Deutschlands Kliniken im IT-Notstand Zwischen dem 7. und 9. Juli 2025 wurden mehrere deutsche Kliniken von massiven IT-Störungen betroffen. Zwei besonders prägnante Vorfälle rücken die Problematik scharf ins Licht: Einerseits der großflächige Ausfall in den Kreiskliniken Reutlingen durch ein technisches Versagen, andererseits der bundesweite IT-Ausfall im Klinikverbund AMEOS, ausgelöst durch einen Cyberangriff. Beide Ereignisse führen zu einer unbequemen, aber nötigen Erkenntnis: Die Informationssicherheit im Gesundheitswesen befindet sich oft noch auf einem besorgniserregend niedrigen Niveau.
Fall 1: Reutlingen – Ein Kurzschluss bringt den Klinikbetrieb zum Erliegen
Am 8. Juli 2025 berichtete unter anderem die Tagesschau über einen vollständigen IT-Ausfall in den Kreiskliniken Reutlingen (vgl. Tagesschau, BornCity). Ein Kurzschluss im Serverraum, hervorgerufen durch Wartungsarbeiten an der Klimaanlage, legte sämtliche digitale Systeme lahm. Die Konsequenzen waren unmittelbar und gravierend: Operationen mussten verschoben, Notaufnahmen abgemeldet, Kommunikationswege unterbrochen werden. Kein Cyberangriff, sondern ein technisches und organisatorisches Versäumnis war die Ursache. Fehlende Redundanzen und mangelhafte Trennung kritischer Systeme zeigten sich als offene Flanke.
Analyse: Wenn IT-Planung lebenswichtig wird
Dieses Beispiel illustriert eindrücklich, wie klassische Schwächen in der IT-Planung etwa ungenügende Notfallmechanismen oder fehlende physische Trennung von Infrastruktur in Kliniken unmittelbare Folgen für Patienten und Personal haben können. Die Resilienz der Infrastruktur entscheidet über die Sicherheit der Versorgung.
Fall 2: AMEOS – Ein Cyberangriff bremst ein ganzes Netzwerk aus
Zur selben Zeit ereignete sich beim Klinikverbund AMEOS ein noch weitreichenderer IT-Ausfall. Laut übereinstimmenden Berichten (NDR, BornCity, Ärzteblatt) identifizierte die AMEOS-IT am Abend des 8. Juli 2025 einen gezielten Angriff. Als Reaktion wurden sämtliche digitalen Systeme im gesamten Verbund abgeschaltet. Betroffen waren deutschlandweit über 100 Einrichtungen mit mehr als 18.000 Mitarbeitenden und zahllosen Patienten.
Die Folgen reichten von der Unzugänglichkeit der Patientenverwaltung über Störungen bei Medikation, Labor- und Röntgensystemen bis hin zu Einschränkungen in Küchenlogistik, Kommunikation und Abrechnung. Der gesamte Klinikalltag musste auf improvisierte Verfahren und Papierdokumentation umsteigen. Die offizielle Verlautbarung der AMEOS-Konzernleitung spricht von einer vorsorglichen Abschaltung zur Schadensbegrenzung; gleichzeitig wird deutlich, wie verletzlich zentralisierte, digital gesteuerte Klinikstrukturen bei einem koordinierten Angriff sind.
Schwachstelle Citrix Bleed 2 im Fokus der Experten
In Expertenkreisen wurde mehrfach auf die Schwachstelle "Citrix Bleed 2" (CVE-2025-5777)verwiesen, eine Exploit-Lücke in Citrix NetScaler-Systemen. AMEOS hat diese Ursache nicht offiziell bestätigt, die Architektur (zentrale Citrix-Terminals, externe IT-Dienstleister) legt den Zusammenhang aber zumindest nahe. Bereits in den Tagen zuvor gab es deutschlandweit eine auffällige Häufung von Störungen in Kliniken, die auf ähnliche Weise angebunden waren.
Gemeinsame Schwachstelle: IT als Achillesferse der Versorgung
Beide Fälle zeigen eine gefährliche Gemeinsamkeit: Die IT der Kliniken ist heute die Achillesferse der gesamten Versorgung. Unabhängig davon, ob die Ursache ein technischer Defekt oder ein Cyberangriff ist, führt der Ausfall zentraler digitaler Systeme sofort zu Risiken für Patienten, Personal und letztlich für die Gesellschaft insgesamt.
Lehren aus den Vorfällen: Informationssicherheit ist Pflicht, nicht Kür
Die beschriebenen Ereignisse sind keine Ausnahmen, sondern Symptom eines strukturellen Problems. Sie machen deutlich, dass Informationssicherheit nicht einfach eine IT-Aufgabe ist. Sie betrifft unmittelbar die Daseinsvorsorge und ist zur unverzichtbaren Grundbedingung eines funktionierenden Klinikbetriebs geworden.
Anforderungen an moderne Klinik-IT: Gesetz und Stand der Technik
Es gibt klare Anforderungen, sowohl gesetzlich (BSIG, KRITIS-Verordnung, demnächst NIS-2) als auch im Sinne des Standes der Technik (ISO 27001, branchenspezifischer Sicherheitsstandard B3S Gesundheit):
Notfallmanagement darf nicht nur auf dem Papier existieren, sondern muss gelebte Praxis und regelmäßig getestet werden.Ein ISMS (Informationssicherheits-Managementsystem) nach ISO 27001 oder B3S ist kein reines Zertifikat, sondern ein kontinuierlicher Verbesserungsprozess, der Strukturen, Abläufe und Verantwortlichkeiten fest verankert.Schwachstellenmanagement und Patchprozesse sind Pflicht und keine optionale Übung.Risikobewertungen müssen ehrlich und realitätsnah durchgeführt werden – wer plant, als ob ein Stromausfall oder ein Cyberangriff niemals die gesamte Versorgung gefährden könnte, ignoriert die Faktenlage.
Wie wir bei KÄMMER CONSULTING unterstützen
Mit jeder Digitalisierungswelle wachsen nicht nur die Chancen, sondern auch die Risiken. Informationssicherheit ist der entscheidende Faktor, damit der medizinische Fortschritt nicht zum Risikofaktor wird. Wir unterstützen Kliniken, Pflegeeinrichtungen und soziale Träger konkret:
Aufbau und Betrieb eines ISMS nach ISO 27001/B3S und DSGVOPraxisnahe Risiko- und SchwachstellenanalysenNotfallplanung und robuste Sicherheitsarchitektur für Klinik-ITSensibilisierung und Schulungen für alle Mitarbeitenden
Digitale Resilienz ist eine Frage der Verantwortung
Die Fälle von Reutlingen und AMEOS zeigen: Ein technischer Fehler genügt, und der Klinikbetrieb steht still. Ein Cyberangriff kann in wenigen Stunden deutschlandweit Dutzende Einrichtungen lahmlegen. Patienten werden nach Hause geschickt, geplante OPs fallen aus, medizinische Versorgung gerät ins Wanken.
Informationssicherheit ist kein Randthema mehr. Sie entscheidet über Versorgungssicherheit, Vertrauenswürdigkeit und letztlich auch über die Zukunftsfähigkeit der gesamten Gesundheitsversorgung. Kliniken egal ob KRITIS oder nicht müssen sich darauf einstellen. Es braucht nicht Symbolpolitik, sondern praktische Strukturen, investierte Ressourcen und eine Kultur der Sicherheit.
Wenn Sie wissen möchten, wie Sie Ihre Klinik oder Einrichtung resilienter machen können sprechen Sie uns an. Informationssicherheit beginnt mit Verantwortung und dem Willen, aus den richtigen Lehren zu handeln.
René Telemann
IT System Engineer | IT-Sicherheit & Veränderungsmanagement | Brücke zwischen Technik und Kommunikation | TISAX | ISO 27001 bei Kämmer Consulting GmbH
Quellen:
Tagesschau, 8.7.2025, "IT-Ausfall in Kreiskliniken Reutlingen: OPs verschoben" (https://www.tagesschau.de/inland/regional/badenwuerttemberg/swr-it-ausfall-in-kreiskliniken-reutlingen-100.html)BornCity, 8.7.–10.7.2025, "IT-Ausfall in deutschen Kliniken (7.-8. Juli 2025); Ameos betroffen – was ist da los (Citrix Bleed 2)?" (https://www.borncity.com/blog/2025/07/08/it-ausfall-in-deutschen-kliniken-8-juli-2025-was-ist-da-los/)NDR, 9.7.2025, "Ameos-Kliniken nach Cyberangriff weiter mit IT-Problemen" (https://www.ndr.de/nachrichten/schleswig-holstein/Ameos-Kliniken-in-Schleswig-Holstein-nach-Cyberangriff-weiter-mit-IT-Problemen,ameos120.html)Ärzteblatt, 9.7.2025, "Cyberangriff: IT-Ausfall bei Ameos-Kliniken" (https://www.aerzteblatt.de/nachrichten/161632/Cyberangriff-IT-Ausfall-bei-Ameos-Kliniken)
Die kritische Gegenperspektive
Die Gegenposition zu „IT-Ausfälle in Kliniken, was uns der 8. Juli 2025 wirklich zeigen sollte“ verdient denselben Maßstab wie die Ausgangsthese: konkrete Belege, realistische Folgen und die Bereitschaft, zwischen Einzelfall und allgemeinem Trend zu unterscheiden. Weder Begeisterung noch Ablehnung ersetzen diese Prüfung.
Was beide Seiten leicht übersehen
Beide Seiten unterschätzen leicht, wie verschieden Alltag, Ressourcen und Erfahrungen der Betroffenen sind. Eine Lösung für „IT-Ausfälle in Kliniken, was uns der 8. Juli 2025 wirklich zeigen sollte“ wird erst stimmig, wenn sie nicht nur im Grundsatz überzeugt, sondern auch mit Zielkonflikten, Ausnahmen und unbeabsichtigten Folgen umgehen kann.
Mein Fazit
Für mich zeigt „IT-Ausfälle in Kliniken, was uns der 8. Juli 2025 wirklich zeigen sollte“ vor allem, dass einfache Antworten zu kurz greifen. Der sinnvolle Weg liegt zwischen unkritischer Begeisterung und pauschaler Ablehnung: Nutzen klar benennen, Nebenwirkungen sichtbar machen und Verantwortung so organisieren, dass Entscheidungen auch im Alltag nachvollziehbar bleiben.
Quellen und Einordnung
Grundlage dieses Beitrags ist mein ursprünglich am 2025-07-11 auf LinkedIn veröffentlichter Artikel. Die dort enthaltenen Verweise und fachlichen Einordnungen wurden für diese Fassung übernommen und um die Perspektiven dieses Blogs ergänzt.
Themen: #Digitalisierung · #IT · #Technologie