In drei verbreiteten Klinik­informations­systemen der Schweiz fanden sich über 40 mittlere bis schwere Schwachstellen. Der Fehler lag nicht bei den Spitälern.

Stellen Sie sich vor: Eine Klinik für ästhetische Medizin in Zürich schliesst einen Vertrag mit einem Anbieter für Online-Terminbuchung. Um ihn an die Praxissoftware anzubinden, verlangt der Anbieter einen dauerhaften Fernzugang, falls etwas korrigiert werden muss. Niemand fragt, wer in dieser Firma ihn nutzen darf, von wo aus und wie er protokolliert wird. Zwei Jahre später hat die Klinik sechs Lieferanten mit ähnlichem Zugang und keine Liste davon.

Wenn von Cybersicherheit in einer Klinik die Rede ist, denken die meisten an den Virenschutz und das Passwort am Empfang. Die Schweizer Befunde von 2025 zeigen woanders hin: auf die Software, die die Klinik kauft, und auf jene, die sie warten.

Was das Nationale Testinstitut gefunden hat.

Im Januar 2025 veröffentlichte das Nationale Testinstitut für Cybersicherheit (NTC) die Ergebnisse eines Jahres, in dem es drei in Schweizer Spitälern verbreitete Klinikinformationssysteme unter realen Bedingungen geprüft hatte. Es fand mehr als 40 mittlere bis schwere Schwachstellen, drei davon mit höchster Kritikalität. Laut Bericht waren viele so offensichtlich und leicht auszunutzen, dass sie wenige Stunden nach Testbeginn die vollständige Kontrolle über das System und die Patientendaten ermöglichten.

Der Bericht enthält zwei Details, die man langsam lesen sollte. Erstens: Einzelne Hersteller forderten das Institut und die Spitäler auf, Geheimhaltungsvereinbarungen zu unterzeichnen, die eine Warnung weiterer Betroffener verhindert hätten, und das NTC lehnte ab. Zweitens: Die meisten Lücken sind inzwischen behoben, doch einige grundlegende Probleme erfordern einen Umbau der Softwarearchitektur, was laut den Herstellern selbst mehrere Jahre dauern dürfte.

Was sich 2025 geändert hat.

Seit dem 1. April 2025 verpflichtet das Informationssicherheitsgesetz eine Reihe von Organisationen, dem Bundesamt für Cybersicherheit (BACS) einen Cyberangriff innert 24 Stunden nach der Entdeckung zu melden. Dazu gehören Gesundheitseinrichtungen auf der kantonalen Spitalliste und, was seltener erwähnt wird, Herstellerinnen von Software, die kritische Infrastrukturen nutzen, wenn die Software einen Fernwartungszugang hat. Seit Oktober 2025 droht eine Busse bis zu 100’000 Franken, wer einer Verfügung des BACS nicht Folge leistet.

Laut dem Jahresbericht des BACS, wie ihn die Schweizer Presse zitiert, gingen 2025 222 Pflichtmeldungen ein, fast eine pro Tag, dazu 64’733 freiwillige Meldungen. Und im August 2025 gründeten 18 Spitäler einen Verein, um Informationen über Angriffe auszutauschen, das Healthcare Cyber Security Center, das seit September Spitälern mit öffentlichem Leistungsauftrag offensteht.

Der blinde Fleck: Die Privatklinik steht allein da.

Eine Klinik für Ästhetik, Zahnmedizin oder Longevity, die nicht auf der kantonalen Spitalliste steht, ist in der Regel nicht meldepflichtig und kann dem Verein der Spitäler nicht beitreten. Sie kann dem BACS freiwillig melden, und das sollte man wissen. Aber sie tauscht mit niemandem automatisch Informationen aus, und ihre Lieferanten, für Website, Terminbuchung, Chatbot oder CRM, haben oft mehr Zugang, als irgendwo festgehalten ist.

Das Gesetz selbst anerkennt das Risiko: Es zählt Herstellerinnen von Software mit Fernwartungszugang zu den Meldepflichtigen. Wenn der Gesetzgeber diesen Zugang in einem Spital als Tür betrachtet, die bewacht werden muss, dann ist er es auch in einer Privatklinik.

Ihre Klinik ist so sicher wie der am wenigsten beaufsichtigte Lieferant mit einem Schlüssel.

Meine Position.

Ich finde, eine Privatklinik sollte von ihren digitalen Lieferanten das verlangen, was das Institut den Spitälern empfiehlt: Sicherheitsanforderungen im Vertrag, bevor gekauft wird, regelmässige Prüfungen, zeitnahe Updates, ein vom Arbeitsnetz getrenntes Patientennetz und keine Geheimhaltungsvereinbarung, die eine nötige Warnung verhindert. Dazu eine laufend gepflegte Liste, wer worauf Zugriff hat. Die Website und das Kontaktformular gehören auf diese Liste, denn dort kommen Gesundheitsdaten herein. Sicherheit kauft man nicht mit der Software. Man verlangt sie im Vertrag und prüft sie danach.

Ob Ihre Klinik meldepflichtig ist, bestätigt auf Anfrage das BACS selbst oder Ihre Rechtsberatung. Ich bin kein Anwalt, und diese Notiz ersetzt diese Abklärung nicht.

Was ich prüfen würde.

• Die Zugriffsliste. Welche Lieferanten in Ihre Systeme kommen, mit welchem Konto und von wo aus.
• Die Verträge. Ob sie Sicherheitsanforderungen, Fristen für Korrekturen und eine Pflicht zur Meldung von Vorfällen an Sie enthalten.
• Die Schweigeklauseln. Ob eine Vereinbarung Sie daran hindert, andere Betroffene oder Behörden über eine Lücke zu informieren.
• Das Formular auf der Website. Wo die Daten gespeichert werden, die Patientinnen und Patienten hinterlassen, und wer sie sieht.
• Der 24-Stunden-Plan. Wen die Klinik anruft, wenn an einem Samstag etwas ausfällt, und wer über eine Meldung entscheidet.

Wo Sie anfangen.

1. Diese Woche

   Die Liste erstellen

   Jeder Lieferant mit Zugang zu Ihren Systemen, Ihrer Website oder Ihren Daten, und welchen Zugang er hat.

2. Diesen Monat

   Die Verträge lesen

   Sicherheit, Meldung von Vorfällen und Geheimhaltung, Lieferant für Lieferant.

3. Dieses Quartal

   Türen schliessen

   Ungenutzte Zugänge entfernen und das Patientennetz vom Arbeitsnetz trennen.

4. Jedes Jahr

   Prüfen

   Ein unabhängiger Sicherheitstest der Website und der Systeme, die Patientendaten bearbeiten.

Eine Frage für die nächste Sitzung: Wenn Ihr Anbieter klinischer Software morgen eine schwere Schwachstelle entdeckte, wie lange würde es dauern, bis Sie davon erfahren? Und von wem: vom Anbieter, aus der Presse oder von einem Patienten?

Und eine, die kaum jemand laut stellt: Wie viele Personen, die nicht in Ihrer Klinik arbeiten, haben heute Zugang zu Ihren Systemen, und wann hat jemand diese Liste zuletzt geprüft?

Wenn Sie möchten, dass ich prüfe, wo die Daten Ihrer Patienten heute auf Ihrer Website hereinkommen und wer sie sonst noch berührt, beginnen Sie mit der Strategischen Diagnose. Welche Anbieter Sie behalten und zu welchen Bedingungen, entscheidet die Leitung Ihrer Klinik, nicht ein Designer.