IT-Sicherheit in der Pflege: Was ein BSI-Praxistest über Ihre Software verrät

Am 17. März 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Ergebnisse eines Praxistests veröffentlicht, der aufhorchen lässt: Geprüft wurden vier Praxisverwaltungssysteme (PVS) und drei Pflegedokumentationssysteme, wie sie in Arztpraxen, Sozialstationen und Pflegeeinrichtungen täglich im Einsatz sind. Das Ergebnis fiel deutlich schlechter aus, als sich mancher Betreiber solcher Software wünschen würde: Bei drei der vier getesteten Praxisverwaltungssysteme fanden die Prüfer verkettbare Schwachstellen, die sich – zumindest teilweise – aus dem Internet ausnutzen lassen. Hinzu kamen Mängel bei Verschlüsselung, Authentifizierung und Berechtigungskonzepten.

Was der Test konkret zeigt

Der BSI-Bericht ist kein Angriff auf einzelne Hersteller, sondern eine Bestandsaufnahme: Software, die hochsensible Patienten- und Klientendaten verwaltet, hat in der Praxis teils grundlegende Sicherheitslücken. Genannt wurden unter anderem unzureichend abgesicherte Schnittstellen, schwache oder fehlende Verschlüsselung bei der Datenübertragung sowie Berechtigungsstrukturen, die mehr Zugriff erlauben, als für die jeweilige Rolle nötig wäre. Für Einrichtungen, die solche Systeme einsetzen, ist das kein rein theoretisches Problem – es betrifft direkt die Sicherheit der eigenen Klientendaten.

Besonders bemerkenswert: Bei drei von vier untersuchten Praxisverwaltungssystemen ließen sich die gefundenen Einzelschwachstellen miteinander verketten. Das heißt, ein Angreifer müsste nicht eine einzelne, schwer erreichbare Lücke ausnutzen, sondern könnte mehrere kleinere Schwächen kombinieren, um am Ende weitergehenden Zugriff zu erlangen – teilweise sogar über das Internet, ohne physischen Zugang zur Einrichtung zu benötigen. Das macht den Unterschied zwischen einer theoretischen Schwachstelle in einem Prüfbericht und einem realistischen Angriffsszenario im Alltag einer Sozialstation.

Gilt die NIS-2-Richtlinie für Sozialstationen?

An dieser Stelle lohnt sich Genauigkeit statt Alarmismus: Die europäische NIS-2-Richtlinie zur Cybersicherheit richtet sich in erster Linie an Betreiber kritischer Infrastrukturen und größere Einrichtungen im Gesundheitswesen. Die meisten ambulanten Pflegedienste, Sozialstationen, Altenpflegeheime und Einrichtungen des Betreuten Wohnens fallen nach aktuellem Stand nicht direkt unter NIS-2 – anders als etwa Krankenhäuser oder bestimmte größere Träger-Strukturen. Eine direkte Betroffenheit kann sich im Einzelfall ergeben, etwa bei intensivpflegerischen Angeboten außerhalb stationärer Einrichtungen oder wenn ein Träger aufgrund seiner Gesamtgröße und Struktur eigenständig unter die Kriterien fällt. Wer unsicher ist, ob die eigene Einrichtung betroffen ist, sollte das im Zweifel konkret prüfen lassen, statt sich auf Vermutungen zu verlassen.

Warum das Thema trotzdem relevant bleibt

Dass NIS-2 für die meisten Sozialstationen nicht direkt greift, heißt nicht, dass IT-Sicherheit optional wäre. Die vom BSI geprüften Schwachstellen betreffen Software, die unabhängig von der Rechtslage im Alltag genutzt wird – und ein erfolgreicher Angriff auf ein Pflegedokumentationssystem hat für die betroffene Einrichtung dieselben Folgen, ob sie nun gesetzlich zur Meldung verpflichtet ist oder nicht: Ausfall der Dokumentation, möglicher Datenabfluss, im schlimmsten Fall Beeinträchtigung der Versorgung. Die DSGVO-Pflichten zum Schutz von Gesundheitsdaten gelten ohnehin unabhängig von NIS-2.

Was Einrichtungen konkret tun können

Drei Punkte lassen sich aus dem BSI-Test ableiten, die sich ohne großen Aufwand umsetzen lassen: Erstens beim Software-Anbieter aktiv nachfragen, ob und wie die im Test benannten Schwachstellenkategorien – Verschlüsselung, Authentifizierung, Berechtigungen – im eigenen System adressiert sind. Zweitens Zugriffsrechte innerhalb der eigenen Einrichtung regelmäßig überprüfen: Hat wirklich nur der Personenkreis Zugriff auf sensible Daten, der ihn für seine Arbeit braucht? Drittens Updates und Patches der eingesetzten Systeme zeitnah einspielen – ein Großteil der vom BSI gefundenen Lücken lässt sich durch aktuelle Softwarestände und saubere Konfiguration entschärfen.

Hilfreich ist außerdem, IT-Sicherheit nicht als einmaliges Projekt, sondern als laufende Aufgabe zu verstehen. Eine kurze, regelmäßige Bestandsaufnahme – welche Systeme sind im Einsatz, wer hat worauf Zugriff, wann gab es das letzte Update – lässt sich auch ohne große IT-Abteilung organisieren, etwa im Rahmen eines festen Termins alle paar Monate. Wer unsicher ist, wie die eigene Einrichtung im Vergleich zu den vom BSI beschriebenen Schwachstellenkategorien dasteht, kann sich extern beraten lassen, statt die Einschätzung allein dem Software-Anbieter zu überlassen.

Fazit

Der BSI-Test zeigt: Auch ohne direkte NIS-2-Pflicht lohnt sich ein nüchterner Blick auf die eigene IT-Sicherheit. Wer weiß, wo die typischen Schwachstellen liegen, kann gezielt nachfragen und nachbessern – ohne dass gleich ein aufwendiges Compliance-Projekt daraus werden muss.

bitman unterstützt Sozialstationen und Pflegedienste seit über 35 Jahren bei Netzwerken, Cybersecurity und Datensicherung – praxisnah und ohne Verkaufsdruck. Sprechen Sie uns an, wenn Sie Ihre IT-Sicherheit einordnen lassen möchten: 07141 141 6789 oder help@bitman.de.

Quellen

• BSI – Pressemitteilung vom 17. März 2026 zum Praxistest von Praxisverwaltungs- und Pflegedokumentationssystemen
• althammer-kill.de – Einordnung zur Anwendbarkeit von NIS-2 auf Gesundheits- und Pflegeeinrichtungen