Kontakt
Telefon & 24/7-Notfall-Hotline+49 2932 465265-0 E-Mailinfo@rootsektor.deMo–Fr 08:00–17:00 Uhr · außerhalb der Geschäftszeiten: 24/7-Notfall-Hotline
Pentest-Angebot anfordern Notfall meldenBranchen
Sicherheit für Patientendaten und Versorgung.
In Kliniken, Praxen und Laboren hängt die Versorgung an funktionierender IT – und Patientendaten gehören zu den sensibelsten Informationen überhaupt. Unser Penetrationstest macht die IT-Sicherheit im Gesundheitswesen messbar und zeigt, wo Angreifer ansetzen könnten – mit Rücksicht auf den laufenden Betrieb. Für Krankenhäuser, MVZ und Praxen, Pflegeeinrichtungen, Labore und MedTech-Hersteller.
Herausforderungen
Krankenhausinformationssystem (KIS), Bildarchiv (PACS), Laborsoftware, Patientenportale, Telematikinfrastruktur und zahlreiche vernetzte Geräte – die IT im Gesundheitswesen ist über Jahre gewachsen und eng verflochten. Über jede dieser Verbindungen kann sich ein Angreifer weiterbewegen.
Gesundheitsdaten zählen nach Art. 9 DSGVO zu den besonders geschützten Datenkategorien, viele Berufsgruppen unterliegen zudem der Schweigepflicht nach § 203 StGB. Ein Datenabfluss wiegt rechtlich schwer – und kostet das Vertrauen der Patientinnen und Patienten.
Ransomware-Angriffe haben auch in Deutschland bereits Kliniken gezwungen, sich von der Notfallversorgung abzumelden. Fallen KIS, Labor oder Bildgebung aus, sind nicht nur Daten in Gefahr.
Medizingeräte mit veralteten Betriebssystemen, Fernwartung durch Hersteller und komplexe Berechtigungskonzepte für Ärzteschaft, Pflege und Verwaltung schaffen Lücken – etwa wenn eine Rolle mehr Daten sieht, als sie sollte.
Erzählen Sie uns von Ihren Systemen, Ihrer Medizintechnik und Ihren Nachweispflichten. Wir planen den Test so, dass die Versorgung stets Vorrang hat.
Vorteile
Wir gehen vor wie ein Angreifer – mit der Vorsicht, die der Betrieb einer Gesundheitseinrichtung verlangt. Am Ende wissen Sie, wo Sie wirklich verwundbar sind und welche Maßnahmen Ihr Haus am schnellsten sicherer machen.
Wir prüfen Netzwerke, Anwendungen, Fernzugänge und das Active Directory auf die Wege, über die Ransomware typischerweise ins Haus kommt.
Kann die Verwaltung Befunde lesen, liefert ein Zuweiserportal fremde Arztbriefe aus oder greift ein Standort auf Daten eines anderen zu? Wir prüfen Rollen und Schnittstellen auf genau solche Lücken.
Jede behobene Schwachstelle ist ein Angriffsweg weniger. Das senkt das Risiko, dass KIS, Labor oder Bildgebung ausfallen und Abläufe auf Papier umgestellt werden müssen.
Bericht und Prüfbescheinigung belegen Ihre Maßnahmen gegenüber Prüfern, Aufsichtsbehörden, Klinikkunden und Versicherern.
Leistungen
Wir kombinieren die Prüfungen, die zu Ihrer Einrichtung passen – vom Kliniknetz bis zur Gesundheits-App.
Externe Angriffsfläche, interne Netze und die Trennung von Verwaltung, Medizintechnik, Gebäudetechnik und Gäste-WLAN.
Fehlkonfigurationen und Angriffspfade im Verzeichnisdienst – häufig der entscheidende Hebel bei Ransomware-Angriffen.
Patienten- und Zuweiserportale, Online-Terminbuchung und webbasierte Fachanwendungen samt Schnittstellen.
Gesundheits-Apps und digitale Gesundheitsanwendungen (DiGA) nach OWASP MASVS – mit Blick auf die Anforderungen der BSI TR-03161.
Vernetzte Medizingeräte, Gebäudeleittechnik und IoT-Komponenten – mit Vorsicht und in Abstimmung mit Medizintechnik und Herstellern.
Offene Stationen, unbeaufsichtigte Arbeitsplätze, Phishing und Anrufe beim Service-Desk – wir prüfen, wie gut Ihre Abläufe schützen.
Compliance
Penetrationstests liefern technische Nachweise für gesetzliche und branchenspezifische Anforderungen. Sie ersetzen weder ein ISMS noch die eigentliche Nachweisprüfung oder Zertifizierung.
Datenschutz & Schweigepflicht
Gesundheitsdaten genießen nach Art. 9 DSGVO besonderen Schutz. Art. 32 verlangt Maßnahmen nach dem Stand der Technik und ein Verfahren, ihre Wirksamkeit regelmäßig zu überprüfen. Berufsgeheimnisträger müssen zudem mitwirkende Dienstleister zur Verschwiegenheit verpflichten.
Krankenhäuser & Praxen
Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr zählen zur Kritischen Infrastruktur und müssen ihre IT-Sicherheit regelmäßig gegenüber dem BSI nachweisen. Unabhängig davon verpflichtet § 391 SGB V alle Krankenhäuser zu Vorkehrungen nach dem Stand der Technik, den der branchenspezifische Sicherheitsstandard B3S konkretisiert. NIS2 erfasst zudem Gesundheitsdienstleister ab mittlerer Unternehmensgröße.
MedTech & Software
Die Medizinprodukte-Verordnung (MDR) verlangt, Software nach dem Stand der Technik einschließlich Informationssicherheit zu entwickeln; MDCG 2019-16 und IEC 81001-5-1 konkretisieren das. Für DiGA ist die BSI TR-03161 maßgeblich.
Die Patientenversorgung hat in jeder Phase Vorrang. Unsere Methodik ist in allen Branchen dieselbe – Zeitfenster und Testtechniken passen wir an den Klinik- und Praxisbetrieb an.
Wir klären Ziele und Rahmenbedingungen. Vertraulichkeit und Verschwiegenheit regeln wir vor Projektbeginn schriftlich.
Gemeinsam legen wir Systeme, Ausschlüsse, Testzeitfenster und Ansprechpersonen fest – patientennahe Systeme kennzeichnen wir gesondert.
Innerhalb von 24 Stunden (an Werktagen) nach dem Scoping erhalten Sie ein Festpreisangebot ohne versteckte Kosten.
Wir testen in abgestimmten Zeitfenstern und gehen mit Patientendaten so sparsam wie möglich um. Kritische Schwachstellen melden wir sofort – noch während des Tests, telefonisch oder per E-Mail an die vereinbarte Ansprechperson.
Management Summary für die Geschäftsführung, technische Details mit CVSS-Bewertung und konkrete Maßnahmen für IT und Medizintechnik. Auf Wunsch besprechen wir die Ergebnisse gemeinsam.
Behobene Schwachstellen testen wir kostenlos nach. Die Prüfbescheinigung können Sie Prüfern, Partnern und Versicherern vorlegen.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Wir planen jeden Test so, dass die Versorgung Vorrang hat. Patientennahe Systeme und Medizingeräte im laufenden Betrieb nehmen wir von aktiven Tests aus oder testen sie nur in Abstimmung mit Medizintechnik und Hersteller, etwa an Ersatzgeräten. Testzeitfenster, Eskalationswege und Abbruchkriterien legen wir vorab gemeinsam fest.
So sparsam wie möglich. Wir weisen Zugriffsmöglichkeiten mit möglichst wenigen Datensätzen nach und schwärzen personenbezogene Inhalte in den Belegen. Vertraulichkeit und Verschwiegenheit vereinbaren wir vor Projektbeginn schriftlich – auf Wunsch einschließlich einer Verschwiegenheitsverpflichtung für Berufsgeheimnisträger nach § 203 StGB.
Ja, mit besonderer Sorgfalt. Wir prüfen Geräte, Schnittstellen und Netzanbindung bevorzugt an Test- oder Ersatzgeräten und analysieren, ob die Medizintechnik ausreichend von Verwaltungs- und Gastnetzen getrennt ist. Das größere Risiko liegt oft nicht im Gerät selbst, sondern in veralteten Betriebssystemen, Standardpasswörtern und offenen Fernwartungszugängen.
Ja, als technischer Baustein. Ein Penetrationstest belegt, ob Ihre Maßnahmen gegen reale Angriffe wirken, und dokumentiert Prüfumfang, Methodik und Befunde nachvollziehbar für Prüfer. Das ISMS und die eigentliche Nachweisprüfung ersetzt er jedoch nicht.
Ja. Auch kleinere Einrichtungen werden Ziel von Ransomware und Phishing, oft über ungesicherte Fernzugänge oder veraltete Systeme. Für Vertragsarztpraxen legt die IT-Sicherheitsrichtlinie der KBV Mindestanforderungen fest. Ein kompakter externer und interner Test zeigt, wo Sie konkret nachbessern sollten.
Wir testen App, Backend und Schnittstellen – nach OWASP MASVS und MASTG für mobile Anwendungen sowie OWASP ASVS für Web und APIs. Dabei berücksichtigen wir die Anforderungen der BSI TR-03161. Unser Bericht unterstützt Ihre technische Dokumentation, ersetzt aber keine Zertifizierung.
Ja. Bei einem Cyberangriff hilft unser Team für Incident Response & Forensik remote und vor Ort, den Vorfall einzudämmen, Spuren zu sichern und die Systeme geordnet wiederherzustellen. Für die Meldepflichten liefern wir die technischen Fakten – etwa für die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO und, sofern Ihre Einrichtung unter NIS2 fällt oder eine kritische Anlage betreibt, an die gemeinsame Meldestelle von BSI und BBK. Außerhalb der Geschäftszeiten erreichen Sie uns über die 24/7-Notfall-Hotline unter +49 2932 465265-0.
Ob Klinikverbund, Praxis, Labor oder MedTech-Unternehmen: Schildern Sie uns Ihre Ausgangslage. Für Ihren Penetrationstest erhalten Sie nach dem Scoping innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot.
This page is also available in English.