In Deutschland wurden in den letzten Jahren mehrere Krankenhäuser Opfer von Cyberangriffen.

In Deutschland wurden in den letzten Jahren mehrere Krankenhäuser Opfer von Cyberangriffen. Systeme verschlüsselt, Patientendaten nicht mehr abrufbar, Operationen verschoben, Patienten in andere Häuser verlegt. Kein theoretisches Szenario. Dokumentierte Realität. Die Frage die danach immer gestellt wird ist die falsche. Wie konnte das passieren? Warum war die IT nicht besser geschützt? Wer ist dafür verantwortlich? Das sind berechtigte Fragen. Aber sie kommen zu spät. Die entscheidende Frage stellt sich nicht nach dem Angriff. Sie stellt sich davor. Nicht ob die IT-Systeme ausfallen können. Sondern was passiert wenn sie es tun. Kann das Krankenhaus in diesem Moment noch versorgen? Gibt es funktionierende manuelle Ersatzverfahren für die wichtigsten klinischen und administrativen Prozesse – oder existieren sie nur auf dem Papier und wurden nie geübt? Wer entscheidet in den ersten dreißig Minuten was zu tun ist – und ist diese Person in der Nacht von Sonntag auf Montag erreichbar? Welche Patienten sind in diesem Moment besonders gefährdet und wer hat den Überblick? Wann werden andere Häuser informiert und wann kommen Verlegungen in Frage? Das sind keine IT-Fragen. Es sind Versorgungsfragen. Führungsfragen. Und sie müssen beantwortet sein bevor jemand auf einen Link in einer Phishing-Mail klickt. Kliniken die das gut vorbereitet haben berichten nicht nur dass sie den Angriff überlebt haben. Sie berichten dass sie während des Angriffs noch versorgen konnten – weil die Mitarbeiter wussten was zu tun ist, weil Ersatzverfahren eingeübt waren und weil die Entscheidungswege klar definiert waren. Das ist der Unterschied zwischen digitaler Resilienz und digitalem Risikomanagement. Risikomanagement fragt: Wie verhindern wir den Angriff? Resilienz fragt: Wie bleiben wir handlungsfähig wenn er kommt? Beides braucht man. Aber nur eines davon schützt Patienten wenn es darauf ankommt.