Daten von Patientinnen und Patienten unseres Universitätsklinikums wurden gestohlen. Namen, Geburtsdaten, Adressen – und in hunderten Fällen sogar Informationen, aus denen Rückschlüsse auf Diagnose und Behandlungsart möglich sind. Das darf uns als Politik nicht kaltlassen. Und es muss vor allem endlich die Landesregierung aufrütteln.
Denn dieser Vorfall zeigt mit aller Deutlichkeit, dass ich in den zurückliegenden Monaten und Jahren nicht ohne Grund immer wieder gemahnt und das Thema im Saarländischen Landtag adressiert habe: Cybersicherheit im Krankenhaus ist keine abstrakte IT-Frage. Es geht um hochsensible Gesundheitsdaten, um Vertrauen und um die Funktionsfähigkeit unserer medizinischen Versorgung.
Der Angriff auf den Abrechnungsdienstleister Unimed hat bundesweit Kliniken betroffen – darunter auch das Universitätsklinikum des Saarlandes. Gleichzeitig wissen wir aus früheren Antworten der Landesregierung: Cyberangriffe auf saarländische Krankenhäuser sind keine Ausnahmeerscheinung, sondern finden regelmäßig statt. Bisher konnten sie nach Angaben der Kliniken abgewehrt werden. Aber darauf allein darf sich ein Land nicht verlassen.
Die Digitalisierung unserer Krankenhäuser ist richtig und notwendig. Sie kann Abläufe verbessern, medizinisches Personal entlasten, Behandlungen besser vernetzen und die Versorgung moderner machen. Viele saarländische Kliniken sind hier bereits auf dem Weg: Telemedizin, digitale Patientenpfade, Patientenportale, KI-Anwendungen, digitale Pflege- und Behandlungsdokumentation oder auch Projekte zur IT-Sicherheit gehören längst zur Realität.
Aber Digitalisierung hat eine zwingende Voraussetzung: Sie muss sicher sein.
Gerade der aktuelle Fall zeigt: Cybersicherheit endet nicht an der Kliniktür. Auch externe Dienstleister, Abrechnungsprozesse und gemeinsame Datenverarbeitung können zur Schwachstelle werden. Wer krank ist, muss sich darauf verlassen können, dass seine Daten geschützt werden – im Krankenhaus selbst, aber auch überall dort, wo Dienstleister im Auftrag des Krankenhauses mit diesen Daten arbeiten.
Die Landesregierung hat in ihren bisherigen Antworten auf meine parlamentarischen Anfragen vor allem auf die Eigenverantwortung der Krankenhausträger, bundesrechtliche Zuständigkeiten, das BSI, KRITIS-Vorgaben und Förderprogramme verwiesen. Sie betont außerdem, dass sie keine Fachaufsicht und keine Weisungsbefugnis gegenüber den Krankenhäusern habe.
Das mag rechtlich in Teilen zutreffen. Aber es beantwortet nicht die politische Kernfrage.
Niemand verlangt, dass das Land die IT-Abteilung jedes Krankenhauses ersetzt. Das Land soll nicht jeden Server administrieren und nicht jede Softwareentscheidung treffen.
Aber das Land muss wissen, wo Risiken liegen!
Es muss wissen, welche externen Dienstleister für mehrere Krankenhäuser systemrelevant sind. Es muss klare Meldewege, ein Lagebild, Frühwarnstrukturen und Notfallkonzepte geben. Und es muss eine koordinierende Stelle geben, die Gesundheitsministerium, Innenministerium, Sicherheitsbehörden, Datenschutz, Krankenhäuser und Dienstleister zusammenführt.
Gerade die bisherigen Antworten der Landesregierung zeigen diese Lücke. Einerseits verweist sie auf zahlreiche Digitalisierungsprojekte in den Kliniken. Andererseits erklärt sie, zu vielen Detailfragen regelhaft keine Informationen zu haben und sieht eine zentrale Kompetenzstelle für Cybersicherheit und Digitalisierung im Gesundheitswesen bislang nicht vor.
Das ist zu wenig.
Deshalb habe ich eine neue Parlamentarische Anfrage gestellt. Ich will wissen, welche Konsequenzen die Landesregierung aus dem Unimed-Vorfall zieht. Ich will wissen, ob sie ein aktuelles Lagebild zur Cybersicherheit saarländischer Krankenhäuser hat. Ich will wissen, ob sie systemrelevante externe Dienstleister kennt. Und ich will wissen, ob sie nun bereit ist, einen landesweiten Rahmenplan, einen Frühwarn- und Meldeverbund sowie eine zentrale Kompetenzstruktur ernsthaft zu prüfen.
Andere Bundesländer zeigen, dass mehr möglich ist. Baden-Württemberg setzt auf eine strukturierte Zusammenarbeit von Krankenhäusern, Gesundheitsressort, Innenressort und Sicherheitsbehörden. Dort werden Cyberangriffe und IT-Ausfälle im Rahmen klinikübergreifender Sicherheitsstrukturen und der Krankenhausalarm- und Einsatzplanung mitgedacht. Genau solche Ansätze sollten auch im Saarland ernsthaft geprüft werden.
Dabei geht es mir ausdrücklich nicht darum, unsere Krankenhäuser an den Pranger zu stellen. Im Gegenteil: Unsere Kliniken stehen unter großem Druck. Sie kämpfen mit Fachkräftemangel, wirtschaftlichen Problemen, steigenden Anforderungen und einer immer komplexeren Versorgung. Viele Häuser treiben Digitalisierung und IT-Sicherheit bereits voran. Gerade deshalb dürfen wir sie bei der digitalen Sicherheit nicht alleinlassen.
Cybersicherheit im Krankenhaus ist Teil moderner Daseinsvorsorge. Wer Krankenhausversorgung plant und Digitalisierung fördert, muss auch die digitale Resilienz im Blick haben. Förderprogramme sind wichtig. Bundesrechtliche Vorgaben sind wichtig. Aber sie ersetzen keine landesweite Koordination.
Das Saarland braucht keine neue Bürokratie um ihrer selbst willen. Aber es braucht klare Strukturen: ein Lagebild, verlässliche Meldewege, einen Frühwarnverbund, Notfallübungen, einen Rahmenplan und eine bessere Koordination zwischen Gesundheitsministerium, Innenministerium, Sicherheitsbehörden, Krankenhäusern und externen Dienstleistern.
Kurz gesagt: Das Land muss nicht die IT-Abteilung jedes Krankenhauses ersetzen. Aber es muss wissen, wo Risiken liegen, wie Kliniken im Ernstfall handlungsfähig bleiben und wie sensible Patientendaten bestmöglich geschützt werden.
Patientendaten dürfen nicht erst dann zum Thema werden, wenn sie bereits gestohlen wurden. Cybersicherheit muss vorher beginnen.












