IT-Sicherheit für Spitäler, Kliniken und Life Sciences
Ein Budget, das gegen Medizintechnik und Personal konkurriert, Geräte, die nicht gepatcht werden dürfen, und ein Betrieb ohne Wartungsfenster. Wo wir im Gesundheitswesen konkret ansetzen.
Die Lage
Schweizer Akutspitäler kamen 2025 auf eine EBITDAR-Marge von 6,8 Prozent. Das ist besser als in den Vorjahren, liegt aber weiter klar unter den rund zehn Prozent, die es braucht, um Investitionen selbst zu tragen. Die Reingewinnmarge lag erstmals seit Jahren wieder im Plus, bei 1,0 Prozent (PwC-Spitalstudie vom Juli 2026, Geschäftsjahr 2025).
Übersetzt heisst das: Es reicht zum Betreiben, nicht zum Investieren. Ein Sicherheitsbudget konkurriert in dieser Lage direkt mit Medizintechnik und Personal, und es gewinnt diesen Vergleich nur, wenn der Nutzen in Ausfallzeit und Betriebsrisiko ausgedrückt ist statt in Bedrohungsszenarien.
Gleichzeitig ist die technische Ausgangslage schwieriger als in fast jeder anderen Branche. Medizingeräte laufen mit vom Hersteller freigegebenen Softwareständen, der Betrieb läuft rund um die Uhr, und Wartungsfenster gibt es kaum. Jede Änderung muss sich dem klinischen Ablauf unterordnen, nicht umgekehrt.
Dazu kommt seit kurzem ein neues Thema: Spracherkennung und Dokumentationsassistenten sind in vielen Häusern schneller im Einsatz als die Regeln dazu, und sie verarbeiten Patientendaten.
Was wir in dieser Branche antreffen
- Jeder Franken muss gegen Medizintechnik und Personal begründet werdenSicherheit gewinnt diesen Vergleich nur, wenn der Nutzen in Ausfallzeit und Betriebsrisiko ausgedrückt ist. Ein planbarer Betrag schlägt in dieser Lage ein offenes Beratungsmandat.
- Medizingeräte lassen sich nicht einfach aktualisierenSoftwarestände sind vom Hersteller freigegeben. Ein Update im Alleingang kann die Zulassung des Geräts berühren. Absicherung heisst hier abgrenzen und überwachen, nicht patchen.
- Der Betrieb läuft rund um die UhrWartungsfenster gibt es kaum. Jede Änderung muss mit dem klinischen Ablauf abgestimmt sein, und wer das nicht einplant, bekommt sein Projekt nicht durch die Betriebsleitung.
- Viele Berufsgruppen, Schichtbetrieb, hohe FluktuationGemeinsam genutzte Zugänge entstehen nicht aus Nachlässigkeit. Sie entstehen, weil der Ablauf am Bett schneller sein muss als die Anmeldung. Lösungen müssen deshalb am Arbeitsablauf ansetzen.
- Patientendaten mit Nachweispflicht, aber ohne dedizierte RolleDie Verantwortung landet beim IT-Team, das ohnehin am Anschlag arbeitet. Damit ist sie formal zugewiesen und praktisch unbesetzt.
- KI-Werkzeuge sind schneller da als die RegelnDiktier- und Dokumentationsassistenten werden von Fachbereichen eingeführt, oft ohne dass geklärt ist, welche Daten hineindürfen und wo sie verarbeitet werden.
Typischer Auslöser
Ein Vorfall bei einem anderen Haus, ein Auditbefund oder eine Ausschreibung, in der Sicherheitsnachweise verlangt werden. Oder die Frage, ob ein KI-Werkzeug mit Patientendaten arbeiten darf.
Der ODCUS-Unterschied
Kein Verkauf zusätzlicher Werkzeuge. Erster Schritt ist immer: Was habt ihr schon, was davon funktioniert, und was können wir streichen? Die meisten Mandate beginnen damit, Kosten zu senken und den Schutz gleichzeitig zu verbessern.
Warum diese Leistungen dort greifen
Ein bekannter Betrag statt einer offenen Beratungsrechnung
CHF 9'800 zum Festpreis, das Ergebnis ist eine priorisierte Roadmap mit Massnahmen, die auch umgesetzt werden. Wir nehmen Infrastruktur, Prozesse und Datenschutz vor Ort auf.
In einem Haus, in dem jede Ausgabe begründet werden muss, ist die Planbarkeit selbst schon ein Argument.
Entlastung für die IT, nicht zusätzliche Last
Wir übernehmen die Sicherheitsverantwortung, statt sie beim knappen IT-Team zu lassen, und stimmen Massnahmen mit dem klinischen Betrieb ab.
Senior-Erfahrung an den Tagen, an denen sie gebraucht wird, ohne eine weitere Vollzeitstelle im Stellenplan.
Schutzbedarf und Nachweis, ohne den Betrieb zu bremsen
Wir erheben Schutzbedarf und Risiken entlang der Versorgungsprozesse und dokumentieren so, dass der Nachweis gegenüber Aufsicht und Partnern steht.
Datenschutz nach nDSG ist dabei eingebaut, inklusive Datenschutzfolgeabschätzung, wo sie nötig ist.
Klare Regeln, bevor Patientendaten in KI-Werkzeuge fliessen
Wir klären, welche Werkzeuge zulässig sind, welche Daten hineindürfen und wie das nachvollziehbar dokumentiert wird.
Auf Wunsch als Managementsystem nach ISO/IEC 42001, wenn Trägerschaft oder Partner den formellen Nachweis erwarten.
Für wen das passt
- Spitäler, Kliniken und Heime mit knapper IT-Besetzung
- Häuser mit Medizingeräten, die nicht frei aktualisiert werden dürfen
- Organisationen mit Patientendaten und Nachweispflicht nach nDSG
- Betriebe, in denen KI-Werkzeuge bereits im Einsatz sind, ohne Regeln dazu
Verwandte Mandate
- Gap-Assessment gegen CIS Controls mit Umsetzungs-Roadmap
- E-Mail-Migration für eine Hochschule mit 12'000 Postfächern
- Microsoft-365-Tenant härten inklusive Gerätemanagement
Anonymisierte Einblicke in echte Mandate. Nicht alle stammen aus dieser Branche, die Aufgabenstellung ist aber dieselbe.
Häufige Fragen
Wie sichern wir Medizingeräte ab, die wir nicht patchen dürfen?
Indem sie abgegrenzt, überwacht und im Zugriff kontrolliert werden. Das ist etabliertes Vorgehen und berührt die Zulassung des Geräts nicht. Voraussetzung ist ein Inventar, das überhaupt zeigt, welche Geräte im Netz hängen.
Dürfen wir KI-Werkzeuge mit Patientendaten einsetzen?
Das hängt vom Werkzeug, vom Verarbeitungsort und von der Rechtsgrundlage ab, nicht von der Technologie an sich. Wir klären das pro Werkzeug und halten das Ergebnis so fest, dass es gegenüber Aufsicht und Patienten belegbar ist.
Wir haben kein Wartungsfenster. Wie soll das gehen?
Indem die Massnahmen so geplant werden, dass sie den klinischen Betrieb nicht unterbrechen, und indem der Notfall geübt wird statt improvisiert. Was nicht ohne Unterbruch geht, wird terminiert und mit der Betriebsleitung abgestimmt.
Was kostet der Einstieg?
Das Security Assessment kostet CHF 9'800 zum Festpreis, inklusive Umsetzung der dringendsten Massnahmen. Der Einstieg davor, eine kriteriengebundene Standortbestimmung im Gespräch, ist kostenlos.
Sprechen wir über deine Situation
Dreissig Minuten, kostenlos und unverbindlich. Wir sagen dir ehrlich, ob und wo wir helfen können.