Branche: Gesundheitswesen
54% aller Healthcare-Angriffe sind Ransomware. Wir helfen Ihnen, KRITIS-konform und NIS-2-ready zu werden - bevor der Ernstfall eintritt.
Vertrauen von Kliniken, Kommunen und Gesundheitsdienstleistern
Warum Gesundheitswesen
Das Gesundheitswesen ist die am stärksten angegriffene Branche weltweit. Die Kombination aus lebenskritischen Systemen, vernetzter Medizintechnik und regulatorischem Druck macht IT-Sicherheit zur Überlebensfrage.
Ransomware-Angriffe erzwingen Notaufnahme-Abmeldungen, stoppen Operationen und verzögern Behandlungen. Am Universitätsklinikum Düsseldorf führte ein 13-tägiger IT-Ausfall dazu, dass eine Notfallpatientin umgeleitet werden musste - mit tödlichem Ausgang.
60% der vernetzten Medizingeräte laufen auf nicht mehr unterstützten Betriebssystemen. MRT, Infusionspumpen und Beatmungsgeräte können oft nicht gepatcht werden, ohne den klinischen Betrieb zu unterbrechen - und sind dennoch zunehmend mit dem Netzwerk verbunden.
Patientendaten bringen auf dem Schwarzmarkt 260-1.000 USD pro Datensatz - das Zehnfache einer Kreditkartennummer. Gesundheitsdaten verfallen nie: Sie ermöglichen Identitätsbetrug, Versicherungsbetrug und Erpressung auf unbestimmte Zeit.
Jedes Jahr werden Dutzende Krankenhäuser in Deutschland angegriffen. Die Folgen: Notaufnahmen schließen, Operationen werden abgesagt, Patientendaten landen im Darknet.
Juli 2025
Einer der größten privaten Krankenhausbetreiber Deutschlands - über 500.000 Patienten jährlich, 50+ Standorte. Kompletter IT-Ausfall an allen deutschen Standorten. Röntgen und Laboruntersuchungen zeitweise unmöglich. Personenbezogene Daten exfiltriert. Mehrere Landesdatenschutzbehörden ermitteln.
Jan 2026
Cyberangriff auf das IT-Netzwerk. Internetverbindung sofort gekappt, Notaufnahme abgemeldet, Rettungswagen umgeleitet. Krankenhaus wechselte auf Papier- und Faxbetrieb. Bayerisches LKA übernahm Ermittlungen.
Sep 2024
Cloak-Ransomware legte beide Standorte (Bobingen & Schwabmünchen) gleichzeitig lahm. Operationen abgesagt, analoger Notbetrieb. 291 GB gestohlene Daten - darunter Bankdaten, Patientenakten und Adressen - tauchten im Darknet auf.
Sep 2020
DoppelPaymer-Ransomware über eine Citrix-Schwachstelle. 13 Tage vollständiger IT-Ausfall. Notaufnahme gesperrt, Patientin musste nach Wuppertal umgeleitet werden - die Verzögerung endete tödlich. Erster Cyberangriff weltweit mit Todesfolge-Ermittlung.
13 Ransomware-Angriffe auf deutsche Gesundheitseinrichtungen allein in den ersten 9 Monaten 2025.
Frühzeitige Härtung von Backups, Zugängen und Notfallplänen begrenzt Ausfallzeit und Meldeaufwand nach einem Vorfall.
Regulatorische Anforderungen
Krankenhäuser und Gesundheitsdienstleister unterliegen einem der strengsten regulatorischen Rahmenwerke in Deutschland. Wir navigieren Sie durch den Compliance-Dschungel.
Erweitert den Kreis der Verpflichteten auf Kliniken ab 50 Mitarbeitern, MVZ, Reha-Einrichtungen und Medizintechnikhersteller. 24-Stunden-Meldepflicht, persönliche Geschäftsführer-Haftung, Bußgelder bis 10 Mio. EUR.
NIS-2-Leitfaden
Oskar Braun · Ihr Ansprechpartner Krankenhäuser ab 30.000 vollstationären Fällen/Jahr müssen sich als KRITIS-Betreiber registrieren und alle 3 Jahre den Nachweis beim BSI erbringen (§39 BSIG) - in der Regel über den B3S Krankenhaus. Pflicht zur Angriffserkennung seit IT-SiG 2.0.
KRITIS-Beratung
Chris Wojzechowski · Ihr Ansprechpartner Gilt für alle Krankenhäuser unabhängig von der Größe, soweit sie nicht bereits als KRITIS-Betreiber unter das BSIG fallen. Verpflichtet zur fortlaufenden Umsetzung des Stands der Technik in der IT-Sicherheit; die frühere starre 2-Jahres-Anpassungsfrist des §75c SGB V ist entfallen. Orientierung am B3S Krankenhaus empfohlen.
Chris Wojzechowski · Ihr Ansprechpartner Der branchenspezifische Sicherheitsstandard der Deutschen Krankenhausgesellschaft (v1.2, gültig bis Nov. 2028) umfasst 200+ Einzelanforderungen - von ISMS-Aufbau über Netzwerksegmentierung bis zur Absicherung medizintechnischer Geräte.
Gesundheitsdaten sind gem. Art. 9 DSGVO eine „besondere Kategorie" personenbezogener Daten mit erhöhtem Schutzbedarf. Bußgelder bis zu 20 Mio. EUR oder 4% des Jahresumsatzes (je nachdem, welcher Betrag höher ist). Art. 32 DSGVO fordert technische und organisatorische Maßnahmen.
Das Krankenhauszukunftsgesetz (4,3 Mrd. EUR) schreibt 15% der Fördermittel für IT-Sicherheit vor. Die ePA ist seit Oktober 2025 Pflicht - die TI-Anbindung erweitert die Angriffsfläche aller angeschlossenen Einrichtungen erheblich.
Sie sind unsicher, welche Pflichten für Ihre Einrichtung gelten?
In einem kostenlosen 30-Minuten-Gespräch klären wir Ihren regulatorischen Status und zeigen Handlungsbedarf auf.
Kostenlose Erstberatung. Konkrete Handlungsempfehlungen in 30 Minuten.
Kostenlos · 30 Minuten · Unverbindlich
Von der Schwachstellenanalyse über den ISMS-Aufbau bis zur Sensibilisierung des Klinikpersonals - alles aus einer Hand, ISO 27001-zertifiziert.
KIS, Webportale, Active Directory, externe Infrastruktur. OWASP, PTES und BSI-Leitfaden konform. Medizingeräte-Netzwerke auf Anfrage.
Zum PenetrationstestISMS-Aufbau nach ISO 27001 / BSI IT-Grundschutz. B3S-Krankenhaus-Umsetzung. Gap-Analyse, Risikobewertung, Dokumentation und Audit-Vorbereitung.
DetailsRealistische Kampagnen für den klinischen Alltag: gefälschte Labor-Ergebnisse, Dienstplan-Updates, IT-Tickets. Messbare Verbesserung der Awareness.
DetailsInteraktive Vorführung für Ärzte, Pflege und Verwaltung. Wir zeigen live, wie Angreifer vorgehen - vom Phishing bis zum Ransomware-Angriff auf klinische Systeme.
DetailsAutomatisierte und manuelle Prüfung Ihrer externen und internen Infrastruktur. Kontinuierliches Monitoring als Retainer-Modell verfügbar.
DetailsNIS-2-Umsetzung, Incident-Response-Retainer, Netzwerksegmentierung - zugeschnitten auf Ihre Einrichtung.
Bedarf besprechenePA, Telematikinfrastruktur, DiGA und Krankenhausreform treiben die Digitalisierung voran - und schaffen neue Einfallstore für Angreifer.
ePA für alle
Pflicht seit Okt. 2025
Telematikinfrastruktur
Tausende Einrichtungen vernetzt
DiGA-Apps
Neue Datenflüsse
4,3 Mrd. EUR KHZG
15% Pflicht für IT-Security
Die EU-Kommission hat im Januar 2025 einen Aktionsplan für Cybersicherheit in Krankenhäusern veröffentlicht und 145,5 Mio. EUR für EU-weite Maßnahmen bereitgestellt. Die Botschaft: IT-Sicherheit im Gesundheitswesen ist kein Nice-to-have mehr.
Warum AWARE7 für Ihr Krankenhaus
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Mittelstand mit 50-2.000 MA
Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
Referenzen
§ 203 StGB stellt die unbefugte Offenbarung von Patientengeheimnissen unter Strafe - auch beim Einsatz externer IT-Dienstleister. Deshalb arbeiten bei uns ausschließlich festangestellte, einheitlich zur Vertraulichkeit verpflichtete Mitarbeiter an Ihrem Projekt - keine Freelancer, keine Subunternehmer.
Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste.
Mehr zur digitalen SouveränitätIhre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer.
Geplant ist eine kompakte Orientierung zu NIS-2-Anforderungen und typischem Handlungsbedarf für Krankenhäuser und Gesundheitsdienstleister.
In einem 30-minütigen Gespräch erfassen wir Ihre Ausgangslage: KRITIS-Status, bestehende Maßnahmen, regulatorische Pflichten und akuten Handlungsbedarf.
Wir führen die vereinbarten Prüfungen durch - Pentest, Gap-Analyse, Phishing-Simulation - und liefern einen priorisierten Maßnahmenplan mit konkreten Handlungsempfehlungen.
Auf Wunsch begleiten wir die Umsetzung der Maßnahmen, bauen Ihr ISMS auf und verifizieren die Wirksamkeit im Nachtest. Festpreiszusage auf alle Leistungen.
Regulierung & Wissen
Diese regulatorischen Anforderungen betreffen Kliniken, Labore und Gesundheitsdienstleister besonders - AWARE7 unterstützt bei der Umsetzung.
Krankenhäuser und Labore sind als besonders wichtige Einrichtungen betroffen
Gesundheitseinrichtungen ab 30.000 vollstationären Fällen/Jahr
Physische Resilienz für kritische Gesundheitsinfrastruktur
Besonderer Schutz für Gesundheitsdaten nach Art. 9 DSGVO
ISMS als Nachweis für §391 SGB V
Kostenloses Erstgespräch mit einem Healthcare-Security-Experten. Konkrete Empfehlungen in 30 Minuten.
Kostenlos · 30 Minuten · Unverbindlich
Arturs Nikitins
Erstberatung & Bedarfsanalyse
Persönliche Beratung gewünscht?
Unverbindlich · Antwort werktags innerhalb 24h
