Ein Sicherheitsvorfall bringt ein Krankenhaus schnell an seine Grenzen. Systeme stehen nicht zur Verfügung, Mitarbeitende können ihre Aufgaben nur eingeschränkt erfüllen und die Geschäftsführung muss unter hohem Zeitdruck Entscheidungen treffen. Wenn der Vorfall schließlich unter Kontrolle ist, tritt häufig eine wichtige Aufgabe in den Hintergrund: die systematische Aufarbeitung.

Dabei beginnt genau hier ein entscheidender Teil der Informationssicherheit. Denn ein Sicherheitsvorfall ist nicht nur eine Störung. Er zeigt sehr konkret, wo Schutzmaßnahmen funktioniert oder versagt haben und wo bisher unbekannte Schwachstellen liegen.

Für den Informationssicherheitsbeauftragten (ISB) ist die Aufarbeitung deshalb mehr als eine Dokumentationspflicht. Sie ist eine Chance, die Informationssicherheit nachhaltig weiterzuentwickeln.

Was hat uns der Vorfall tatsächlich gezeigt?

Nach einem Sicherheitsvorfall ist die Versuchung groß, möglichst schnell wieder zum normalen Betrieb zurückzukehren. Die Systeme werden bereinigt, die Zugänge geändert, die Sicherheitslücken geschlossen und in der Regel dann die Kommunikation mit den Beteiligten beendet.

Doch damit ist die eigentliche Arbeit noch nicht abgeschlossen.

Der ISB sollte gemeinsam mit den Verantwortlichen gedanklich einen Schritt zurückgehen und den Ablauf des Vorfalls betrachten.

  • Wie konnte es überhaupt dazu kommen?
  • Welche Schutzmaßnahmen haben gegriffen?
  • Wo haben Warnungen nicht erreicht, wen sie erreichen sollten?
  • Welche Entscheidungen wurden getroffen und auf welcher Informationsbasis?

Dabei geht es ausdrücklich nicht darum, Schuldige zu suchen. Eine gute ‚Lessons Learned‘-Analyse fragt nicht zuerst: „Wer hat einen Fehler gemacht?“ Sie fragt: „Was müssen wir an unserem Vorgehen verändern, damit sich ein vergleichbarer Vorfall nicht wiederholt oder zumindest weniger schwer auswirkt?“ Gerade diese Perspektive macht die Nachbereitung wertvoll.

Haben unsere Sicherheitsmaßnahmen in der Praxis funktioniert?

Ein Sicherheitskonzept kann auf dem Papier überzeugend aussehen. Erst ein realer Vorfall zeigt, ob es auch unter Druck funktioniert.

Ein Backup war vorhanden, konnte aber nicht schnell genug zurückgespielt werden. Ein technischer Alarm hat ausgelöst, wurde aber nicht rechtzeitig bewertet. Die Zuständigkeiten waren definiert, doch im entscheidenden Moment wusste niemand genau, wer die Entscheidung treffen sollte. Solche Erkenntnisse sind besonders wertvoll. Sie zeigen dem ISB, wo zwischen dokumentiertem Sicherheitsniveau und gelebter Praxis eine Lücke besteht.

Auch scheinbar kleine Beobachtungen können dabei eine große Bedeutung haben. Ein fehlender Kontakt in einer Notfallliste, eine unklare Eskalationsregel oder eine nicht aktuelle Systemdokumentation kann im Ernstfall erhebliche Auswirkungen haben.

‚Lessons Learned‘ bedeutet deshalb, genau hinzusehen.

Warum sollte der ISB auch die organisatorische Seite betrachten?

Die Sicherheitsvorfälle entstehen selten ausschließlich durch ein technisches Problem. Häufig treffen technische Schwachstellen auf organisatorische oder menschliche Faktoren.

Vielleicht

  • war eine Information nicht verfügbar,
  • fehlte eine Vertretungsregelung,
  • wurde ein Dienstleister nicht schnell genug erreicht,
  • war eine kritische Anwendung zwar bekannt, ihre Abhängigkeit von anderen Systemen aber nicht ausreichend dokumentiert.

Für den ISB lohnt es sich deshalb, den gesamten Ablauf zu betrachten. Vom ersten Hinweis über die Bewertung und Eskalation bis zur Wiederherstellung des Betriebs.

Besonders interessant ist dabei die Frage: Wo mussten Mitarbeitende improvisieren? Improvisation ist im Notfall manchmal unvermeidbar. Wenn dieselbe Improvisation jedoch bei einem weiteren Vorfall wieder notwendig wäre, sollte daraus unbedingt eine konkrete Verbesserung entstehen.

Aus Erkenntnissen müssen Maßnahmen werden

Eine ‚Lessons Learned‘-Analyse ist nur dann erfolgreich, wenn aus den Erkenntnissen Veränderungen entstehen. Hier kommt dem ISB eine wichtige Rolle zu. Er sollte die Ergebnisse nicht einfach in einem Bericht festhalten, sondern gemeinsam mit den Verantwortlichen konkrete Maßnahmen ableiten. Dabei hilft eine einfache Frage: Was wollen wir beim nächsten Mal anders – sprich besser – machen?

Eine Maßnahme sollte möglichst klar beschreiben, was verändert wird, wer dafür verantwortlich ist und bis wann die Umsetzung erfolgen soll. Ebenso wichtig ist die spätere Kontrolle. Denn eine offene Maßnahme bleibt eine Schwachstelle, solange niemand überprüft, ob sie tatsächlich umgesetzt wurde.

Dabei muss nicht jede Erkenntnis sofort zu einem großen Projekt führen. Manchmal reicht eine aktualisierte Kontaktliste. In anderen Fällen braucht es eine technische Anpassung, eine neue Regelung oder eine Übung.

Entscheidend ist, dass aus „Das müssen wir künftig besser machen“ ein konkreter Auftrag wird.

Was können wir aus mehreren Vorfällen lernen? 

Besonders wertvoll wird ‚Lessons Learned‘, wenn der ISB nicht jeden Vorfall isoliert betrachtet.

Vielleicht zeigen mehrere Ereignisse ein ähnliches Muster. Wiederkehrende Probleme bei Berechtigungen, fehlende Informationen bei der Übergabe oder Schwierigkeiten mit externen Dienstleistern können Hinweise auf ein strukturelles Thema sein.

Damit wird aus der Analyse eines einzelnen Vorfalls eine Entwicklungsperspektive für das gesamte Informationssicherheitsmanagement. Auch kleinere Vorfälle verdienen deshalb Aufmerksamkeit. Ein „Beinahevorfall“ oder eine frühzeitig erkannte Schwachstelle kann wichtige Erkenntnisse liefern, ohne dass bereits ein größerer Schaden entstanden ist.

Eine gute Sicherheitskultur entsteht dort, wo solche Erfahrungen offen angesprochen werden können.

 Wie kann Adiccon Sie nach Sicherheitsvorfällen unterstützen?

Adiccon begleitet Krankenhäuser und Klinikgruppen seit vielen Jahren bei Fragen der Informationssicherheit. Dabei zeigt die praktische Erfahrung immer wieder: Nach einem Sicherheitsvorfall kommt es nicht allein darauf an, die unmittelbare Ursache zu beseitigen.

Entscheidend ist, die gewonnenen Erkenntnisse in das bestehende Sicherheitsmanagement zurückzuführen. Technische Maßnahmen, organisatorische Regelungen, Verantwortlichkeiten, Notfallprozesse und Awareness müssen dabei gemeinsam betrachtet werden.

Genau hier unterstützt Adiccon den ISB und die Krankenhausleitung. Die Erfahrungen aus der Praxis helfen dabei, nicht nur den konkreten Vorfall aufzuarbeiten, sondern auch die dahinterliegenden Prozesse kritisch zu hinterfragen und Verbesserungen nachhaltig zu verankern.

Der nächste Vorfall kommt nicht mit einem Warnsignal

Niemand kann garantieren, dass ein Krankenhaus vom nächsten Sicherheitsvorfall verschont bleibt. Ein gut aufgestelltes Informationssicherheitsmanagement kann jedoch dafür sorgen, dass die Organisation aus jedem Vorfall stärker hervorgeht. Deshalb sollte ‚Lessons Learned‘ kein Pflichttermin nach einem Vorfall sein. Es sollte ein fester Bestandteil der Sicherheitsarbeit werden.

Für den ISB heißt das: Nutzen Sie den letzten Sicherheitsvorfall als Chance zum Lernen. Schauen Sie gemeinsam mit den Verantwortlichen auf den Vorgang. Fragen Sie nach, wo Abläufe funktioniert haben und wo Mitarbeitende improvisieren mussten. Prüfen Sie, ob Maßnahmen tatsächlich umgesetzt wurden. Und übertragen Sie die Erkenntnisse auf andere Bereiche, bevor dort ein ähnlicher Vorfall entsteht. Denn Informationssicherheit entwickelt sich nicht allein durch neue Technologien oder neue Vorgaben weiter. Sie entwickelt sich vor allem dann weiter, wenn eine Organisation bereit ist, aus ihren Erfahrungen zu lernen.

Warten Sie deshalb nicht auf den nächsten Vorfall. Starten Sie die nächste ‚Lessons Learned‘ Runde jetzt.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160 90997764.