IT-/OT-Sicherheit und Netzsegmentierung

Krankenhäuser und Kliniken sind auf durchgängige Verfügbarkeit digitaler und technischer Systeme angewiesen. Cyberbedrohungen können daher nicht nur Daten betreffen, sondern auch den physischen Betrieb, die Patientensicherheit und die Funktionsfähigkeit kritischer Infrastruktur.

Aus Sicht des Facility Managements sind insbesondere ungesicherte Fernwartungszugänge, veraltete Steuerungssysteme, unzureichend dokumentierte Netzwerkverbindungen und fehlende Zuständigkeiten kritisch.

IT-Risiken können auch Facility-Management-Prozesse beeinträchtigen. Fallen Kommunikationssysteme, Dokumentationsplattformen oder Ticketsysteme aus, werden Störungen langsamer erkannt, priorisiert oder behoben.

Eine Störung von IT-Systemen kann die klinische Effizienz reduzieren, weil Mitarbeitende auf Ersatzprozesse ausweichen müssen. Gleichzeitig können Meldeketten, Freigaben, Dokumentationen und Nachweise verzögert werden. Regulatorische Anforderungen können verletzt werden, wenn Daten nicht geschützt, Änderungen nicht dokumentiert oder Sicherheitsvorfälle nicht ordnungsgemäß eskaliert werden. Zusätzlich können Kosten durch Betriebsunterbrechungen, Wiederherstellung, externe Unterstützung und Reputationsschäden entstehen.

OT-Risiken sind besonders kritisch, weil sie unmittelbare Auswirkungen auf physische Anlagen haben können. Eine fehlerhafte Temperaturregelung, ausgefallene Alarme, gestörte Lüftung oder eingeschränkte Zutrittskontrolle kann den Klinikbetrieb direkt beeinträchtigen.

Die wichtigsten Folgen sind Risiken für die Patientensicherheit, Instabilität der technischen Infrastruktur, Unterbrechungen von Versorgungsprozessen und ein erhöhter manueller Aufwand für Kontrolle und Betrieb. Facility Manager müssen daher sicherstellen, dass kritische OT-Systeme überwacht, geschützt und im Notfall manuell oder über definierte Ersatzprozesse betrieben werden können. Notfallpläne müssen regelmäßig geprüft und mit den verantwortlichen Fachbereichen abgestimmt werden.

Eine wirksame Risikobewertung beginnt mit einer vollständigen und aktuellen Übersicht über Systeme, Anlagen, Schnittstellen, Verantwortliche und Dienstleister. Für jedes kritische System sollte klar sein, welche Funktion es erfüllt, welche Bereiche davon abhängig sind und welche Auswirkungen ein Ausfall hätte. Die Bewertung muss technische und betriebliche Kriterien berücksichtigen. Dazu zählen Netzwerkverbindungen, Benutzerkonten, Fernzugriffe, Softwarestände, Wartungsverträge, Ersatzteilverfügbarkeit und Anforderungen an Verfügbarkeit oder Wiederanlauf. Risiken sollten priorisiert werden, damit Ressourcen gezielt eingesetzt werden. Vorrang haben Systeme, deren Ausfall Patientensicherheit, Brandschutz, Energieversorgung, Lüftung, medizinische Gase, Zutritt oder andere kritische Betriebsfunktionen beeinträchtigen kann.

Netzwerksegmentierung teilt die Netzwerkinfrastruktur in getrennte, kontrollierte Zonen auf. Ziel ist es, unbefugte Kommunikation zu verhindern, kritische Systeme zu schützen und die Ausbreitung von Störungen oder Angriffen zu begrenzen.

Für das Facility Management ist Segmentierung besonders wichtig, weil OT-Systeme häufig andere Schutzanforderungen haben als klassische IT-Systeme. Eine direkte, unkontrollierte Verbindung zwischen Büro-IT und Gebäudeautomation sollte vermieden werden.

Jede Zone sollte nach Schutzbedarf, Funktion und Kommunikationsanforderungen definiert werden. Die OT-Zone sollte getrennt von Büro-IT, Gastnetzwerken, klinischen Informationssystemen und externen Verbindungen betrieben werden.

IT- und OT-Umgebungen müssen grundsätzlich getrennt werden. Kommunikation zwischen den Zonen darf nur erfolgen, wenn sie betrieblich erforderlich, dokumentiert und technisch kontrolliert ist. Zugriffe sollten nach dem Least-Privilege-Prinzip eingerichtet werden. Nutzer, Systeme und Dienstleister erhalten nur die Berechtigungen, die für ihre Aufgabe notwendig sind. Kritische Systeme müssen besonders geschützt werden. Dazu zählen Gebäudeleittechnik, Energieversorgung, Brandmeldeanlagen, Zutrittskontrolle, medizinische Gasüberwachung, USV-Systeme und andere Anlagen mit direktem Einfluss auf den Klinikbetrieb.

Technische Kontrollen müssen klar konfiguriert, dokumentiert und regelmäßig überprüft werden. Besonders wichtig ist, dass nur erforderliche Protokolle, Ports und Zielsysteme freigegeben sind. Fernzugriffe von Herstellern oder Wartungsdienstleistern dürfen nicht dauerhaft und unkontrolliert offenstehen. Sie sollten zeitlich begrenzt, authentifiziert, protokolliert und über definierte sichere Zugangswege erfolgen.

Zugriffsrechte müssen nachvollziehbar vergeben und regelmäßig geprüft werden. Gemeinsame Benutzerkonten sollten vermieden werden, da sie Verantwortlichkeiten verschleiern und Sicherheitsvorfälle schwerer nachvollziehbar machen.

Netzwerksegmentierung ist keine einmalige Maßnahme. Änderungen an Anlagen, Software, Dienstleisterzugängen oder klinischen Prozessen können neue Kommunikationswege erzeugen und bestehende Schutzmaßnahmen verändern. Das Facility Management sollte bei Änderungen an OT-Systemen frühzeitig die IT-Sicherheit einbeziehen. Jede Änderung sollte dokumentiert, bewertet, freigegeben und nach Umsetzung überprüft werden. Firewall-Regeln und Netzwerkfreigaben sollten regelmäßig auf Notwendigkeit, Aktualität und Risiko geprüft werden. Nicht mehr benötigte Verbindungen sind zu entfernen, damit die Angriffsfläche reduziert bleibt.

Sicherheitsgovernance legt Verantwortlichkeiten, Entscheidungswege, Kontrollmechanismen und Mindestanforderungen für Cybersicherheit fest. Sie stellt sicher, dass IT-, OT- und Facility-Risiken nicht isoliert behandelt werden, sondern als Teil des gesamten Risikomanagements der Gesundheitseinrichtung.

Ein wirksames Governance-Modell muss für den täglichen Betrieb verständlich und anwendbar sein. Vorgaben sollten klar beschreiben, wer Entscheidungen trifft, wer Systeme betreibt, wer Änderungen genehmigt und wer im Sicherheitsvorfall informiert werden muss.

Facility Management ist verantwortlich für den sicheren technischen Betrieb der gebäudebezogenen Anlagen. Dazu gehören Anlagenverfügbarkeit, Wartungskoordination, Dienstleistersteuerung, technische Dokumentation und die Einhaltung definierter Sicherheitsvorgaben. Die IT-Abteilung verantwortet die technische Netzwerksicherheit, Identitätsdienste, Protokollierung, Monitoring und Schutzmaßnahmen für IT-Infrastruktur. Bei OT-Systemen ist eine enge Abstimmung erforderlich, da technische Sicherheitsmaßnahmen den Anlagenbetrieb beeinflussen können.

Cybersicherheit muss funktionsübergreifend geplant werden. Facility Management, IT, Medizintechnik, Klinikbetrieb, Einkauf, Datenschutz, Risiko- und Compliance-Funktionen müssen klare Schnittstellen haben. Gemeinsame Risikobewertungen sind erforderlich, damit technische, klinische und betriebliche Auswirkungen vollständig berücksichtigt werden. Incident-Response-Prozesse müssen so abgestimmt sein, dass bei einem Vorfall sowohl digitale Systeme als auch physische Anlagen bewertet werden. Verantwortlichkeiten für kritische Infrastruktur müssen eindeutig zugewiesen sein. Es darf keine unklaren Zuständigkeiten für Fernzugriffe, Systemupdates, Lieferantenkommunikation, Störungseskalation oder Wiederherstellung geben.

Sicherheitsrichtlinien müssen praxisnah formuliert und für alle betroffenen Bereiche verbindlich sein. Für Facility Management sind insbesondere Vorgaben zu Fernwartung, Dienstleisterzugang, Anlagenänderungen, Passwortverwaltung, Dokumentation und Notfallbetrieb relevant. Richtlinien sollten regelmäßig überprüft werden, insbesondere nach Systemänderungen, Sicherheitsvorfällen, Auditergebnissen oder organisatorischen Veränderungen. Veraltete oder unklare Vorgaben erhöhen das Risiko uneinheitlicher Entscheidungen. Bei neuen OT-Systemen sollten Sicherheitsanforderungen bereits in Ausschreibung, Beschaffung und Vertragsgestaltung berücksichtigt werden. Dazu gehören Anforderungen an Benutzerverwaltung, Protokollierung, Updatefähigkeit, Netzwerksegmentierung, Supportprozesse und sichere Fernwartung.

Überwachung muss sowohl IT- als auch OT-relevante Ereignisse berücksichtigen. Dazu gehören ungewöhnliche Netzwerkverbindungen, fehlgeschlagene Anmeldungen, unerwartete Konfigurationsänderungen, nicht autorisierte Geräte und Auffälligkeiten in Fernwartungszugängen. Compliance-Prüfungen sollten nicht nur dokumentenbasiert erfolgen. Sie müssen auch technische Nachweise, Konfigurationsstände, Zugriffslisten, Wartungsprotokolle und Änderungsnachweise einbeziehen.

Kontinuierliche Verbesserung stellt sicher, dass Sicherheitsmaßnahmen an neue Risiken, geänderte Systeme und betriebliche Erfahrungen angepasst werden. Schulungen sollten praxisnah sein und Rollen im Facility Management, in der IT, in der Medizintechnik und bei Dienstleistern berücksichtigen. Nach Vorfällen, Tests oder Audits sollten konkrete Verbesserungsmaßnahmen festgelegt werden. Jede Maßnahme benötigt eine verantwortliche Stelle, einen Umsetzungsstatus und eine nachvollziehbare Wirksamkeitsprüfung.