Ende-zu-Ende-Verschlüsselung für alle EPD-Daten in Transit und at Rest.
- Zertifizierung: EPD-Stammgemeinschaften müssen eine Zertifizierung nach ISO 27001 nachweisen und regelmässige Penetrationstests durchführen lassen.
- Patientenkontrolle: Patienten müssen jederzeit die volle Kontrolle über ihre EPD-Daten haben, einschliesslich der Möglichkeit, Zugriffsrechte zu vergeben und zu entziehen.
Kantonale Gesundheitsgesetze
Zusätzlich zum Bundesrecht haben verschiedene Kantone eigene Datenschutz- und IT-Sicherheitsanforderungen für Gesundheitseinrichtungen erlassen. Beispielsweise verlangt der Kanton Zürich seit 2024 von allen öffentlichen Spitälern jährliche Cybersecurity-Audits und die Benennung eines IT-Sicherheitsbeauftragten.
Wie sollten Schweizer Spitäler ihre IT-Sicherheit aufbauen?
Eine effektive Cybersecurity-Architektur für Schweizer Spitäler muss die besonderen Herausforderungen des Gesundheitswesens berücksichtigen: kritische Verfügbarkeitsanforderungen, eine heterogene IT-Landschaft und den Umgang mit hochsensiblen Patientendaten.
Netzwerksegmentierung — die wichtigste Grundlage
Die Segmentierung des Krankenhausnetzwerks ist die wirksamste Einzelmassnahme gegen die Ausbreitung von Cyberangriffen:
- Medizinische Geräte (IoMT): Isoliertes Netzwerksegment mit strikten Firewall-Regeln. Medizingeräte dürfen nur mit definierten Kommunikationspartnern interagieren.
- Klinische Systeme (KIS, PACS, LIS): Eigenes Segment mit kontrollierten Schnittstellen zu anderen Systemen.
- Verwaltung: Separates Segment für ERP, HR und Finanzsysteme.
- Gästenetzwerk: Vollständig isoliertes WLAN für Patienten und Besucher.
- OT-Systeme: Gebäudeautomation, Aufzüge und andere operative Technologie in einem eigenen, abgeschotteten Segment.
Endpoint Protection und Patch Management
Die grösste Herausforderung im Gesundheitswesen ist das Patch Management für medizinische Geräte:
- Standardsysteme (PCs, Server): Automatisiertes Patch Management mit maximaler Verzögerung von 48 Stunden für kritische Patches.
- Medizinische Geräte: Viele Medizingeräte laufen auf veralteten Betriebssystemen (Windows XP, Windows 7), die keine Sicherheitsupdates mehr erhalten. Hier sind kompensierende Massnahmen erforderlich: Netzwerkisolierung, Application Whitelisting und Virtual Patching.
- Medizinische IoT-Geräte: Infusionspumpen, Patientenmonitore und andere vernetzte Geräte benötigen spezifische Schutzstrategien, da herkömmliche Endpoint-Protection-Software nicht installiert werden kann.
Identity and Access Management (IAM)
Im Spitalbetrieb teilen sich oft mehrere Personen einen Computer — ein erhebliches Sicherheitsrisiko. Empfohlene Massnahmen:
- Single Sign-On (SSO) mit Badge-basierter Authentifizierung für schnellen, sicheren Benutzerwechsel
- Rollenbasierte Zugriffssteuerung (RBAC) basierend auf der klinischen Rolle
- Privileged Access Management (PAM) für IT-Administratoren
- Multi-Faktor-Authentifizierung (MFA) für alle Remote-Zugriffe und Administratorzugriffe
- Regelmässige Rezertifizierung aller Zugriffsrechte (mindestens halbjährlich)
Backup und Recovery
Ransomware-Resilienz beginnt mit einer soliden Backup-Strategie:
- 3-2-1-1-Regel: Drei Kopien auf zwei verschiedenen Medientypen, eine offsite, eine offline (air-gapped).
- Immutable Backups: Unveränderbare Backups, die auch bei einem kompromittierten Administratorzugang nicht gelöscht werden können.
- Recovery-Tests: Monatliche Recovery-Tests für kritische Systeme, einschliesslich vollständiger Systemwiederherstellung.
- Recovery Time Objective (RTO): Für lebenskritische Systeme (z.B. Notfallaufnahme, Intensivstation) maximal 4 Stunden.
Wie schützt man medizinische Geräte vor Cyberangriffen?
Die Sicherheit vernetzter Medizingeräte (Internet of Medical Things, IoMT) ist eine der grössten Herausforderungen im Gesundheitswesen. In einem typischen Schweizer Spital mit 300 Betten sind schätzungsweise 3’000–5’000 vernetzte Geräte im Einsatz.
Die besonderen Risiken von Medizingeräten
- Lange Lebenszyklen: Medizingeräte haben typischerweise eine Nutzungsdauer von 10–20 Jahren, während IT-Systeme alle 3–5 Jahre ersetzt werden.
- Regulatorische Einschränkungen: Änderungen an der Software medizinischer Geräte können eine Rezertifizierung nach MDR erfordern, was Sicherheitsupdates verzögert.
- Proprietäre Systeme: Viele Geräte laufen auf proprietären Betriebssystemen, für die keine Standard-Sicherheitstools verfügbar sind.
- Patientensicherheit: Ein fehlerhaftes Sicherheitsupdate auf einem Beatmungsgerät oder einer Infusionspumpe kann unmittelbar lebensbedrohlich sein.
Empfohlene Schutzstrategie
- Asset-Inventar: Vollständige Erfassung aller vernetzten Medizingeräte mit Firmware-Versionen, Netzwerkverbindungen und Risikoklassifizierung.
- Netzwerkisolierung: Mikrosegmentierung für Medizingeräte nach Risikoklasse und klinischer Funktion.
- Monitoring: Spezialisierte IoMT-Sicherheitsplattformen, die anomales Verhalten von Medizingeräten erkennen, ohne den klinischen Betrieb zu beeinträchtigen.
- Beschaffungsprozess: Integration von Cybersecurity-Anforderungen in den Beschaffungsprozess für neue Medizingeräte (Security by Design).
- Vulnerability Management: Regelmässiges Schwachstellen-Scanning und Zusammenarbeit mit Herstellern für Sicherheitsupdates.
Für eine professionelle Bewertung der Sicherheitslage empfehlen wir ein spezialisiertes Cybersecurity-Assessment durch erfahrene Sicherheitsexperten.
Wie schützen Arztpraxen und ambulante Einrichtungen ihre Daten?
Während Spitäler oft über dedizierte IT-Abteilungen verfügen, sind Arztpraxen und ambulante Einrichtungen besonders verwundbar. Eine Umfrage von FMH und HIN zeigt, dass 43% der Schweizer Arztpraxen keinen Notfallplan für Cyberangriffe haben.
Grundschutzmassnahmen für Arztpraxen
Auch mit begrenztem Budget können Arztpraxen ein angemessenes Sicherheitsniveau erreichen:
- Managed Security Service: Ein externer IT-Sicherheitsdienstleister übernimmt die Überwachung und das Patch Management. Kosten: ab CHF 200 pro Monat pro Arbeitsplatz.
- E-Mail-Sicherheit: Professionelle E-Mail-Filterung und Anti-Phishing-Lösung. HIN (Health Info Net) bietet speziell für das Gesundheitswesen zugeschnittene Dienste an.
- Verschlüsselung: Vollverschlüsselung aller Endgeräte (Laptops, Tablets) und externer Speichermedien.
- Backup: Automatisiertes, verschlüsseltes Backup in die Cloud mit täglicher Sicherung und monatlichem Recovery-Test.
- Zugangskontrolle: Individuelle Benutzerkonten für alle Mitarbeitenden, keine gemeinsam genutzten Passwörter.
- Awareness-Schulung: Mindestens jährliche Security-Awareness-Schulung für alle Mitarbeitenden, einschliesslich Phishing-Simulationen.
- Physische Sicherheit: Abschliessbare Serverräume, Bildschirmsperre nach 2 Minuten Inaktivität, keine unbeaufsichtigten Patientendaten.
Kosten für Cybersecurity in Arztpraxen
| Massnahme | Monatliche Kosten (Einzelpraxis) | Monatliche Kosten (Gruppenpraxis) |
|---|---|---|
| Managed Security Service | CHF 400–800 | CHF 1’200–3’000 |
| E-Mail-Sicherheit (HIN) | CHF 50–100 | CHF 150–400 |
| Backup-Lösung | CHF 100–200 | CHF 300–600 |
| Awareness-Schulung | CHF 50–100 | CHF 150–300 |
| Cyberversicherung | CHF 100–250 | CHF 300–800 |
| Gesamt | CHF 700–1’450 | CHF 2’100–5’100 |
Für einen detaillierten Überblick über Cybersecurity-Kosten empfehlen wir den Kostenguide von Alpine Excellence.
Welche Rolle spielt Security Awareness im Gesundheitswesen?
Der Faktor Mensch ist im Gesundheitswesen besonders kritisch. Die hohe Arbeitsbelastung, der Zeitdruck und die Vielzahl an IT-Systemen, die im klinischen Alltag genutzt werden, erhöhen die Anfälligkeit für Social-Engineering-Angriffe.
Besonderheiten im Gesundheitswesen
- Schichtbetrieb: Security-Awareness-Schulungen müssen für verschiedene Schichten angeboten werden und dürfen den klinischen Betrieb nicht beeinträchtigen.
- Diverse Berufsgruppen: Von Ärzten über Pflegepersonal bis hin zu Verwaltungsmitarbeitenden — jede Gruppe hat unterschiedliche IT-Nutzungsmuster und Risikoprofile.
- Zeitdruck: In Notfallsituationen werden Sicherheitsprotokolle oft umgangen. Schulungen müssen diese Realität berücksichtigen und pragmatische Lösungen aufzeigen.
- Hohe Fluktuation: Regelmässiges Onboarding neuer Mitarbeitender in Sicherheitsprozesse ist essentiell.
Empfohlenes Awareness-Programm
Ein effektives Security-Awareness-Programm für Gesundheitseinrichtungen umfasst:
- Basis-Schulung: 60-minütiges E-Learning bei Stellenantritt, angepasst an die jeweilige Berufsgruppe.
- Phishing-Simulationen: Monatliche, realistische Phishing-Simulationen mit sofortigem Feedback.
- Kurzschulungen: Vierteljährliche 15-minütige Microlearning-Module zu aktuellen Bedrohungen.
- Spezialschulungen: Jährliche Vertiefungsschulungen für IT-Personal, Führungskräfte und Datenschutzbeauftragte.
- Incident-Response-Übungen: Halbjährliche Tabletop-Übungen für das Krisenteam.
Wie bereitet man sich auf einen Cyber-Ernstfall vor?
Ein dokumentierter und regelmässig getesteter Incident-Response-Plan ist für Gesundheitseinrichtungen lebensnotwendig — im wahrsten Sinne des Wortes.
Besondere Anforderungen im Gesundheitswesen
- Patientensicherheit zuerst: Der Incident-Response-Plan muss die klinische Versorgung priorisieren. Im Ernstfall müssen Rückfallebenen für manuelle Dokumentation und Kommunikation bereitstehen.
- Meldepflichten: EDÖB (bei Datenleck), Kantonsarzt (bei Gefährdung der Patientensicherheit), NCSC (bei kritischer Infrastruktur), gegebenenfalls Strafverfolgungsbehörden.
- Kommunikation: Transparente Kommunikation mit Patienten, Zuweisern und Medien. Ein Kommunikationsplan muss vorbereitet sein.
- Betriebskontinuität: Definierte Abläufe für den Betrieb ohne IT-Systeme (Papierdokumentation, manuelle Medikamentenausgabe, telefonische Kommunikation).
Checkliste für den Ernstfall
- Incident Detection: Vorfall identifiziert und klassifiziert
- Containment: Betroffene Systeme isoliert, Ausbreitung gestoppt
- Patientensicherheit: Klinische Versorgung sichergestellt, manuelle Rückfallebenen aktiviert
- Meldungen: EDÖB, Kantonsarzt, NCSC und ggf. Strafverfolgung informiert
- Forensik: Beweissicherung für spätere Analyse
- Recovery: Schrittweise Wiederherstellung der Systeme aus sauberen Backups
- Kommunikation: Patienten, Mitarbeitende und Öffentlichkeit informiert
- Lessons Learned: Nachbereitung und Anpassung der Sicherheitsmassnahmen
Wie entwickelt sich die Cybersecurity im Gesundheitswesen weiter?
Telemedizin und Remote-Zugriff
Die COVID-19-Pandemie hat die Telemedizin in der Schweiz stark beschleunigt. 62% der Schweizer Ärzte bieten mittlerweile Videosprechstunden an (FMH, 2025). Dies schafft neue Angriffsflächen:
- Sichere Videokonferenzlösungen mit Ende-zu-Ende-Verschlüsselung
- VPN oder Zero-Trust-Zugriff für Remote-Zugriff auf klinische Systeme
- Sichere Messaging-Plattformen für die Kommunikation zwischen Leistungserbringern (z.B. HIN Messenger)
- Patientenidentifikation bei telemedizinischen Konsultationen
KI in der Medizin — neue Sicherheitsrisiken
Der zunehmende Einsatz von KI in der medizinischen Diagnostik und Therapieplanung bringt neue Cybersecurity-Herausforderungen:
- Adversarial Attacks: Manipulation von KI-gestützten Diagnosesystemen durch gezielte Eingabeveränderungen
- Data Poisoning: Verfälschung von Trainingsdaten für medizinische KI-Modelle
- Model Stealing: Diebstahl proprietärer medizinischer KI-Modelle durch API-basierte Angriffe
- Privacy Risks: Extraction von Patientendaten aus KI-Modellen durch Membership Inference Attacks
Häufig gestellte Fragen (FAQ)
Muss meine Arztpraxis einen Datenschutzbeauftragten haben?
Unter dem nDSG ist die Ernennung eines Datenschutzberaters freiwillig, aber empfohlen. Für Einrichtungen, die umfangreiche Gesundheitsdaten verarbeiten (Spitäler, Gruppenpraxen), ist ein Datenschutzbeauftragter de facto notwendig, um die Compliance-Anforderungen zu erfüllen.
Wie oft sollte ein Spital Penetrationstests durchführen?
Mindestens jährlich für alle extern exponierten Systeme und nach jeder wesentlichen Änderung der IT-Infrastruktur. Für EPD-Stammgemeinschaften sind Penetrationstests als Teil der ISO-27001-Zertifizierung obligatorisch. Kritische klinische Systeme sollten zusätzlich halbjährlich getestet werden.
Was tun bei einem Ransomware-Angriff auf mein Spital?
Sofort das Krisenteam aktivieren, betroffene Systeme isolieren und die klinische Versorgung über manuelle Rückfallebenen sicherstellen. Die Zahlung von Lösegeld wird von NCSC und Strafverfolgungsbehörden nicht empfohlen. Stattdessen: NCSC melden, forensische Untersuchung einleiten und aus sauberen Backups wiederherstellen.
Welche Cyberversicherung eignet sich für Gesundheitseinrichtungen?
Spezialisierte Cyber-Policen für das Gesundheitswesen sollten mindestens abdecken: Betriebsunterbrechung, Kosten für Incident Response und Forensik, Benachrichtigung betroffener Patienten, regulatorische Bussen und Reputationsmanagement. Die Prämien liegen für ein Schweizer Spital mit 200 Betten typischerweise bei CHF 50’000–150’000 pro Jahr.
Ist die Nutzung von Cloud-Diensten für Patientendaten erlaubt?
Ja, unter strikten Bedingungen. Die Daten müssen in der Schweiz oder in einem Land mit angemessenem Datenschutzniveau verarbeitet werden. Es muss ein Auftragsverarbeitungsvertrag bestehen, und die technischen Massnahmen (Verschlüsselung, Zugriffssteuerung) müssen dem Schutzbedarf von Gesundheitsdaten entsprechen. Für EPD-Daten gelten zusätzliche EPDG-Anforderungen.
Wie integriere ich Cybersecurity in den Beschaffungsprozess für medizinische Geräte?
Definieren Sie Cybersecurity-Mindestanforderungen als Pflichtkriterien in Ausschreibungen: aktuelle Betriebssystemunterstützung, regelmässige Sicherheitsupdates, verschlüsselte Kommunikation, Möglichkeit zur Netzwerkisolierung und Kompatibilität mit gängigen Monitoring-Tools. Verlangen Sie vom Hersteller eine Software Bill of Materials (SBOM) und einen definierten Vulnerability-Disclosure-Prozess.
Fazit: Cybersecurity als Fundament der Patientensicherheit
Im Schweizer Gesundheitswesen ist Cybersecurity untrennbar mit der Patientensicherheit verbunden. Ein erfolgreicher Cyberangriff kann nicht nur zu Datenverlusten und finanziellen Schäden führen, sondern im schlimmsten Fall Menschenleben gefährden. Die zunehmende Digitalisierung durch EPD, Telemedizin und vernetzte Medizingeräte vergrössert die Angriffsfläche kontinuierlich.
Schweizer Spitäler und Arztpraxen, die heute in Cybersecurity investieren, schützen nicht nur ihre Daten und ihre Reputation, sondern erfüllen ihre grundlegendste Pflicht: den Schutz ihrer Patientinnen und Patienten. Die in diesem Leitfaden beschriebenen Massnahmen — von der Netzwerksegmentierung über die Mitarbeitersensibilisierung bis hin zum Incident-Response-Plan — bilden das Fundament einer resilienten Gesundheitsinfrastruktur.