Krankenhaus & Gesundheitswesen
Microsoft 365 im Krankenhaus: sicher betrieben, prüfbar dokumentiert.
Krankenhäuser und Klinikverbünde arbeiten mit Exchange Online, Teams und OneDrive, während die Versorgung rund um die Uhr läuft. Wir sichern Microsoft 365 für dieses Umfeld ab und betreiben es: Mail-Schutz, Verschlüsselung, Archiv und Backup, abgestimmt auf § 391 SGB V, den B3S für Krankenhäuser, die NIS2-Umsetzung, die DSGVO und Ihre Dienst- oder Betriebsvereinbarung. Die Technik kommt von etablierten Herstellern. Wir übernehmen die Verantwortung dafür, dass sie richtig eingerichtet ist und bleibt.
Microsoft 365: derzeit nur in Deutschland. Leistungen rund um Microsoft 365 (Beratung, Migration, Betrieb, Security und Workshops) bieten wir derzeit ausschliesslich für Organisationen in Deutschland an. In der Schweiz übernehmen wir keine Microsoft-365-Mandate. Für Schweizer Kunden: Software & KI, Infrastruktur und Projekt-Recovery.
Typische Ausgangslagen
Was in Kliniken anders ist als im Büro
Microsoft 365 im Krankenhaus ist technisch derselbe Dienst wie überall. Die Rahmenbedingungen sind es nicht: Schichtbetrieb, mehrere Häuser, besonders schützenswerte Daten und ein hoher Druck durch Angriffe.
«Unser Mail-Gateway läuft aus, das Backup auch. Wir wollen beides nicht mehr selbst betreiben.»
Lokale Gateways und selbst betriebene Backup-Server binden Personal, das in der Klinik-IT an anderer Stelle fehlt.«Auf einer Station teilen sich zwanzig Leute drei Rechner.»
Gemeinsam genutzte Geräte, wechselnde Schichten und Anmeldungen, die schnell gehen müssen, ohne die Sicherheit zu untergraben.«Die Phishing-Mails werden jede Woche besser.»
Gefälschte Zuweiser, Lieferanten und Kostenträger. Eine einzige geöffnete Anlage kann die Versorgung an mehreren Standorten treffen.«Wir haben drei Häuser und gefühlt drei verschiedene IT-Landschaften.»
Zusammengewachsene Verbünde mit eigenen Domains, Postfachstrukturen und Gewohnheiten pro Standort.«Die Prüfung nach § 391 steht an, und keiner weiss genau, was für Microsoft 365 gilt.»
Der B3S verlangt Nachweise. Für Cloud-Dienste fehlt oft die Zuordnung, welche Massnahme wo umgesetzt ist.«Ohne die Mitarbeitervertretung geht nichts, und das ist auch richtig so.»
Jede neue Funktion in Teams oder Exchange wirft Fragen zur Leistungs- und Verhaltenskontrolle auf, die vor dem Start beantwortet sein müssen.Rechtsrahmen
Welche Vorgaben für Microsoft 365 im Krankenhaus gelten
Wir sind keine Kanzlei und ersetzen weder Ihren Informationssicherheitsbeauftragten noch den Datenschutz. Wir kennen aber die Vorgaben, aus denen sich die Anforderungen an Microsoft 365 ergeben, und übersetzen sie in Konfiguration und Nachweise.
§ 391 SGB V
Seit dem Digital-Gesetz 2024 regelt § 391 SGB V die IT-Sicherheit in Krankenhäusern, als Nachfolger des § 75c. Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen für Verfügbarkeit, Integrität und Vertraulichkeit treffen, einschliesslich verpflichtender Massnahmen zur Sensibilisierung der Beschäftigten.
B3S Krankenhaus
Der branchenspezifische Sicherheitsstandard «Gesundheitsversorgung im Krankenhaus» der Deutschen Krankenhausgesellschaft ist der übliche Weg, die Pflichten aus § 391 zu erfüllen. Das BSI hat seine Eignung festgestellt, massgeblich ist die jeweils gültige Fassung. Wir ordnen die Microsoft-365-Massnahmen den Anforderungen des B3S zu.
KRITIS-Schwelle
Als kritische Anlage gilt ein Krankenhaus nach der BSI-Kritisverordnung ab 30.000 vollstationären Fällen pro Jahr. Massgeblich ist die Fallzahl je Standort. Diese Häuser treffen ihre Vorkehrungen nach dem BSI-Gesetz und sind deshalb nach § 391 Absatz 5 SGB V von § 391 ausgenommen. Weniger zu tun haben sie dadurch nicht.
NIS2-Umsetzung
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Viele Krankenhäuser fallen über Beschäftigtenzahl oder Umsatz als wichtige oder besonders wichtige Einrichtung unter das neue BSI-Gesetz, mit Registrierung beim BSI, Risikomanagement, Meldepflichten bei erheblichen Sicherheitsvorfällen und Schulungspflicht für die Geschäftsleitung. Ob und wie Ihr Haus betroffen ist, prüfen Sie im Einzelfall.
DSGVO & Schweigepflicht
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dazu kommen Art. 28 für die Auftragsverarbeitung, Art. 32 für die technischen und organisatorischen Massnahmen und § 203 StGB: Dienstleister, die mit Patientendaten in Berührung kommen können, sind zur Verschwiegenheit zu verpflichten.
Landes- und Kirchenrecht
Landeskrankenhausgesetze können eigene Vorgaben zur Verarbeitung von Patientendaten machen, auch zur Auftragsverarbeitung. Für Häuser in kirchlicher Trägerschaft gilt kirchliches Datenschutzrecht wie das KDG bzw. das DSG-EKD. Wir klären mit Ihrem Datenschutz, welches Recht greift, bevor die Architektur steht.
Mitbestimmung
Betriebsrat, Personalrat oder Mitarbeitervertretung von Anfang an
Microsoft 365 ist eine technische Einrichtung, mit der sich Verhalten und Leistung auswerten liessen. Je nach Träger bestimmt deshalb der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG, der Personalrat nach dem jeweiligen Personalvertretungsgesetz oder die Mitarbeitervertretung nach MAVO bzw. MVG-EKD mit.
Wir bereiten Änderungen so auf, dass die Gremien entscheiden können: welche Daten entstehen, wer sie sehen kann, was sich abschalten oder einschränken lässt. Die Ergebnisse setzen wir in der Konfiguration um und zeigen im Test, dass sie greifen. So wird die Dienstvereinbarung zu einer Einstellung, die sich prüfen lässt.
Wie wir mitbestimmungsrelevante Changes aufbereiten, beschreiben wir im Artikel Microsoft-365-Changes mit dem Betriebsrat klären.
Typische Regelungspunkte
- Anwesenheitsstatus, Lesebestätigungen und Aktivitätsberichte in Teams und Exchange
- Zugriff auf Mail-Quarantäne, Archiv und Backup nur mit Auftrag und im Vier-Augen-Prinzip
- Ausnahmen für Mitarbeitervertretung, Betriebsarzt, Seelsorge und Schwerbehindertenvertretung
- Auswertungen von Protokollen nur anlassbezogen und dokumentiert
- Umgang mit neuen Funktionen, die Microsoft laufend einführt
Praxisthemen
Worauf es im Klinikalltag ankommt
Die meisten Sicherheitsprobleme in Kliniken entstehen nicht durch fehlende Produkte, sondern dort, wo der Alltag und die Konfiguration nicht zusammenpassen.
Mehrere Häuser, ein Tenant
Standorte mit eigenen Domains und Postfachstrukturen in einem Tenant zusammenführen oder sauber nebeneinander betreiben. Delegierte Administration pro Haus, etwa über Administrative Units, mit gemeinsamen Sicherheitsrichtlinien für alle.
Schichtbetrieb & geteilte Geräte
Stationsrechner und mobile Geräte, die sich mehrere Personen teilen: schnelle Anmeldung, saubere Abmeldung, keine fremden Postfächer im Cache. Mit Intune, gemeinsam genutzten Gerätemodi und Anmeldeverfahren, die zu Handschuhen und Zeitdruck passen.
Anmeldung ohne Hintertür
Phishing-resistente Mehrfaktor-Anmeldung mit FIDO2-Schlüsseln oder Passkeys für Administratoren und gefährdete Rollen, Conditional Access nach Gerät und Standort und Notfallkonten, die wirklich nur im Notfall genutzt werden.
Phishing-Druck
Mail-Filter mit Sandbox und Prüfung von Links zum Zeitpunkt des Klicks, SPF, DKIM und DMARC bis zur Ablehnung gefälschter Absender, Warnhinweise bei externen Mails und regelmässige Sensibilisierung, wie § 391 Absatz 2 sie verlangt.
Verschlüsselte Mail an Patienten und Zuweiser
Transportverschlüsselung als Mindeststandard, S/MIME oder PGP, wo die Gegenseite es kann, und für alle anderen ein gesicherter Abruf über ein Webportal. Automatisch nach Regeln, damit niemand im Stationsalltag an die Verschlüsselung denken muss.
Fachanwendungen, die Mails senden
KIS, Labor, Radiologie und Dienstplanung versenden Mails oft selbst per SMTP. Wir inventarisieren diese Absender, führen sie über einen definierten, authentifizierten Weg und sorgen dafür, dass sie in Archiv und Mail-Schutz nicht fehlen.
Abgrenzung zu KIM
KIM bleibt KIM. Microsoft 365 ersetzt es nicht.
KIM, die Kommunikation im Medizinwesen, ist der Dienst der Telematikinfrastruktur der gematik für den sicheren Austausch zwischen Leistungserbringern, etwa für eArztbriefe. Er läuft über eigene KIM-Adressen und die Anbindung an die Telematikinfrastruktur. Eine verschlüsselte Mail aus Exchange Online ist dafür kein Ersatz, und wir verkaufen sie auch nicht so.
Über KIM
- Kommunikation, für die KIM vorgesehen oder vorgeschrieben ist
- Austausch mit Praxen und anderen Einrichtungen innerhalb der Telematikinfrastruktur
- Betrieb mit Ihrem KIM-Anbieter und Ihrem TI-Dienstleister
Über Microsoft 365
- allgemeine Korrespondenz mit Patientinnen und Patienten, Angehörigen und Zuweisern ausserhalb der TI
- Verwaltung, Einkauf, Personal und Zusammenarbeit im Haus
- verschlüsselt, gefiltert, archiviert und gesichert nach einem gemeinsamen Konzept
Wo sich beide Welten berühren, etwa bei Weiterleitungen, Postfachregeln oder Fachanwendungen, die in beide Richtungen senden, legen wir die Wege gemeinsam mit Ihrem TI-Dienstleister fest, damit nichts versehentlich über den falschen Kanal läuft.
Notfallbetrieb & Wiederherstellung
Wenn es passiert, muss der Plan schon da sein
Ein Angriff auf ein Krankenhaus ist kein IT-Problem, sondern ein Versorgungsproblem. Für Microsoft 365 heisst das: Kommunikation muss weiterlaufen, Daten müssen zurückkommen, Meldewege müssen bekannt sein.
Mail trotz Ausfall
Ein Continuity-Dienst, wie ihn etwa Hornetsecurity 365 Total Protection ab Plan 2 enthält, hält Mails bei einer Störung von Exchange Online vor und hält sie für die Mitarbeitenden weiter zugänglich, damit die Kommunikation nicht abreisst.
Backup ausserhalb des Tenants
Postfächer, OneDrive, SharePoint und Teams-Chats in einer Sicherung, die ein kompromittierter Administrator nicht löschen kann. Mit geübter Wiederherstellung ganzer Bereiche.
Notfallzugänge
Notfallkonten mit FIDO2-Schlüsseln, ausgenommen von den Richtlinien, die sie selbst aussperren könnten, und überwacht bei jeder Anmeldung. Hinterlegt und dokumentiert, nicht im Kopf einer Person.
Notfallhandbuch offline
Runbooks für Kontoübernahme, Ransomware und Ausfall des Mailflusses, ausgedruckt bzw. ausserhalb von Microsoft 365 verfügbar. Mit Ansprechpartnern, Entscheidungsbefugnissen und Rückweg.
Meldefristen kennen
Für Einrichtungen unter dem BSI-Gesetz gelten bei erheblichen Sicherheitsvorfällen gestufte Meldungen, beginnend mit einer frühen Erstmeldung innerhalb von 24 Stunden. Wir liefern die technischen Fakten, die dafür gebraucht werden, schnell und belegt.
Üben statt hoffen
Restore-Tests nach Plan und Übungen mit dem Notfallhandbuch. Was dabei nicht funktioniert, wird behoben, bevor es ernst wird.
24/7 ehrlich formuliert
Was rund um die Uhr läuft, und was nach SLA reagiert
Ausschreibungen verlangen oft einen Betrieb rund um die Uhr. Wir sagen genau, was dahintersteht. Die Schutz- und Sicherungsplattformen arbeiten ohne Unterbrechung, Überwachung und Alarmierung laufen automatisch. Menschen reagieren in den vereinbarten Servicezeiten, mit Reaktionszeiten nach Priorität.
Eine eigene, ständig besetzte Leitstelle betreiben wir nicht. Wo ein Haus eine Rufbereitschaft ausserhalb der Servicezeiten braucht, vereinbaren wir sie ausdrücklich und mit klarer Eskalation, statt sie im Kleingedruckten zu versprechen. Für Störungen der Plattformen selbst gilt zusätzlich der Herstellersupport.
Läuft automatisch
- Filterung, Sandbox und Verschlüsselung aller Mails
- Archivierung beim Ein- und Ausgang
- Sicherungsläufe mehrmals täglich
- Alarmierung bei Fehlern und Auffälligkeiten
Reagiert nach SLA
- Störungen, Quarantäne- und Freigabeanfragen
- Restore-Anfragen und Exporte
- Changes, Updates und neue Microsoft-Funktionen
- Berichte, Restore-Tests und Abstimmungen
Verträge & Ausschreibung
Unterlagen, die einer Vergabe standhalten
Öffentliche und kirchliche Träger vergeben Microsoft-365-Sicherheit häufig über Ausschreibungen. Wir beantworten Leistungsverzeichnisse vollständig und benennen offen, wo eine Anforderung nicht oder nur teilweise erfüllt wird.
Auftragsverarbeitung
Auftragsverarbeitungsverträge mit uns und mit den eingesetzten Herstellern, Liste der Unterauftragnehmer, Speicherorte in der EU und Verpflichtung auf die Verschwiegenheit nach § 203 StGB. Abgestimmt mit Ihrem Datenschutz, bevor Daten fliessen.
Leistungsverzeichnis
Jede Position des Leistungsverzeichnisses mit Antwort, Umsetzung und Abgrenzung. Was der Hersteller liefert, was wir leisten und was beim Auftraggeber bleibt, steht getrennt da.
SLA, das sich messen lässt
Servicezeiten, Reaktionszeiten je Priorität, Eskalationswege und Berichte. Plattformverfügbarkeit des Herstellers und unsere Reaktion sind getrennt ausgewiesen, damit niemand Äpfel mit Birnen vergleicht.
Eignungsnachweise
Nils Lappenbusch ist Microsoft Certified Trainer, Microsoft 365 Enterprise Administrator Expert und Messaging Administrator Associate. Weitere Nachweise reichen wir so ein, wie die Vergabeunterlagen sie verlangen.
Lizenzen & Hersteller
Herstellerneutrale Auswahl gegen Ihren Anforderungskatalog. Ob Lizenzen im Managed Service beigestellt oder direkt bezogen werden, regeln wir im Angebot transparent.
Übergang & Exit
Ablösung bestehender Lösungen wie Mail-Gateway oder Backup-Software ohne Lücke, mit Plan für Altdaten. Und ein geregelter Ausstieg am Vertragsende, mit Export und dokumentierter Löschung.
Leistungen
Die Bausteine im Einzelnen
Jeder Baustein ist einzeln beauftragbar. Zusammen ergeben sie einen Microsoft-365-Betrieb, der zu den Anforderungen eines Krankenhauses passt.
M365-Security als Managed Service
Schutz für Exchange Online, Teams und OneDrive als laufender Betrieb, mit SLA und Berichten.
Mehr erfahrenMail-Security
Filter, Sandbox, Absenderauthentifizierung und die Ablösung lokaler Mail-Gateways.
Mehr erfahrenE-Mail-Verschlüsselung
Automatisch nach Regeln, mit S/MIME, PGP und gesichertem Abruf für Empfänger ohne Zertifikat.
Mehr erfahrenMicrosoft-365-Backup
Sicherung von Postfächern, OneDrive, SharePoint und Teams, mit Restore-Tests und Ablösung von Veeam.
Mehr erfahrenE-Mail-Archivierung
Revisionssicheres Archiv mit Fristen, Vier-Augen-Zugriff und Regeln aus der Dienstvereinbarung.
Mehr erfahrenSecurity-Assessment & Härtung
Den Tenant gegen CIS-Benchmark und B3S-Anforderungen prüfen und die Härtung kontrolliert umsetzen.
Mehr erfahrenFAQ
Häufige Fragen zu Microsoft 365 im Krankenhaus
Dürfen Krankenhäuser Microsoft 365 überhaupt nutzen?
Das hängt vom Einsatzzweck, vom anwendbaren Landes- oder Kirchenrecht und von der Ausgestaltung ab, und es entscheidet Ihr Datenschutz. Viele Häuser setzen Microsoft 365 für Verwaltung, Kommunikation und Zusammenarbeit ein, während die Behandlungsdokumentation im KIS bleibt. Wir liefern die technischen Grundlagen für die Bewertung: Speicherorte, Verträge, Zugriffswege und Schutzmassnahmen.
Ersetzt eine verschlüsselte Mail aus Exchange Online den KIM-Dienst?
Nein. KIM ist der Kommunikationsdienst der Telematikinfrastruktur für den Austausch zwischen Leistungserbringern und bleibt dafür bestehen. Microsoft 365 mit Mail-Verschlüsselung deckt die Kommunikation ausserhalb der Telematikinfrastruktur ab, etwa mit Patientinnen und Patienten, Angehörigen, Lieferanten oder Zuweisern ohne KIM-Anbindung.
Hilft uns das bei der Prüfung nach § 391 SGB V bzw. dem B3S?
Für den Microsoft-365-Teil ja. Wir ordnen die umgesetzten Massnahmen den Anforderungen des B3S zu und liefern Nachweise, die aus der Konfiguration, den Berichten und den Restore-Tests stammen. Die Gesamtverantwortung für das Informationssicherheitsmanagement und die Prüfung bleibt bei Ihrem Haus.
Was heisst bei Ihnen 24/7?
Schutz-, Archiv- und Sicherungsplattformen laufen rund um die Uhr, Überwachung und Alarmierung automatisch. Menschen reagieren in den vereinbarten Servicezeiten mit Reaktionszeiten nach Priorität. Eine Rufbereitschaft ausserhalb dieser Zeiten vereinbaren wir ausdrücklich, wenn sie gebraucht wird. Eine eigene, ständig besetzte Leitstelle haben wir nicht.
Wie gehen Sie mit der Mitarbeitervertretung um?
Wir bereiten jede mitbestimmungsrelevante Änderung so auf, dass Betriebsrat, Personalrat oder Mitarbeitervertretung entscheiden können, nehmen auf Wunsch an Abstimmungen teil und setzen die Ergebnisse in der Konfiguration nachweisbar um. Zugriffe auf fremde Mails, Archiv- oder Backup-Daten erfolgen nur mit dokumentiertem Auftrag.
Arbeiten Sie auch für Einrichtungen in Deutschland und bei öffentlichen Vergaben?
Ja. Microsoft-365- und Exchange-Leistungen erbringen wir derzeit ausschliesslich für Auftraggeber in Deutschland, remote und vor Ort, auch an mehreren Standorten eines Verbunds. Anforderungen aus Leistungsverzeichnissen bilden wir im Angebot Punkt für Punkt ab, und wo eine Anforderung nicht oder nur teilweise erfüllt wird, sagen wir das offen.
Steht in Ihrem Haus ein Microsoft-365-Sicherheitsprojekt oder eine Ausschreibung an?
In 30 Minuten klären wir Ausgangslage, Rechtsrahmen, Mitbestimmung und Zeitplan. Sie erhalten eine ehrliche Einschätzung, was wir übernehmen können und was besser bei Ihrem Team oder einem anderen Partner bleibt.