Das Risiko steht nicht im Serverraum — es hängt am Patientenbett
Infusionspumpen, Netzersatzanlagen, Lüftung, medizinische Gase: Betriebstechnik entscheidet über die Versorgung und fällt in klassischen ISMS-Werkzeugen aus der Betrachtung heraus.
30 Tage kostenlos · 130 Controls für Betriebstechnik
Ausgangslage
Zwei Welten, ein Versorgungsauftrag
Ein Krankenhaus betreibt neben KIS, RIS/PACS und Laborsystemen mehrere hundert Medizingeräte sowie die gesamte Gebäude- und Versorgungstechnik. Beide Welten sind sicherheitsrelevant, folgen aber unterschiedlichen Logiken: Die IT wird gepatcht, das Medizingerät wird geprüft und darf oft gar nicht verändert werden.
Klassische ISMS-Werkzeuge kennen nur die erste Welt. Die zweite landet in Insellösungen — Medizintechnik-Datenbank, CAFM, Prüfbücher in Papierform — und wird zum Audittermin händisch angeschlossen.
Die Objekte
Was in einem Klinikum als OT zu führen ist
Medizintechnik
Geräteregister mit Hersteller, UDI-Code und MP-Klasse. Jedes Gerät ist gleichzeitig ISMS-Asset. STK/MTK-Kalender mit Ampel nach § 11 und § 14 MPBetreibV, Erinnerung 60/30/7 Tage vor Fälligkeit.
Elektro und Netzersatz
NEA und USV im Anlagenregister mit Raumklasse 0/1/2, DGUV-V3-Prüffristen und fünfstufiger Ampel. Prüfhistorie bleibt am Objekt.
Lüftung, Wasser, medizinische Gase
VDI 6022 für RLT-Anlagen, Trinkwasserprüfung, Gaseversorgung — mit Prüfkalender und Mängelverfolgung.
Brandschutz und Aufzüge
Brandmeldetechnik und Aufzugsanlagen mit eigenen Prüfzyklen. Der Bezug zur Resilienz nach KRITIS-Dachgesetz ist hergestellt.
IT-Assets mit Kritikalität
Server, Clients, Netzwerk und Cloud mit Hostname, IP, Betriebssystem, Patchstand, Segment und Kritikalität. EOL-Systeme werden rot markiert.
Schwachstellen mit Bewertung
CVE-basiert mit CVSS-Score und Schweregrad, Massnahmen-Workflow, API-Import aus Nessus und OpenVAS.
Der Unterschied
Warum ein Medizingerät kein Server ist
| Merkmal | IT-Asset | Medizinprodukt / Anlage |
|---|---|---|
| Identität | Hostname, IP, Seriennummer | UDI-Code, MP-Klasse, Hersteller, Standort |
| Pflege | Patch, Update, Neustart | STK/MTK, Wartung nach Herstellervorgabe |
| Änderbarkeit | Grundsätzlich frei | Oft herstellergebunden, Änderung kann Zulassung berühren |
| Fristenlogik | Patchzyklus, EOL-Datum | Gesetzliche Prüffrist mit Nachweispflicht |
| Meldepflicht bei Vorfall | BSI nach § 30/§ 8b BSIG | Zusätzlich BfArM (DE), BASG (AT), Swissmedic (CH) binnen 15 Tagen nach MPSV/MDR |
| Massnahme bei Schwachstelle | Patchen | Häufig kompensierend: Segmentierung, Zugriffsbeschränkung, Monitoring — dokumentiert |
Ein nicht gepatchtes Medizingerät ist kein Befund, solange die Entscheidung dokumentiert ist: erkanntes Risiko, Grund gegen den Patch, kompensierende Massnahme, Freigabe. Fehlt diese Kette, wird aus einer vertretbaren Entscheidung ein Mangel.
Ablauf
Betriebstechnik in die Nachweiskette holen
- Register aufbauenMedizintechnik, Haustechnik und IT-Assets erfassen — per CSV-Import aus den bestehenden Insellösungen oder über die REST-API.Woche 1–3
- Kritikalität und Fristen setzenJe Objekt Versorgungsrelevanz bewerten, Prüffristen und Verantwortliche hinterlegen. Die Ampel zeigt ab sofort, was überfällig ist.Woche 3–5
- Schwachstellen anbindenScanner-Import konfigurieren, CVE-Bewertung aktivieren, Massnahmen-Workflow für kompensierende Massnahmen einrichten.Woche 5–7
- Berichte und ÜbergabeInfrastruktur-Dashboard für die Technische Leitung, PDF-Berichte je Modul, Schulungsnachweise für MT, HT, HY und IT.Woche 8
Täglich aus dem Schwachstellen-Monitor
Der Monitor wertet Schwachstellenmeldungen mit Klinikbezug täglich aus. Diese Beiträge betreffen typische OT- und Netzwerkkomponenten:
Einwände
Was Medizintechnik und Technischer Dienst fragen
Was zählt im Krankenhaus überhaupt als OT?
Alles, was einen physischen Prozess steuert oder überwacht und nicht klassische Büro-IT ist: Medizintechnik von der Infusionspumpe bis zum MRT, Gebäudeleittechnik, Netzersatzanlagen und USV, Trinkwasser- und Lüftungstechnik, medizinische Gase, Aufzüge, Brandmeldeanlagen, Zutrittskontrolle und Kältetechnik. Der gemeinsame Nenner: Ein Ausfall trifft nicht die Verwaltung, sondern die Versorgung.
Warum reicht das normale IT-Asset-Management nicht?
Weil die Objekte andere Eigenschaften haben. Ein Beatmungsgerät hat eine UDI, eine MP-Klasse, einen Hersteller-Supportstatus und einen STK-Prüftermin — Felder, die ein IT-Inventar nicht kennt. Umgekehrt lässt sich ein Medizingerät nicht am Patchday neu starten. ISMShield führt beide Welten in getrennten Registern mit gemeinsamer Risikobewertung.
Wie geht ihr mit Geräten um, die nicht gepatcht werden dürfen?
Über kompensierende Massnahmen, dokumentiert am Gerät: Segmentierung, Zugriffsbeschränkung, Monitoring, Herstellerfreigabe. Wichtig für den Nachweis ist, dass die Entscheidung sichtbar ist — welches Risiko wurde erkannt, warum wurde nicht gepatcht, was wurde stattdessen getan, wer hat das freigegeben.
Bekommen wir Schwachstellen automatisch angezeigt?
Für IT-Assets ja: CVE-basiert mit CVSS-Score und Massnahmen-Workflow, importierbar aus Nessus und OpenVAS über die REST-API. Für Medizintechnik hängt es am Hersteller — nicht jeder veröffentlicht maschinenlesbare Advisories. Dort arbeitet das System mit dem Geräteregister plus dem redaktionellen Schwachstellen-Monitor, der Meldungen mit Klinikbezug täglich aufbereitet.
Deckt das auch die Prüffristen der Haustechnik ab?
Ja. Anlagenregister für Elektro, Brandschutz, Trinkwasser, Aufzüge, medizinische Gase, NEA und USV mit Raumklasse 0/1/2, dazu ein Prüfkalender mit fünfstufiger Ampel und Prüfhistorie nach DGUV V3 und VDI 6022. Für Schweizer Standorte sind die entsprechenden SN-Normen hinterlegt.
Ist das nicht Aufgabe der Medizintechnik-Abteilung?
Die Durchführung ja — die Nachweisführung gegenüber BSI und prüfender Stelle nicht. Der B3S verlangt Medizintechnik als Teil der Sicherheitsbetrachtung. Wenn das Geräteregister in einer separaten Datenbank liegt, muss jemand den Zusammenhang zum Prüftermin herstellen. ISMShield gibt der Medizintechnik eine eigene Rolle im selben System, statt die Daten zu duplizieren.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.