Ausgangssituation
Ein regionaler Gesundheitsverbund mit sechs Kliniken, drei Rehabilitationszentren und rund 4.800 Mitarbeitenden stand vor einem wachsenden Insider-Risiko. Zum Verbund gehörten mehrere Standorte mit zentralem IT-Betrieb, einem gemeinsamen Patientenportal und einer heterogenen Anwendungslandschaft aus klinischen Informationssystemen, Labor- und Abrechnungssystemen. Die Organisation verarbeitete täglich hochsensible Gesundheitsdaten, unterlag strengen Compliance-Anforderungen und war auf einen durchgängigen Betrieb angewiesen.
Auslöser für das Projekt waren mehrere Vorfälle innerhalb von neun Monaten: ein unberechtigter Zugriff auf Patientendaten durch einen Mitarbeitenden aus dem Verwaltungsbereich, das unsachgemäße Weiterleiten interner Dokumente per privater E-Mail und ein Fall, in dem Zugriffsrechte nach einem Rollenwechsel nicht zeitnah entzogen wurden. Diese Ereignisse führten nicht nur zu erhöhtem Prüfaufwand, sondern auch zu Unsicherheit in den Fachbereichen. Die IT-Sicherheitsverantwortlichen sahen, dass klassische perimeterbasierte Kontrollen allein nicht ausreichten, um menschlich verursachte Risiken systematisch zu erkennen und zu reduzieren. Ziel war daher der Aufbau eines praxistauglichen Human Risk Management Ansatzes, der technische Signale, organisatorische Prozesse und Verhaltensmuster zusammenführt.
Herausforderung
Das Kernproblem lag nicht in einem einzelnen Sicherheitsvorfall, sondern in der fehlenden Transparenz über risikobehaftetes Verhalten über alle Standorte hinweg. Zugriffsrechte wurden historisch gewachsen vergeben, Rezertifizierungen fanden unregelmäßig statt und Auffälligkeiten in Datei- und Zugriffsmustern wurden nur reaktiv untersucht. Gleichzeitig war der Verbund aufgrund des Schichtbetriebs und vieler Sonderrollen auf flexible Rechtevergabe angewiesen, was die Kontrolle zusätzlich erschwerte.
Die Folgen waren konkret: erhöhte Gefahr von Datenschutzverstößen, längere Untersuchungszeiten bei Verdachtsfällen und steigender Druck durch interne Revision und Datenschutzbeauftragte. Hinzu kam ein kulturelles Problem: Compliance-Meldungen wurden von Fachbereichen teils als Kontrolle statt als Schutzmaßnahme wahrgenommen. Es fehlte ein gemeinsames Bild darüber, welche Verhaltensmuster tatsächlich auf Insider-Risiken hindeuten und welche Prozesse zur Deeskalation und Prävention nötig sind. Erst mit einer systematischen Herangehensweise, wie sie in der verhaltensbasierten Risikoanalyse und Insider Risk beschrieben wird, ließ sich das Thema von Einzelfällen auf eine belastbare Steuerungsebene heben.
Lösungsansatz
Der Gesundheitsverbund entschied sich für ein mehrstufiges Human-Risk-Programm mit Fokus auf Prävention, Früherkennung und kontrollierter Eskalation. Die Grundlage bildete eine zentrale Risikoanalyse über alle Standorte hinweg. Dabei wurden Rollen, Berechtigungen, Zugriffsverhalten, Ticketdaten, HR-Ereignisse und sicherheitsrelevante Vorfälle zusammengeführt, um Muster zu identifizieren, die auf Insider-Risiken hindeuten: ungewöhnliche Zugriffszeiten, wiederholte Zugriffe auf nicht zugeordnete Patientenakten, Massenexporte, häufige Berechtigungsanfragen sowie Auffälligkeiten nach Rollenwechseln oder Kündigungen.
Im ersten Schritt definierte das Projektteam gemeinsam mit IT-Security, HR, Compliance und Betriebsrat klare Use Cases und Leitplanken. Ziel war ausdrücklich keine Überwachung einzelner Personen, sondern eine risikobasierte Steuerung mit nachvollziehbaren Kriterien. Danach wurden technische Kontrollen ergänzt: automatisierte Rezertifizierungsprozesse für privilegierte Rollen, strengere Protokollierung in Kernsystemen und ein zentrales Dashboard für sicherheitsrelevante Ereignisse. Für kritische Auffälligkeiten wurden Schwellenwerte festgelegt, ab denen ein abgestufter Prüfprozess ausgelöst wurde.
Parallel wurden die Fachbereiche geschult. Der Verbund etablierte Meldestrukturen für auffälliges Verhalten und definierte Rollen für HR, Führungskräfte und SOC. Verdachtsfälle wurden nicht isoliert bearbeitet, sondern in einen standardisierten Ablauf überführt: Prüfung, Bewertung, Freigabe, Maßnahmenumsetzung. Ergänzend wurden Awareness-Maßnahmen auf die tatsächlichen Risikoszenarien zugeschnitten. Gerade im Klinikalltag war wichtig, Maßnahmen so zu gestalten, dass sie den Betrieb nicht behindern. Dadurch entstand ein praxisnahes Modell, das technische Detektion, organisatorische Kontrolle und menschliche Faktoren zusammenführt — ein Ansatz, der auch in der Praxisempfehlung zu Insider Risk: Mitarbeiterverhalten früh erkennen zentral ist.
Ergebnisse
Bereits nach sechs Monaten zeigte das Programm messbare Effekte. Die Zahl ungeprüfter Sonderberechtigungen sank um 41 Prozent, weil Rezertifizierungen automatisiert und Verantwortlichkeiten klarer zugeordnet wurden. Auffällige Zugriffe auf Patientendaten konnten im Vergleich zur Ausgangslage um 58 Prozent schneller identifiziert und bewertet werden; die durchschnittliche Zeit bis zur Erstbewertung sank von 5,2 auf 2,1 Arbeitstage. Gleichzeitig reduzierte sich die Zahl manueller Ad-hoc-Prüfungen der IT-Security um 34 Prozent, weil das Dashboard Prioritäten und Ausnahmen transparenter machte.
Im Vorher-Nachher-Vergleich verbesserten sich auch die Compliance-Kennzahlen: Die Quote fristgerecht abgeschlossener Berechtigungsreviews stieg von 72 auf 96 Prozent. In zwei Fällen konnten kritische Zugriffsanomalien früh erkannt werden, bevor daraus meldepflichtige Vorfälle wurden. Dadurch vermied der Verbund potenziell kostenintensive Eskalationen, interne Sonderprüfungen und operative Unterbrechungen. Auf Basis vermiedener Aufwände, reduzierter Nacharbeit und eingesparter Prüfzeit ergab sich innerhalb von zwölf Monaten ein geschätzter ROI von rund 2,4:1.
Wichtig war jedoch nicht nur die finanzielle Wirkung, sondern die organisatorische Stabilisierung: HR, IT-Security und Compliance arbeiteten mit einem gemeinsamen Risikomodell statt mit getrennten Einzelfallbewertungen.
Lessons Learned
Insider-Risiken entstehen oft nicht durch einzelne schwere Verstöße, sondern durch viele kleine Auffälligkeiten über Zeit. Nur eine konsolidierte Sicht auf Verhalten, Rollen und Ereignisse schafft belastbare Priorisierung.
Technische Detektion allein reicht nicht aus. Erst wenn HR, Compliance und IT gemeinsame Prozesse und klare Eskalationsstufen definieren, werden Signale handlungsfähig.
Im Gesundheitswesen ist Akzeptanz entscheidend. Maßnahmen müssen datenschutzkonform, verhältnismäßig und für den Betrieb praktisch umsetzbar sein.
Automatisierte Rezertifizierung und standardisierte Prüfungen reduzieren nicht nur Risiken, sondern auch manuelle Arbeit in der Security-Organisation.
Zusammenfassung
Der Gesundheitsverbund hat Insider-Risiken nicht als Einzelfälle, sondern als strukturelles Steuerungsthema behandelt. Durch ein Human-Risk-Management-Programm mit klaren Prozessen, technischen Kontrollen und bereichsübergreifender Zusammenarbeit wurden Risiken früher erkannt und operativ reduziert. Das Ergebnis war eine messbar bessere Compliance, geringerer Prüfaufwand und mehr Transparenz über kritische Verhaltensmuster.
Weitere Case Studies
Weiterführende Inhalte:
