Microsoft 365 im Krankenhaus: § 391 SGB V, B3S und NIS2 praktisch umgesetzt

Microsoft 365 ist im Krankenhaus selten das klinische Kernsystem. Aber es ist das System, über das Befunde gemailt, Dienstpläne geteilt, Besprechungen geführt und Dokumente abgelegt werden. Damit verarbeitet es Gesundheitsdaten, und ein Ausfall oder eine Kompromittierung trifft den Betrieb unmittelbar. Die Regulierung hat das inzwischen eingeholt.

Dieser Artikel gibt den Stand Oktober 2026 wieder und stützt sich auf die Gesetzestexte, den branchenspezifischen Sicherheitsstandard der Deutschen Krankenhausgesellschaft und die Microsoft-Dokumentation. Er ersetzt keine Rechtsberatung. Die Einordnung Ihres Hauses sollten Sie mit Ihrer Rechtsabteilung oder Rechtsberatung klären.

Der Rechtsrahmen im Überblick

Die Vorschrift zur IT-Sicherheit in Krankenhäusern stand früher in § 75c SGB V und wurde mit dem Digital-Gesetz 2024 nach § 391 verschoben. Ihr Verweis auf das BSI-Gesetz ist inzwischen an die neue Paragrafenfolge nach dem NIS2-Umsetzungsgesetz angepasst.

Welche Kategorie trifft Ihr Haus?

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, eine Übergangsfrist für die Pflichten gibt es nicht. Krankenhäuser fallen als Erbringer von Gesundheitsdienstleistungen unter Anlage 1 des BSIG. Die Einordnung richtet sich nach § 28 BSIG:

• Besonders wichtige Einrichtung: Betreiber kritischer Anlagen, unabhängig von der Grösse. Für Krankenhäuser lag die Schwelle bisher bei 30 000 vollstationären Behandlungsfällen im Jahr. Ausserdem Einrichtungen mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme.
• Wichtige Einrichtung: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme.

Nach unserem Verständnis gelten für Häuser, die NIS2-Einrichtung, aber nicht Betreiber einer kritischen Anlage sind, § 391 SGB V und § 30 BSIG nebeneinander. Inhaltlich überschneiden sie sich weitgehend, sodass ein Massnahmenkatalog beide abdecken kann. Die Registrierung beim BSI ist nach § 33 BSIG binnen drei Monaten fällig. Betreiber kritischer Anlagen registrieren sich nach dem KRITIS-Dachgesetz. Wer noch nicht registriert ist, sollte das umgehend nachholen.

Microsoft 365 ist Cloud-Verarbeitung nach § 393 SGB V

Sobald Gesundheitsdaten in Exchange Online, Teams oder OneDrive liegen, und das tun sie spätestens mit der ersten Mail mit Befund, ist § 393 SGB V berührt. Für die Praxis heisst das:

• Testat: Seit dem 1. Juli 2025 ist ein aktuelles C5-Testat Typ 2 erforderlich. Microsoft stellt für Microsoft 365 einen C5-Typ-2-Bericht im Service Trust Portal bereit. Laden Sie ihn herunter und legen Sie ihn mit Datum in Ihre Nachweisdokumentation.
• Kundenkriterien: § 393 verlangt ausdrücklich, dass die Kriterien aus dem Prüfbericht umgesetzt sind, die sich an den Kunden richten. Das ist der Teil, der häufig übersehen wird. Ein C5-Testat des Anbieters bescheinigt dessen Seite. Identitäten, Berechtigungen, MFA, Protokollierung und Konfiguration bleiben Ihre Aufgabe und müssen nachweisbar umgesetzt sein.
• Datenstandort: Prüfen und dokumentieren Sie den Speicherort Ihres Tenants und die Bedingungen der EU Data Boundary.
• Drittprodukte: Dieselben Anforderungen gelten für jeden weiteren Cloud-Dienst, der Gesundheitsdaten verarbeitet. Ein Mail-Gateway mit Archiv, ein Verschlüsselungsportal und ein Cloud-Backup speichern Mailinhalte. Fragen Sie jeden Anbieter nach seinem aktuellen C5-Testat Typ 2 oder einem gleichwertigen Nachweis, und zwar vor der Beauftragung.

§ 30 BSIG übersetzt in Microsoft-365-Massnahmen

§ 30 Abs. 2 BSIG nennt zehn Bereiche, die Risikomanagementmassnahmen mindestens umfassen müssen. So sieht das für einen Microsoft-365-Tenant aus:

Wie Sie Conditional Access einführen, ohne sich auszusperren, beschreibt ein eigener Artikel. Welche Punkte des CIS-Benchmarks in der Praxis haken, steht im Artikel CIS-Benchmark Microsoft 365.

Was der B3S für Microsoft 365 konkret verlangt

Der B3S «Medizinische Versorgung» richtet sich ausdrücklich nicht nur an KRITIS-Häuser und wird von § 391 SGB V als Umsetzungsweg vorgesehen. Einige Anforderungen sind für Microsoft 365 besonders relevant:

• Auslagerung (ANF-0097.1): Bei der Auslagerung wesentlicher Bereiche an Dienstleister darf das Sicherheitsniveau nicht sinken. Das gilt für Microsoft ebenso wie für den Dienstleister, der den Tenant betreibt, und muss vertraglich und organisatorisch abgesichert sein.
• Datensicherungskonzept (ANF-0133): Mit Mindestinhalten wie zu sichernden Daten, Häufigkeit, Generationen, Verschlüsselung, Verantwortlichkeiten, Aufbewahrung und regelmässiger Prüfung der Wiederherstellbarkeit.
• Schutz der Sicherungen (ANF-0134, ANF-0136): Sicherungen mit Gesundheitsdaten müssen gegen unbefugten Zugriff geschützt und vom Zugriff des Quellsystems getrennt sein. Eine Sicherung, die mit demselben Administratorkonto gelöscht werden kann wie der Tenant, erfüllt das nicht.
• Restore-Tests (ANF-0135): Regelmässig und dokumentiert.
• Trennung der Arbeitskontexte (ANF-0140): Systemadministration und normale IT-Nutzung mit E-Mail und Internet sind zu trennen. In Microsoft 365 bedeutet das eigene Administratorkonten ohne Postfach und ohne Alltagsnutzung.

Warum Aufbewahrungsrichtlinien und Papierkörbe die Anforderungen an die Datensicherung nicht erfüllen, erklärt der Artikel Aufbewahrung ist kein Backup.

Meldepflichten: vorbereitet sein, bevor es passiert

Ein erheblicher Sicherheitsvorfall ist nach § 32 BSIG in Stufen zu melden: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Parallel läuft bei Datenschutzverletzungen die Frist nach Art. 33 DSGVO. Typische Microsoft-365-Szenarien sind übernommene Konten, die Phishing an Zuweiser versenden, Weiterleitungsregeln, die Patientenpost abgreifen, oder verschlüsselte OneDrive-Inhalte.

Innerhalb von 24 Stunden belastbare Fakten zu liefern, gelingt nur, wenn die Daten vorhanden sind. Das Audit-Protokoll von Microsoft Purview bewahrt Einträge in der Standardausprägung 180 Tage auf, längere Aufbewahrung setzt passende Lizenzen voraus. Prüfen Sie, ob die Protokollierung aktiv ist und ob ein Export in ein eigenes System eingerichtet ist:

Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
# Weiterleitungen an externe Adressen finden, ein Klassiker nach Kontoübernahmen
Get-Mailbox -ResultSize Unlimited |
  Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } |
  Select-Object DisplayName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward

Geschäftsleitung: nicht delegierbar

§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmassnahmen umzusetzen und ihre Umsetzung zu überwachen. Bei schuldhafter Verletzung haftet sie gegenüber der Einrichtung. Geschäftsleitungen müssen zudem regelmässig an Schulungen teilnehmen. Für Microsoft 365 bedeutet das: Die Geschäftsführung braucht einen verständlichen, regelmässigen Bericht zum Stand des Tenants, mit offenen Punkten, Entscheidungen und Fristen. Ein Secure-Score-Wert allein reicht dafür nicht.

Fahrplan in sieben Schritten

1. Einordnen: Einrichtungskategorie bestimmen, Registrierung prüfen, Verhältnis von § 391 SGB V und BSIG für Ihr Haus klären.
2. Bestand aufnehmen: Tenant-Konfiguration, Administratorrollen, Drittanwendungen, Datenflüsse mit Gesundheitsdaten.
3. Cloud-Nachweise sammeln: C5-Berichte von Microsoft und allen weiteren Cloud-Diensten, AVV, Unterauftragsverarbeiter, Datenstandorte.
4. Lücken bewerten: Abgleich mit § 30 BSIG, B3S und den Kundenkriterien aus den C5-Berichten, priorisiert nach Risiko.
5. Umsetzen: zuerst Identitäten und MFA, Trennung der Administratorkonten, Datensicherung ausserhalb des Tenants, Protokollierung und Mail-Sicherheit.
6. Nachweisen: Konzepte, Konfigurationsexporte, Testprotokolle, Schulungsnachweise.
7. Betreiben: regelmässige Wirksamkeitsprüfung, Bericht an die Geschäftsleitung, Anpassung an Änderungen bei Microsoft. Wie ein jährlicher Prüfzyklus aussieht, steht im Artikel Jährliche Compliance-Prüfung für Microsoft 365.

Fazit

Für Microsoft 365 im Krankenhaus gibt es keinen eigenen Paragrafen, aber ein klares Zusammenspiel: § 391 SGB V und § 30 BSIG verlangen Massnahmen nach dem Stand der Technik, § 393 SGB V regelt die Cloud-Verarbeitung von Gesundheitsdaten, der B3S liefert die konkreten Anforderungen. Wer den Tenant nach diesem Raster aufnimmt, die Kundenkriterien aus den C5-Berichten ernst nimmt und Datensicherung, Identitäten und Meldewege vorbereitet, kann seine Pflichten belegen statt sie zu behaupten. Wie wir Krankenhäuser und andere Einrichtungen dabei unterstützen, beschreibt unsere Seite Microsoft 365 im Gesundheitswesen.

Nils Lappenbusch

Founder & Technology Architect, Lappenbusch

Schreibt hier über Probleme, die in echten Projekten auftreten: Microsoft 365, Security, Automatisierung und digitale Systeme. Hängen Sie gerade an genau diesem Thema? Dann lösen wir es gemeinsam, von der Diagnose bis zur Umsetzung. Microsoft-365-Mandate übernehmen wir derzeit nur in Deutschland.

Kontakt aufnehmen