trustspace

Tag: Audit

  • IT-Sicherheit im Gesundheitswesen: Anforderungen, Bedrohungen und Maßnahmen für Kliniken und Praxen

    IT-Sicherheit im Gesundheitswesen: Anforderungen, Bedrohungen und Maßnahmen für Kliniken und Praxen

    Das Gesundheitswesen gehört zu den am stärksten von Cyberangriffen betroffenen Sektoren in Deutschland. Krankenhäuser, Kliniken und Arztpraxen verarbeiten hochsensible Patientendaten, betreiben lebenswichtige medizinische Systeme und unterliegen strengen regulatorischen Anforderungen. Gleichzeitig ist die IT-Infrastruktur in vielen Gesundheitseinrichtungen historisch gewachsen, unzureichend segmentiert und durch veraltete Systeme geprägt.

    Die Folgen eines erfolgreichen Cyberangriffs im Gesundheitswesen können gravierend sein: vom Ausfall der Notfallversorgung über den Diebstahl von Patientendaten bis hin zu existenzbedrohenden Bußgeldern. Die branchenübergreifenden Grundlagen der IT-Cyber-Security zum Schutz vor Cyberangriffen haben wir in einem eigenen Beitrag zusammengefasst. Dieser Artikel beleuchtet die besonderen Anforderungen an die IT-Sicherheit im Gesundheitswesen, analysiert die typischen Bedrohungsszenarien und zeigt konkrete Maßnahmen für Kliniken und Praxen auf.

    Das Wichtigste in Kürze:

    • Das Gesundheitswesen verarbeitet besonders schutzbedürftige Daten (Art. 9 DSGVO) – Verstöße können Bußgelder in Millionenhöhe nach sich ziehen.
    • Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr gelten als KRITIS-Betreiber und müssen nachweislich angemessene IT-Sicherheitsmaßnahmen umsetzen.
    • Ransomware-Angriffe auf Kliniken haben sich seit 2020 vervielfacht – mit direkten Auswirkungen auf die Patientenversorgung.
    • Der Branchenspezifische Sicherheitsstandard (B3S) für die Gesundheitsversorgung bietet einen konkreten Umsetzungsrahmen.
    • Auch kleine Arztpraxen müssen die IT-Sicherheitsrichtlinie der KBV einhalten und angemessene technische und organisatorische Maßnahmen umsetzen.

     

    Warum das Gesundheitswesen ein besonderes Ziel für Cyberangriffe ist

    Die IT-Sicherheit im Gesundheitswesen steht vor einzigartigen Herausforderungen, die den Sektor zu einem besonders attraktiven Ziel für Cyberkriminelle machen. Die Schutzziele der Informationssicherheit – Vertraulichkeit, Integrität und Verfügbarkeit – wiegen hier besonders schwer: Ein Systemausfall trifft nicht nur Daten, sondern unmittelbar die Patientenversorgung.

    Hoher Wert der Daten

    Patientendaten gehören zu den wertvollsten Datenarten auf dem Schwarzmarkt. Ein einzelner Patientendatensatz enthält Name, Geburtsdatum, Versicherungsnummer, Diagnosen, Medikation und häufig auch Zahlungsinformationen. Diese Kombination ermöglicht Identitätsdiebstahl, Versicherungsbetrug und gezielte Erpressung. Auf dem Darknet werden Gesundheitsdaten daher deutlich höher gehandelt als etwa Kreditkartendaten.

    Kritische Infrastruktur mit Zeitdruck

    Krankenhäuser können ihre IT-Systeme nicht einfach abschalten, um einen Angriff einzudämmen. Der Betrieb medizinischer Geräte, die Verfügbarkeit von Patientenakten und die Kommunikation zwischen Stationen sind für die Patientenversorgung essenziell. Dieser Zeitdruck macht Gesundheitseinrichtungen besonders anfällig für Ransomware-Erpressungen: Die Bereitschaft, Lösegeld zu zahlen, ist höher, wenn Menschenleben auf dem Spiel stehen.

    Heterogene und veraltete IT-Landschaft

    Viele Krankenhäuser und Praxen arbeiten mit gewachsenen IT-Infrastrukturen, in denen moderne Cloud-Anwendungen neben jahrzehntealten Medizingeräten koexistieren. Legacy-Systeme, die keine Sicherheitsupdates mehr erhalten, sind keine Seltenheit. Die Integration von Medizintechnik (z. B. CT, MRT, Infusionspumpen) in das IT-Netzwerk schafft zusätzliche Angriffsflächen, da diese Geräte häufig proprietäre Betriebssysteme nutzen und nicht gepatcht werden können.

    Hohe Personalfluktuation und Schichtbetrieb

    Der Schichtbetrieb, die hohe Personalfluktuation und der Einsatz von Honorarkräften und Zeitarbeitern erschweren die konsequente Umsetzung von IT-Sicherheitsmaßnahmen. Awareness-Schulungen erreichen nicht alle Mitarbeitenden gleichermaßen, und die Bereitschaft, Sicherheitsrichtlinien einzuhalten, leidet unter dem hohen Arbeitsdruck im klinischen Alltag.

     

    Regulatorische Anforderungen an die IT-Sicherheit im Gesundheitswesen

    Die IT-Sicherheit im Gesundheitswesen unterliegt einem komplexen regulatorischen Rahmen. Je nach Größe und Art der Einrichtung gelten unterschiedliche Vorgaben. Wie sich solche Anforderungen strukturiert erfassen, umsetzen und gegenüber Prüfern nachweisen lassen, ordnet unser Beitrag zur IT Compliance ein.

    KRITIS-Verordnung und BSI-Gesetz

    Krankenhäuser mit mindestens 30.000 vollstationären Fällen pro Jahr werden als Betreiber kritischer Infrastrukturen (KRITIS) eingestuft. Sie unterliegen den Anforderungen des BSI-Gesetzes und müssen:

    • Angemessene organisatorische und technische Vorkehrungen zur IT-Sicherheit treffen (nach dem Stand der Technik).
    • Erhebliche IT-Sicherheitsvorfälle unverzüglich an das BSI melden.
    • Die Umsetzung der Sicherheitsmaßnahmen alle zwei Jahre gegenüber dem BSI nachweisen (z. B. durch Audits, Prüfungen oder Zertifizierungen).

    Mit der NIS-2-Richtlinie wird der Kreis der betroffenen Einrichtungen deutlich ausgeweitet. Seit dem Inkrafttreten des deutschen Umsetzungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025 fallen auch kleinere Gesundheitseinrichtungen unter die erweiterten Anforderungen.

    B3S – Branchenspezifischer Sicherheitsstandard

    Die Deutsche Krankenhausgesellschaft (DKG) hat den Branchenspezifischen Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus entwickelt. Dieser Standard wurde vom BSI als geeigneter Nachweis für die Umsetzung der KRITIS-Anforderungen anerkannt und definiert:

    • Konkrete Sicherheitsanforderungen für den Krankenhausbetrieb.
    • Risikobasierte Vorgehensweisen für die Maßnahmenauswahl.
    • Anforderungen an Notfallmanagement und Business Continuity.
    • Spezifische Vorgaben für den Schutz medizinischer Geräte und Systeme.

    IT-Sicherheitsrichtlinie der KBV

    Für die IT-Sicherheit in der Arztpraxis hat die Kassenärztliche Bundesvereinigung (KBV) eine verbindliche IT-Sicherheitsrichtlinie erlassen. Seit 2021 müssen alle vertragsärztlichen und vertragspsychotherapeutischen Praxen die darin definierten Anforderungen umsetzen. Die Richtlinie unterscheidet nach Praxisgröße:

    • Kleine Praxen (bis 5 Personen): Grundlegende Anforderungen an Virenschutz, Firewall, Zugriffssteuerung und Datensicherung.
    • Mittlere Praxen (6–20 Personen): Zusätzliche Anforderungen an Netzwerksicherheit, Endgerätemanagement und Mitarbeiterschulung.
    • Große Praxen (ab 21 Personen) und Praxen mit medizinischen Großgeräten: Erweiterte Anforderungen an Netzwerksegmentierung, Logging und Incident Management.

    Datenschutz-Grundverordnung (DSGVO)

    Gesundheitsdaten gelten nach Art. 9 DSGVO als „besondere Kategorien personenbezogener Daten” und unterliegen einem erhöhten Schutzregime. Die Verarbeitung ist nur unter engen Voraussetzungen zulässig, und die technischen und organisatorischen Maßnahmen müssen dem besonderen Schutzbedarf dieser Daten entsprechen. Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.

    Patientendaten-Schutz-Gesetz (PDSG)

    Das Patientendaten-Schutz-Gesetz verpflichtet Krankenhäuser – unabhängig davon, ob sie als KRITIS eingestuft sind – nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur IT-Sicherheit zu treffen. Diese Pflicht gilt seit dem 1. Januar 2022 und erweitert den Adressatenkreis der IT-Sicherheitsanforderungen erheblich.

     

    Typische Bedrohungsszenarien für Kliniken und Praxen

    Die Cybersecurity im Krankenhaus und in Arztpraxen muss sich gegen eine Vielzahl von Bedrohungen wappnen. Die folgenden Szenarien sind in der Praxis besonders häufig und folgenreich. Welche Schutzebenen dagegen branchenübergreifend greifen, zeigt unsere Übersicht zur Cybersecurity mit TrustSpace.

    Ransomware-Angriffe

    Ransomware ist die mit Abstand größte Bedrohung für das Gesundheitswesen. Angreifer verschlüsseln Patientendaten, Krankenhaussysteme und Backups und fordern Lösegeld für die Entschlüsselung. Die Auswirkungen sind verheerend:

    • Ausfall der elektronischen Patientenakte und des Krankenhausinformationssystems (KIS).
    • Abmeldung von der Notfallversorgung und Verlegung von Patienten.
    • Wochen- bis monatelanger eingeschränkter Betrieb.
    • Millionenschäden durch Betriebsausfall, Wiederherstellung und Reputationsverlust.

    Der Angriff auf die Uniklinik Düsseldorf im Jahr 2020 machte international Schlagzeilen und zeigte, dass Ransomware im Gesundheitswesen lebensgefährlich sein kann.

    Phishing und Social Engineering

    Phishing-E-Mails sind der häufigste Einstiegspunkt für Cyberangriffe auf Gesundheitseinrichtungen. Angreifer nutzen die hohe Arbeitsbelastung und den Zeitdruck im klinischen Alltag aus, um Mitarbeitende dazu zu verleiten, auf schädliche Links zu klicken oder Zugangsdaten preiszugeben. Besonders perfide sind gezielte Spear-Phishing-Angriffe, die sich als interne Kommunikation oder Nachrichten von Krankenkassen tarnen.

    Angriffe auf vernetzte Medizingeräte

    Die zunehmende Vernetzung medizinischer Geräte (Internet of Medical Things, IoMT) schafft neue Angriffsvektoren. Infusionspumpen, Patientenmonitore, bildgebende Systeme und Laborgeräte sind häufig mit dem Kliniknetzwerk verbunden, ohne über ausreichende Sicherheitsmechanismen zu verfügen. Ein kompromittiertes Medizingerät kann als Einfallstor für das gesamte Netzwerk dienen.

    Insider-Bedrohungen

    Nicht alle Bedrohungen kommen von außen. Unzufriedene oder nachlässige Mitarbeitende, die auf Patientendaten zugreifen, für die sie keine Berechtigung haben, oder die Daten auf ungesicherten USB-Sticks mitnehmen, stellen ein erhebliches Risiko dar. Auch die versehentliche Weitergabe von Patientendaten per E-Mail oder Fax ist ein häufiges Problem.

    Supply-Chain-Angriffe

    Gesundheitseinrichtungen sind in komplexe Lieferketten eingebunden: IT-Dienstleister, Softwareanbieter, Wartungsfirmen für Medizintechnik und Labordienstleister haben häufig Fernzugriffsrechte auf die IT-Infrastruktur. Ein kompromittierter Dienstleister kann als Brücke in das Netzwerk der Gesundheitseinrichtung dienen.

     

    Maßnahmen für eine wirksame IT-Sicherheit im Gesundheitswesen

    Eine umfassende Cybersecurity-Strategie für Krankenhäuser und Praxen umfasst technische, organisatorische und personelle Maßnahmen.

    Technische Maßnahmen

    Netzwerksegmentierung

    Die strikte Trennung von Netzwerksegmenten ist eine der wirksamsten Maßnahmen im klinischen Umfeld. Medizintechnik, Verwaltungs-IT, Gäste-WLAN und kritische Systeme wie das KIS sollten in getrennten Netzwerksegmenten betrieben werden. So wird verhindert, dass ein kompromittiertes System die gesamte Infrastruktur gefährdet.

    Endpoint Detection and Response (EDR)

    Klassische Virenscanner reichen gegen moderne Bedrohungen nicht mehr aus. EDR-Lösungen ermöglichen die Erkennung und Abwehr von Angriffen in Echtzeit – auch auf Endgeräten, die nicht permanent mit dem Netzwerk verbunden sind. Für die IT-Sicherheit in der Arztpraxis sind auch einfachere Endpoint-Protection-Lösungen sinnvoll.

    Backup-Strategie nach der 3-2-1-Regel

    Eine robuste Backup-Strategie ist der wichtigste Schutz gegen Ransomware. Die 3-2-1-Regel fordert: drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine Kopie außerhalb des Netzwerks (offline oder immutable). Regelmäßige Restore-Tests stellen sicher, dass die Backups im Ernstfall funktionieren.

    Multi-Faktor-Authentifizierung (MFA)

    Die Absicherung aller Zugangspunkte mit Multi-Faktor-Authentifizierung reduziert das Risiko kompromittierter Zugangsdaten erheblich. Im klinischen Umfeld müssen dabei die Anforderungen an schnellen Zugriff (z. B. in Notfallsituationen) mit dem Sicherheitsbedürfnis in Einklang gebracht werden – etwa durch Proximity-basierte Authentifizierung oder Tap-to-Login-Lösungen.

    Verschlüsselung

    Patientendaten müssen sowohl bei der Übertragung (Transport Layer Security) als auch bei der Speicherung (Verschlüsselung at Rest) geschützt werden. Dies gilt insbesondere für mobile Endgeräte, Laptops und USB-Datenträger, die das Klinikgelände verlassen können.

    Organisatorische Maßnahmen

    Informationssicherheitsmanagementsystem (ISMS)

    Ein systematisches ISMS nach ISO 27001 oder BSI IT-Grundschutz bildet den organisatorischen Rahmen für alle IT-Sicherheitsmaßnahmen. Es stellt sicher, dass Risiken systematisch identifiziert, bewertet und behandelt werden und dass ein kontinuierlicher Verbesserungsprozess etabliert ist.

    Incident-Response-Plan

    Ein dokumentierter und regelmäßig getesteter Incident-Response-Plan ist für Gesundheitseinrichtungen unerlässlich. Er definiert klare Verantwortlichkeiten, Eskalationswege und Handlungsanweisungen für verschiedene Szenarien – von einer Phishing-Attacke bis hin zu einem flächendeckenden Ransomware-Befall. Besonders wichtig: Der Plan muss auch den Notbetrieb ohne IT-Systeme regeln.

    Berechtigungsmanagement

    Das Prinzip der geringsten Berechtigung (Least Privilege) muss konsequent umgesetzt werden. Jede Person erhält nur die Zugriffsrechte, die für ihre aktuelle Tätigkeit erforderlich sind. Regelmäßige Berechtigungsreviews und ein strukturiertes Verfahren für das On- und Offboarding von Mitarbeitenden sind essenziell – gerade angesichts der hohen Personalfluktuation im Gesundheitswesen.

    Dienstleistersteuerung

    Alle externen Dienstleister mit Zugang zur IT-Infrastruktur müssen vertraglich auf die Einhaltung definierter Sicherheitsstandards verpflichtet werden. Fernwartungszugänge sind zeitlich zu begrenzen, zu protokollieren und nach Möglichkeit über Jump-Server zu kanalisieren.

    Personelle Maßnahmen

    Security-Awareness-Schulungen

    Regelmäßige, zielgruppenspezifische Schulungen sind der wirksamste Schutz gegen Phishing und Social Engineering. Die Schulungen sollten auf die besonderen Rahmenbedingungen im Gesundheitswesen zugeschnitten sein: kurze, praxisnahe Formate, die in den Schichtbetrieb integriert werden können. Simulierte Phishing-Kampagnen helfen, das Sicherheitsbewusstsein messbar zu steigern.

    Benennung eines Informationssicherheitsbeauftragten

    Jede Gesundheitseinrichtung sollte einen Informationssicherheitsbeauftragten (ISB) benennen, der die IT-Sicherheitsstrategie koordiniert, als Ansprechpartner für Sicherheitsfragen dient und die Geschäftsführung regelmäßig über den Sicherheitsstatus informiert. Für KRITIS-Betreiber ist dies verpflichtend. Wirksam wird die Rolle allerdings erst im Zusammenspiel mit Geschäftsführung, IT und Fachbereichen – ein Überblick, welche Rollen im Unternehmen für Informationssicherheit verantwortlich sind, erleichtert die Aufgabenverteilung.

     

    TrustSpace Profi-Tipp:Gesundheitseinrichtungen stehen vor der Herausforderung, strenge regulatorische Anforderungen mit begrenzten IT-Ressourcen in Einklang zu bringen. TrustSpaceOS bietet eine zentrale Plattform, die speziell für die effiziente Umsetzung von ISMS-Anforderungen konzipiert ist. Von der automatisierten Risikoanalyse über das integrierte Maßnahmenmanagement bis hin zur Audit-Vorbereitung – TrustSpace begleitet Krankenhäuser und Gesundheitsdienstleister auf dem Weg zur Compliance mit B3S, ISO 27001 und NIS-2. Unsere erfahrenen Berater kennen die spezifischen Herausforderungen des Gesundheitssektors und entwickeln passgenaue Sicherheitsstrategien.

     

     

    IT-Sicherheit in der Arztpraxis: Besonderheiten und Praxistipps

    Während Krankenhäuser häufig über eigene IT-Abteilungen verfügen, stehen niedergelassene Ärztinnen und Ärzte vor besonderen Herausforderungen bei der Umsetzung der IT-Sicherheit. Die IT-Sicherheitsrichtlinie der KBV schafft hier einen verbindlichen Rahmen, der allerdings pragmatisch umgesetzt werden muss. Die Ausgangslage ähnelt der vieler mittelständischer Betriebe: knappe IT-Ressourcen bei wachsenden Anforderungen. Welche Muster sich daraus ergeben, beschreibt unser Beitrag zur IT-Sicherheit im Mittelstand.

    Grundlegende Maßnahmen für jede Praxis

    • Aktuelle Software: Betriebssysteme, Praxisverwaltungssoftware und alle Anwendungen stets auf dem neuesten Stand halten. Automatische Updates aktivieren, wo möglich.
    • Sichere Passwörter: Für jeden Dienst ein individuelles, starkes Passwort verwenden. Ein Passwort-Manager erleichtert die Verwaltung.
    • Verschlüsselte Kommunikation: E-Mails mit Patientenbezug nur über verschlüsselte Kanäle versenden. Die KIM-Dienste (Kommunikation im Medizinwesen) der gematik bieten hierfür eine sichere Lösung.
    • Regelmäßige Datensicherung: Tägliche Backups der Praxisverwaltungssoftware und aller patientenbezogenen Daten auf einem externen, verschlüsselten Datenträger.
    • Physischer Zugangsschutz: Server und Netzwerkkomponenten in abschließbaren Räumen aufbewahren. Bildschirmsperre bei Abwesenheit aktivieren.

    Häufige Schwachstellen in Arztpraxen

    • Geteilte Benutzerkonten: Mehrere Mitarbeitende nutzen denselben Account – eine Nachvollziehbarkeit von Zugriffen ist damit unmöglich.
    • Ungesichertes WLAN: Offene oder schwach verschlüsselte WLAN-Netze, die Patienten und Praxis-IT im selben Segment betreiben.
    • Fehlende Verschlüsselung: Patientendaten werden unverschlüsselt auf Festplatten gespeichert – bei Diebstahl oder Verlust des Geräts ein massives Datenschutzrisiko.
    • Kein Notfallplan: Es fehlt ein dokumentierter Plan für den Fall eines IT-Ausfalls oder einer Datenpanne.

     

    Fazit: IT-Sicherheit im Gesundheitswesen ist Patientensicherheit

    Die IT-Sicherheit im Gesundheitswesen ist längst keine rein technische Frage mehr – sie ist ein integraler Bestandteil der Patientensicherheit. Cyberangriffe auf Krankenhäuser und Praxen gefährden nicht nur Daten, sondern im schlimmsten Fall Menschenleben. Die regulatorischen Anforderungen – von KRITIS über den B3S bis zur KBV-Sicherheitsrichtlinie – schaffen einen verbindlichen Rahmen, der konsequent umgesetzt werden muss.

    Der Schlüssel zu einer wirksamen Cybersecurity im Krankenhaus und in der Arztpraxis liegt in einem systematischen Ansatz: Ein ISMS bildet den organisatorischen Rahmen, technische Maßnahmen wie Netzwerksegmentierung und MFA reduzieren die Angriffsfläche, und regelmäßige Schulungen stärken die menschliche Verteidigungslinie. Gesundheitseinrichtungen, die heute in ihre IT-Sicherheit investieren, schützen nicht nur ihre Daten und Systeme – sie sichern die Handlungsfähigkeit ihrer Organisation und das Vertrauen ihrer Patienten.

     

    Sie möchten die IT-Sicherheit in Ihrer Gesundheitseinrichtung systematisch aufbauen? TrustSpace unterstützt Krankenhäuser, Kliniken und Gesundheitsdienstleister bei der Umsetzung regulatorischer Anforderungen. Mit TrustSpaceOS steuern Sie Ihr ISMS zentral, identifizieren Risiken proaktiv und bereiten sich effizient auf Audits vor – ob B3S-Nachweis, ISO 27001 Zertifizierung oder NIS-2-Compliance.

    Jetzt kostenlose Erstberatung vereinbaren

  • TISAX Level 3 Anforderungen: Checkliste & Praxis-Guide für Hochsicherheit

    TISAX Level 3 Anforderungen: Checkliste & Praxis-Guide für Hochsicherheit

    Das Wichtigste in Kürze:

    • Definition Level 3: Dies ist die höchste Prüfstufe im TISAX®-Verfahren. Sie ist erforderlich bei sehr hohem Schutzbedarf (z. B. Datenklassifizierung „Streng Vertraulich”) oder wenn Prototypen physisch gehandhabt werden.
    • Der entscheidende Unterschied: Im Gegensatz zu Level 2 (reine Dokumentenprüfung + Remote-Interview) findet bei Level 3 zwingend eine Vor-Ort-Begehung durch den Prüfdienstleister statt.
    • Fokus Physische Sicherheit: Neben der IT-Sicherheit werden Zäune, Kameras, Zutrittskontrollsysteme und Sichtschutz (View Protection) penibel geprüft.
    • Mitarbeiter im Fokus: Auditoren führen ungeplante Interviews mit Mitarbeitern vor Ort, um das gelebte Sicherheitsbewusstsein zu testen.
    • Prototypenschutz: Werden Erlkönige oder Bauteile gelagert, gelten die strengen Zusatzanforderungen des VDA ISA Moduls „Prototypenschutz”.
    • Vorbereitungszeit: Planen Sie aufgrund der physischen Maßnahmen (Baumaßnahmen, Zonen-Einrichtung) mehr Zeit ein als für reine IT-Audits.

    Die Automobilindustrie gilt als eine der anspruchsvollsten Branchen der Welt, wenn es um Informationssicherheit geht. Während viele Zulieferer mit einem reinen Dokumenten-Check (Level 2) auskommen, fordert die Zusammenarbeit mit OEMs bei sensiblen Projekten oft die “Champions League”: Assessment Level 3.

    Für Geschäftsführer und IT-Verantwortliche im Mittelstand löst der Begriff „Level 3″ oft Unruhe aus. Es bedeutet, dass der Auditor nicht nur via Teams zugeschaltet ist, sondern physisch in Ihrem Unternehmen steht. Er rüttelt an Türen, prüft Serverräume und spricht unangemeldet mit Mitarbeitern in der Kaffeeküche. Doch mit der richtigen Strategie und einer sauberen Vorbereitung verliert auch dieser Termin seinen Schrecken. Dieser Ratgeber führt Sie praxisnah durch die Anforderungen.

     

    Wann wird TISAX Level 3 überhaupt gefordert?

    Nicht jedes Unternehmen benötigt Level 3. Die Anforderung ergibt sich strikt aus den Informationen, die Sie von Ihrem Auftraggeber (z. B. VW, BMW, Mercedes) erhalten. Im TISAX®-System (Trusted Information Security Assessment Exchange) diktiert der Schutzbedarf das Prüflevel:

    Ist die Information als „Hoher Schutzbedarf” (Vertraulich) eingestuft, reicht meist die Plausibilitätsprüfung nach Level 2. Sobald Sie jedoch Daten oder Bauteile verarbeiten, die als „Sehr hoher Schutzbedarf” (Streng Vertraulich) klassifiziert sind, ist Level 3 unumgänglich. Welche Stufe wann greift, zeigt unsere Übersicht der TISAX® Klassifizierungsstufen. Ein klassisches Beispiel ist der Zugriff auf Konstruktionsdaten künftiger Fahrzeugmodelle oder die physische Lagerung von Prototypen-Teilen in Ihrer Werkhalle.

     

    Die Kernbereiche der TISAX Level 3 Anforderungen

    Die Basis bildet weiterhin der VDA ISA Fragenkatalog, der stark an die ISO 27001 angelehnt ist; die grundlegenden TISAX-Anforderungen gelten für jedes Level gleichermaßen. Bei Level 3 verschiebt sich der Fokus jedoch drastisch von der reinen Theorie (“Haben Sie einen Prozess?”) zur überprüfbaren Praxis (“Zeigen Sie mir, wie das Fenster gesichert ist”).

    1. Physische Sicherheit und Umwelt

    Dies ist der kritischste Teil des Level-3-Audits. Der Auditor prüft die Sicherheitszonen Ihres Unternehmens. Es reicht nicht, ein Schließsystem zu haben; es muss intelligent zoniert sein. Gibt es öffentliche Bereiche (Empfang), interne Bereiche (Büros) und Hochsicherheitsbereiche (Serverraum, Prototypenlager)?

    Die Anforderungen umfassen oft:

    • Alarmanlagen mit Aufschaltung zu einem Wachdienst.
    • Videoüberwachung an kritischen Zugangspunkten (unter Beachtung des Datenschutzes).
    • Protokollierung von Besuchern und Handwerkern.
    • Sicherung von Fenstern im Erdgeschoss oder in leicht zugänglichen Bereichen.

    2. Identitäts- und Zugriffsmanagement vor Ort

    Im Remote-Audit zeigen Sie Screenshots Ihrer Active-Directory-Gruppen. Im Level-3-Audit stellt sich der Prüfer neben einen Mitarbeiter und bittet ihn, den Bildschirm zu sperren und sich wieder anzumelden. Es wird geprüft, ob Passwörter auf Post-its unter der Tastatur kleben und ob ausgeschiedene Mitarbeiter ihre physischen Schlüssel oder Transponder wirklich abgegeben haben.

    3. Der Sonderfall: Prototypenschutz

    Falls Ihr TISAX-Label den Zusatz „Prototypenschutz” enthält, werden die Anforderungen noch granularer. Hier geht es um den Sichtschutz (View Protection). Können Lieferanten oder Besucher beim Gang durch die Halle zufällig ein geheimes Bauteil sehen? Maßnahmen hierfür sind abgeklebte Fenster, Sichtschutzwände oder separate „Käfige” für die Lagerung von Teilen. Auch der Transportweg (Werkslogistik) wird hierbei genau unter die Lupe genommen. Welche Zusätze das Verfahren überhaupt kennt und wie Sie das Ergebnis später gezielt für einzelne Auftraggeber freigeben, ordnet unsere Übersicht zu den Prüflabels im TISAX-Verfahren ein.

    TrustSpace Profi-Tipp: Die “Clean Desk”-Falle

    Der häufigste Fehler bei Level-3-Audits ist nicht die fehlende Firewall, sondern das Whiteboard im Besprechungsraum. Oft stehen dort noch Projektnamen, IP-Adressen oder Kundennamen vom letzten Meeting, wenn der Auditor den Raum betritt.

    Unsere Empfehlung: Führen Sie zwei Wochen vor dem Audit regelmäßige „Clean Desk Walks” durch. Sensibilisieren Sie das Team, dass am Ende des Tages jeder Schreibtisch leer und jedes Whiteboard gewischt sein muss. Dokumente mit der Klassifizierung „Vertraulich” dürfen niemals offen liegen bleiben, auch nicht während der Mittagspause. Wir simulieren diese Rundgänge oft im Rahmen unserer TISAX Beratung, um den „Audit-Blick” zu schärfen.

    Der Ablauf eines Level 3 Assessments

    Der Weg zum Label ist bei Level 3 intensiver als bei reinen IT-Audits. Der Prozess gliedert sich in Phasen, die parallel zur Nutzung unserer ISMS Software gesteuert werden sollten, um den Überblick über Dokumente und Maßnahmen zu behalten.

    Zunächst erfolgt die obligatorische Dokumentenprüfung. Der Auditor sichtet Ihr ISMS-Handbuch, Richtlinien und Risikoanalysen. Erst wenn diese „Papierlage” stabil wirkt, kündigt sich der Prüfer für den Vor-Ort-Termin an. Dieser Termin dauert je nach Unternehmensgröße zwischen einem und mehreren Tagen.

    Während des Termins wird der Auditor:

    • Die physischen Gegebenheiten begehen (Zaun, Pforte, Serverraum, Archiv).
    • Prozesse beobachten (z. B. Warenannahme, Besucherregistrierung).
    • Mitarbeiterinterviews führen. Diese sind oft der nervenaufreibendste Teil für Unternehmen, da Antworten hier nicht “geskriptet” werden können.

    Schritt-für-Schritt: Vorbereitung auf das On-Site Audit

    Um das TISAX Level 3 Assessment stressfrei zu bestehen, empfiehlt sich ein strukturiertes Vorgehen, das wir bei TrustSpace standardisiert haben.

    Schritt 1: Gap-Analyse mit physischem Fokus

    Starten Sie nicht mit der Dokumentation, sondern mit einem Rundgang. Betrachten Sie Ihr Gebäude wie ein Einbrecher. Wo kommt man rein? Wo liegen Daten offen? Vergleichen Sie den Ist-Zustand mit den Anforderungen des VDA ISA.

    Schritt 2: Bauliche und technische Mängel beheben

    Physische Maßnahmen brauchen Zeit. Einen Zaun zu reparieren, Fenster zu vergittern oder ein elektronisches Zutrittssystem zu installieren, dauert oft Wochen. Priorisieren Sie diese Aufgaben weit vor dem Audit-Termin.

    Schritt 3: Mitarbeiter-Awareness schulen

    Da der Auditor jeden ansprechen kann, muss jeder Bescheid wissen. Ihre Mitarbeiter müssen keine ISO-Normen zitieren können, aber sie müssen wissen, was sie tun, wenn sie eine fremde Person ohne Besucherausweis im Flur sehen (Antwort: Freundlich ansprechen und zum Empfang begleiten). Automatisierte Schulungen über Plattformen wie TrustSpaceOS helfen, diesen Nachweis lückenlos zu führen.

    Schritt 4: Das “Mock Audit” (Generalprobe)

    Führen Sie eine vollständige Simulation durch. Ein interner Auditor oder ein externer Berater spielt die Rolle des Prüfers. Dies nimmt dem Team die Nervosität und deckt letzte Lücken auf, etwa den berühmten offenen Netzwerkschrank oder den Schlüssel, der im Schloss steckt.

    Häufige Fehler und wie Sie sie vermeiden

    In unserer Arbeit mit über 100 Kunden sehen wir immer wieder Muster, die bei Level 3 zu Abweichungen führen:

    Fehler 1: Fokus nur auf IT.
    Viele IT-Leiter bereiten die Firewalls perfekt vor, vergessen aber, dass der Serverraum eine brennbare Holztür hat oder das Fenster im Erdgeschoss gekippt ist. TISAX Level 3 ist ganzheitlich.

    Fehler 2: Über-Coaching der Mitarbeiter.
    Wenn Mitarbeiter wie Roboter antworten, werden Auditoren misstrauisch und bohren tiefer. Es ist besser, wenn ein Mitarbeiter ehrlich sagt: „Das weiß ich nicht auswendig, aber ich weiß, wo ich es im Intranet nachlesen kann.” Das beweist ein funktionierendes System.

    Fehler 3: Veraltete Gebäudepläne.
    Der Auditor wird oft nach Gebäude- oder Zonenplänen fragen. Wenn die dort eingezeichnete „Sicherheitszone” in der Realität eine Kaffeeküche ist, wirft das ein schlechtes Licht auf das gesamte Asset Management.

    Strategischer Mehrwert durch TrustSpace

    Die Anforderungen an TISAX Level 3 wirken oft wie eine reine bürokratische Last. Doch gerade im Kontext der neuen EU-Richtlinie NIS2 und steigender Cyber-Bedrohungen ist die physische Sicherheit ein elementarer Baustein der Resilienz. Unser Ansatz bei TrustSpace verbindet die notwendige Dokumentation in unserer Software mit der praktischen Beratung vor Ort.

    Wir helfen Ihnen nicht nur, die Checklisten abzuarbeiten, sondern implementieren Prozesse, die auch im Alltag funktionieren – ohne Ihre Agilität zu lähmen. Ob Sie Unterstützung bei der ISO 27001 Zertifizierung benötigen, die oft die Basis bildet, oder spezifisch für TISAX® optimieren wollen: Wir sorgen für Audit-Sicherheit zum Festpreis.

    FAQ: Häufige Fragen zu TISAX Level 3

    Was kostet ein TISAX Level 3 Audit?

    Die Kosten sind höher als bei Level 2, da Reisekosten und Tagessätze des Auditors für die Vor-Ort-Zeit anfallen. Rechnen Sie je nach Unternehmensgröße und Anzahl der Standorte mit externen Audit-Kosten im mittleren vierstelligen bis niedrigen fünfstelligen Bereich. Hinzu kommen interne Aufwände und ggf. Beratungskosten.

    Wie lange ist das Label gültig?

    Ein TISAX-Label ist regulär drei Jahre gültig. Danach ist ein vollständiges Re-Assessment notwendig.

    Kann ich Level 3 überspringen, wenn ich nur Software entwickle?

    Das hängt nicht von Ihrer Tätigkeit ab, sondern von den Daten, die Sie vom Kunden erhalten. Wenn der OEM Ihnen „Streng Vertrauliche” Testdaten sendet, müssen Sie diese Umgebung nach Level 3 absichern, auch wenn Sie keine physischen Autoteile lagern. Der Auditor prüft dann vor Ort Ihre Büros und Serverräume.