Die weltweite IT-Störung von 2024: 5 Lektionen für das Gesundheitswesen

Was geschah

Ein fehlerhaftes Update der Sicherheitssoftware des Anbieters CrowdStrike verursachte den berüchtigten Blue Screen (Blue Screen of Death) auf zahllosen Windows-Computern. Weltweit wurden Branchen wie die Luftfahrt, Banken, Medien und das Gesundheitswesen aus dem Takt gebracht.

In den Niederlanden waren unter anderem die Krankenhäuser von Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) und Slingeland (Doetinchem) betroffen. Operationen wurden verschoben und einige Standorte nahmen vorübergehend keine neuen Patienten auf. Es handelte sich ausdrücklich nicht um einen Cyberangriff, sondern um einen Fehler in einem Update; die Wiederherstellung erforderte pro System manuelle Arbeit.

Lektion 1: Die Versorgung geht weiter, auch auf Papier

Wenn die Patientenakte, das Medikationsmodul oder die Planung ausfällt, muss die Versorgung dennoch weitergehen. Das erfordert bewährte Notfallverfahren: die Arbeit mit Verabreichungslisten auf Papier, doppelte Kontrolle bei risikoreichen Medikamenten und klare Absprachen darüber, wer was tut.

Üben Sie diese Notfallverfahren regelmäßig. In der Praxis zeigt sich, dass Mitarbeiter, die selten damit arbeiten, bei einem echten Ausfall kostbare Zeit verlieren. Eine kurze, klare Anweisungskarte pro Abteilung hilft enorm.

Lektion 2: Informieren Sie die Mitarbeiter, auch außerhalb der Systeme

Wenn die gewohnten Systeme ausgefallen sind, können Sie die Mitarbeiter nicht über diese Systeme erreichen. Überlegen Sie sich im Voraus alternative Wege.

• Eine zentrale, kurze Anweisung: Was funktioniert nicht, welches Notfallverfahren gilt, wo steht der aktuelle Stand.
• Erreichbarkeit über alternative Kanäle (Telefon, SMS, eine geschlossene Seite).
• Klarheit über die Prioritäten: welche Versorgung und welche Abteilungen Vorrang haben.
• Ruhe ausstrahlen: Mitarbeiter, die wissen, was zu tun ist, beruhigen auch Patienten und Angehörige.

Lektion 3: Beruhigen Sie Angehörige und Patienten

Verschobene Operationen und verschlossene Türen führen zu Unruhe bei Patienten und Angehörigen. Seien Sie hier proaktiv: Erklären Sie, was los ist, was es für ihren Termin bedeutet und wann es weitere Neuigkeiten gibt.

Eine ehrliche, menschliche Botschaft verhindert unnötige Anrufe und Misstrauen. Sorgen Sie dafür, dass die Informationen auf der Website, am Empfang und am Telefon übereinstimmen.

Lektion 4: Kennen Sie Ihre Abhängigkeit von Lieferanten

Die Störung kam nicht von innen, sondern von einem externen Softwarelieferanten. Das zeigt, wie abhängig die moderne Versorgung von der digitalen Kette ist: ein ECD-Anbieter, ein Softwarepartner, ein Cloud-Dienst.

Erfassen Sie diese Abhängigkeiten (welches System von welchem Lieferanten abhängt) und legen Sie fest, was Sie tun, wenn ein Lieferant ausfällt. Treffen Sie Vereinbarungen über Wiederherstellungszeiten und halten Sie eine Rückfalloption bereit.

Lektion 5: Kennen Sie Ihre Normen und Meldepflichten

Gesundheitseinrichtungen arbeiten nach der NEN 7510 (Informationssicherheit) und der DSGVO. Ist die Patientensicherheit gefährdet, kann ein Zwischenfall vorliegen, den Sie innerhalb von drei Werktagen bei der Inspectie Gezondheidszorg en Jeugd (IGJ) nach dem Wkkgz melden. Sind personenbezogene Daten betroffen, gilt die Meldepflicht für Datenschutzverletzungen (72 Stunden) bei der Autoriteit Persoonsgegevens.

Gesundheitsdienstleister fallen zudem immer häufiger unter das Cybersicherheitsgesetz (NIS2), mit einer Meldepflicht für erhebliche Vorfälle. Halten Sie während der Krise fest, welche Meldungen wann und bei wem erfolgt sind.

Wie CrisisRadar dabei hilft

CrisisRadar bringt Vorstand, Pflegemanagement, IT und Pressesprecher in einem gemeinsamen Lagebild zusammen. Sie halten Fakten mit Quelle fest, teilen den Mitarbeitern klare Notfallanweisungen mit, verfassen eine beruhigende Botschaft für Angehörige und wachen über die Kontinuität der Versorgung. Meldepflicht-Timer überwachen die Fristen für die IGJ und die Autoriteit Persoonsgegevens.

Möchten Sie sehen, wie ein IT-Ausfall im Gesundheitswesen Schritt für Schritt in der Plattform aussieht? Dann werfen Sie einen Blick auf die zugehörige Praxissituation.

Stappenplan

Veelgestelde vragen

War die CrowdStrike-Störung ein Cyberangriff?

Nein. Die Störung vom 19. Juli 2024 entstand durch ein fehlerhaftes Software-Update des Anbieters CrowdStrike, nicht durch einen Angriff. Dennoch legte sie weltweit Windows-Systeme lahm, auch in Krankenhäusern, was die Bedeutung guter Notfallverfahren unterstreicht.

Wie geht die Versorgung weiter, wenn die Systeme ausfallen?

Mit bewährten Notfallverfahren: die Arbeit mit Verabreichungslisten auf Papier, doppelte Kontrolle bei risikoreichen Medikamenten und klare Absprachen über Prioritäten und Rollen. Üben Sie diese Verfahren regelmäßig, damit sie in Fleisch und Blut übergehen.

Welche Meldepflicht gilt bei einem IT-Ausfall im Gesundheitswesen?

Ist die Patientensicherheit gefährdet, melden Sie einen Zwischenfall innerhalb von drei Werktagen bei der IGJ (Wkkgz). Sind personenbezogene Daten betroffen, gilt die Meldung einer Datenschutzverletzung innerhalb von 72 Stunden bei der Autoriteit Persoonsgegevens. Häufig gilt auch das Cybersicherheitsgesetz (NIS2).