Stryker-Cyberangriff und neue KRITIS-Regeln belasten Gesundheitssektor

Ein Hackerangriff auf den Medizintechnik-Konzern Stryker führt zu Lieferengpässen, während verschärfte Sicherheitsgesetze wie NIS-2 und das KRITIS-Dachgesetz den deutschen Gesundheitssektor unter Druck setzen.

Deutsche Krankenhäuser und Medizintechnik stehen unter Druck: Ein globaler Cyberangriff trifft Lieferketten, während neue Gesetze die Sicherheitsanforderungen massiv verschärfen.

Die weltweite Gesundheitsversorgung steckt in einer Zwickmühle. Während ein schwerer Cyberangriff auf den Medizintechnik-Riesen Stryker die Lieferketten für chirurgisches Equipment ins Wanken bringt, treten in Deutschland gleichzeitig verschärfte Sicherheitsgesetze in Kraft. Diese Doppelbelastung offenbart die akute Verwundbarkeit kritischer Infrastrukturen.

Anzeige

Warum 73% der deutschen Unternehmen auf Cyberangriffe nicht vorbereitet sind, zeigt die Brisanz aktueller Bedrohungslagen deutlich. Dieser kostenlose Leitfaden unterstützt Geschäftsführer dabei, die IT-Sicherheit mit einfachen Maßnahmen zu stärken und gesetzliche Anforderungen zu erfüllen. IT-Sicherheit stärken ohne teure neue Mitarbeiter einzustellen

Cyberattacke löscht Zehntausende Firmengeräte

Am 17. März 2026 gab das US-Unternehmen Stryker bekannt, einen massiven Hackerangriff unter Kontrolle gebracht zu haben. Die als „Handala“ bekannte, mutmaßlich mit dem Iran verbundene Gruppe hatte bereits am 11. März Zugriff erlangt. Statt klassischer Erpressungssoftware nutzten die Angreifer gestohlene Zugangsdaten, um Administratorrechte in Strykers Gerätemanagementsystem zu erlangen.

Von dort aus löschten sie rund 80.000 Mitarbeiter-Endgeräte weltweit auf Werkseinstellungen. Stryker betont, dass verbundene Medizinprodukte sicher seien. Doch die Systeme für Bestellung und Versand waren lahmgelegt. Experten schätzen die Kosten für die Wiederherstellung allein auf 22 bis 37 Millionen Euro.

NHS warnt vor Lieferengpässen – Folgen für Patienten

Die operativen Auswirkungen sind bereits spürbar. Am 18. März warnte der britische Gesundheitsdienst NHS offiziell vor Lieferengpässen bei Stryker-Produkten. Kliniken erhielten eine nationale Handlungsanweisung, um die Unterbrechungen bei der Versorgung mit orthopädischen Implantaten und OP-Bedarf zu managen.

Der Vorfall zeigt ein beunruhigendes Szenario: Ein IT-Angriff kann die physische Versorgung mit lebenswichtigem medizinischem Material zum Erliegen bringen und so Patientenbehandlungen verzögern. Die Abhängigkeit von globalen Lieferketten wird so zum Risikofaktor.

Deutschland verschärft das KRITIS-Dachgesetz

Parallel zu den akuten Bedrohungen verschärft die Politik den regulatorischen Rahmen. Seit dem 17. März ist das neue KRITIS-Dachgesetz in Kraft. Es setzt die EU-Richtlinie zur Resilienz kritischer Einrichtungen (CER) um und verpflichtet Betreiber – auch im Gesundheitswesen – zu umfassenden Schutzkonzepten.

Diese müssen Gefahren von Cyberangriffen bis zu physischen Attacken abdecken. Bis zum 17. Juli 2026 müssen sich betroffene Einrichtungen beim Bundesamt für Bevölkerungsschutz (BBK) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Juristen warnen vor doppelten Prüfungen und schärferer Aufsicht durch Behörden.

Anzeige

Angesichts immer professionellerer Hacker-Methoden und neuer Gesetze wie NIS-2 und dem KRITIS-Dachgesetz stehen Unternehmen unter massivem Handlungsdruck. Ein kostenloser Experten-Report enthüllt jetzt effektive Strategien, wie Sie Ihr Unternehmen ohne Budget-Explosion gegen Cyberkriminelle wappnen. Effektive Cyber-Security-Strategien jetzt kostenlos entdecken

Viele Kliniken verpassen NIS-2-Registrierungsfrist

Das neue Gesetz trifft auf einen Sektor, der bereits mit bestehenden Vorgaben kämpft. Der 6. März war Stichtag für die Registrierung nach der NIS-2-Richtlinie. Doch die Bilanz ist verheerend: Von schätzungsweise 29.850 betroffenen Unternehmen in Deutschland meldeten sich nur etwa 11.500 fristgerecht beim BSI an.

Besonders im Gesundheitssektor gab es massive Rückstände. Der Grund ist oft nicht Nachlässigkeit, sondern Überforderung. Vielen Kliniken fehlen die personellen Ressourcen, um komplexe Formalien wie die Beschaffung von ELSTER-Organisationszertifikaten zu bewältigen. Die Versäumnisse sind riskant: NIS-2 sieht persönliche Haftung für Geschäftsführer und Bußgelder von bis zu 500.000 Euro vor.

Angriffsmuster bestätigen regulatorischen Kurs

Die Attacke auf Stryker folgt einem neuen Muster. Angreifer setzen zunehmend auf einfache Methoden wie den Diebstahl von Passwörtern, anstatt aufwändige Sicherheitslücken zu suchen. Sie zielen auf zentrale Verwaltungstools wie Microsoft Intune, um maximalen operativen Schaden anzurichten.

Genau diese Taktik bestätigt den strengen regulatorischen Kurs der EU. Richtlinien wie NIS-2 sollen durch Meldepflichten innerhalb von 24 Stunden und die Verantwortung des Managements eine proaktive Sicherheitskultur erzwingen. Marktbeobachter warnen jedoch vor einer Überlastung mittelständischer Krankenhäuser. Die Lücke zwischen hochgerüsteten Angreifern und bürokratischen Hürden schafft ein gefährliches Einfallstor.

Ausblick: Wettlauf gegen die Zeit

Die Priorität der kommenden Wochen liegt auf der Stabilisierung der Lieferketten nach dem Stryker-Angriff. In Europa wird der regulatorische Druck weiter steigen. Unternehmen, die die NIS-2-Frist verpasst haben, sollten die Registrierung umgehend nachholen.

Gleichzeitig beginnt der Countdown für die KRITIS-Registrierung im Juli. Der Rest des Jahres 2026 wird voraussichtlich einen Boom bei IT-Sicherheitsdienstleistern sehen. Kliniken und Medizintechnikhersteller müssen ihre Verteidigung gleichzeitig gegen eine eskalierende Bedrohungslage und verschärfte Gesetze aufrüsten – ein Wettlauf gegen die Zeit.