Legacy-Software im Gesundheitswesen: Wenn das System nicht ausfallen darf
Legacy Software im Gesundheitswesen hat eine Eigenschaft, die sie von fast jeder anderen Branche unterscheidet: Sie darf nicht stehen bleiben. Ein Onlineshop, der eine Stunde offline ist, verliert Umsatz. Ein Krankenhausinformationssystem, das eine Stunde offline ist, verliert den Zugriff auf Patientenakten und Medikationspläne. Und zwar in genau dem Moment, in dem jemand sie braucht.
Gleichzeitig laufen in Kliniken, Praxen, Laboren und Pflegeeinrichtungen Systeme, die seit Jahren niemand angefasst hat. Der Grund ist selten Nachlässigkeit. Jeder Eingriff bedeutet ein Risiko, und niemand will dieses Risiko tragen.
Dieser Artikel beschreibt, warum Legacy-Software im Gesundheitswesen so schwer zu pflegen ist. Er zeigt, was passiert, wenn sie trotzdem nicht gepflegt wird. Und er zeigt Wege, alte Systeme abzusichern, ohne den Betrieb zu gefährden.
Warum Software im Gesundheitswesen so lange läuft
In den meisten Unternehmen ist eine alte Anwendung ein Ärgernis. Im Gesundheitswesen ist sie oft eine bewusste Entscheidung. Dafür gibt es handfeste Gründe.
Das System hängt an Geräten
Ein Laborsystem spricht mit Analysegeräten. Eine Radiologie-Software empfängt Bilder von Geräten, die zehn oder fünfzehn Jahre alt sind. Diese Geräte haben ihre eigene Software, ihre eigenen Schnittstellen und ihre eigenen Zulassungen. Ein Update auf der Serverseite kann eine Schnittstelle brechen, die jahrelang zuverlässig funktioniert hat. Wer das einmal erlebt hat, fasst das System ungern noch einmal an.
Regulierung bremst Änderungen
Software, die diagnostische oder therapeutische Entscheidungen beeinflusst, kann als Medizinprodukt gelten. Dann greift die europäische Medizinprodukteverordnung, kurz MDR. Änderungen an solcher Software müssen dokumentiert, geprüft und teilweise neu bewertet werden. Größere Kliniken fallen zusätzlich unter die Regeln für Kritische Infrastrukturen (KRITIS). Sie müssen dem Bundesamt für Sicherheit in der Informationstechnik nachweisen, dass ihre IT abgesichert ist. Beides ist sinnvoll. Beides macht ein "schnelles Update am Wochenende" aber praktisch unmöglich.
Es gibt kein Wartungsfenster
Eine Produktionsfirma kann ihre Software nachts oder am Wochenende umstellen. Eine Notaufnahme hat keine Nacht und kein Wochenende. Jede Umstellung muss so geplant sein, dass der Betrieb ohne Unterbrechung weiterläuft. Das ist möglich, aber aufwendig. Und Aufwand, den niemand einplant, findet nicht statt.
Der Hersteller ist weg oder teuer
Viele Speziallösungen im Gesundheitswesen stammen von kleinen Anbietern. Manche existieren nicht mehr. Andere verlangen für ein Update auf die aktuelle Version einen Betrag, der einer Neuanschaffung nahekommt. Also bleibt die alte Version. Was Legacy Software genau ist und warum sie in jedem Betrieb entsteht, haben wir in einem eigenen Artikel beschrieben. Im Gesundheitswesen kommen die genannten Gründe einfach alle gleichzeitig zusammen.
Was passiert, wenn nichts getan wird
Das Argument "läuft doch" hat im Gesundheitswesen ein besonderes Gewicht, weil es tatsächlich oft jahrelang läuft. Die Kosten des Nichtstuns zeigen sich erst später, dann aber deutlich.
Sicherheitslücken bleiben offen
Alte Betriebssysteme, alte Datenbanken und alte Webserver bekommen irgendwann keine Sicherheits-Updates mehr. Die Lücken, die danach entdeckt werden, bleiben offen. Angreifer wissen das. Kliniken sind in den vergangenen Jahren mehrfach Ziel von Erpressungssoftware geworden, in Deutschland und in anderen Ländern. Der typische Weg hinein führt über ein System, das seit Jahren keinen Patch mehr gesehen hat. Warum genau alte Software ein Sicherheitsrisiko ist, erklären wir in einem eigenen Beitrag. Im Gesundheitswesen kommt dazu, dass der Angriff nicht nur Daten kostet, sondern Behandlungen verschiebt.
Datenschutzverstöße werden teuer
Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien der Datenschutz-Grundverordnung (DSGVO). Die Verordnung verlangt Schutz nach dem Stand der Technik. Ein Server mit einem Betriebssystem, für das es seit Jahren keine Updates gibt, erfüllt diesen Anspruch nicht. Kommt es zu einem Vorfall, fragt die Aufsichtsbehörde als Erstes nach dem Patch-Stand. Eine gute Antwort darauf gibt es dann nicht.
Das Wissen verschwindet
Der Administrator, der das Laborsystem 2011 eingerichtet hat, geht in Rente. Der Entwickler des Hausanbieters wechselt die Firma. Die Dokumentation besteht aus einem Ordner im Schrank und ein paar E-Mails. Solange nichts passiert, fällt das nicht auf. Beim ersten ernsthaften Problem fällt es sehr auf.
Der Ausfall kommt trotzdem
Wer ein System nicht anfasst, verhindert damit keinen Ausfall. Er verschiebt ihn nur auf einen Zeitpunkt, den er nicht bestimmt. Eine volle Festplatte oder ein abgelaufenes Zertifikat reicht dafür aus. Irgendwann passiert es. Und dann ohne Plan, ohne aktuelles Backup und ohne jemanden, der das System kennt.
Handlungsoptionen: Absichern ohne Betriebsunterbrechung
Sie müssen nicht alles neu bauen, um das Risiko zu senken. Die folgenden Schritte lassen sich nacheinander umsetzen, und jeder für sich bringt schon etwas.
Schritt 1: Bestandsaufnahme
Bevor Sie etwas ändern, brauchen Sie ein vollständiges Bild. Welche Systeme laufen? Auf welchen Betriebssystemen und Datenbanken? Welche Geräte hängen daran? Welche Schnittstellen gibt es? Wer kennt sich aus? Das klingt banal, aber in vielen Häusern existiert diese Liste nicht. Ohne sie ist jede weitere Entscheidung ein Ratespiel.
Schritt 2: Backup und Wiederherstellung testen
Ein Backup, das noch nie zurückgespielt wurde, hat noch nie bewiesen, dass es funktioniert. Für Systeme, die nicht ausfallen dürfen, brauchen Sie eine getestete Wiederherstellung mit einer bekannten Dauer. Wie lange dauert es, bis das Laborsystem wieder läuft? Vier Stunden? Zwei Tage? Diese Zahl muss die Geschäftsführung kennen. Wie eine Backup-Strategie für Legacy-Software aussieht, die auch alte Datenbanken und Sonderfälle abdeckt, haben wir ausführlich beschrieben.
Schritt 3: Abschotten statt updaten
Wenn ein System nicht aktualisiert werden kann, weil ein Gerät daran hängt, lässt es sich trotzdem schützen. Das Netzwerk wird so aufgeteilt, dass das alte System nur mit den Geräten spricht, die es wirklich braucht. Aus dem Internet und aus dem Büronetz kommt dann niemand mehr an das System heran. Fachleute nennen das Netzwerksegmentierung. Für alte Medizingeräte ist das oft die einzige realistische Schutzmaßnahme, und sie wirkt.
Schritt 4: Monitoring einrichten
Ein Ausfall um drei Uhr nachts ist schlimm. Ein Ausfall um drei Uhr nachts, den erst um sieben Uhr jemand bemerkt, ist schlimmer. Überwachung von Speicherplatz, Zertifikaten, Diensten und Antwortzeiten kostet wenig und verhindert einen großen Teil der Ausfälle, bevor sie eintreten. Wie Sie Monitoring für Legacy-Software einrichten, ohne das System selbst zu verändern, zeigen wir Schritt für Schritt.
Schritt 5: Die Umgebung modernisieren, die Anwendung später
Oft lässt sich die Anwendung selbst nicht ändern, wohl aber das, was um sie herum läuft. Ein altes Betriebssystem kann in eine virtuelle Maschine umziehen. Eine alte Datenbank kann auf einen abgesicherten Server wandern. Ein Reverse Proxy kann vor eine alte Weboberfläche gesetzt werden und übernimmt Verschlüsselung und Zugriffskontrolle. Die Anwendung merkt davon nichts. Das Risiko sinkt trotzdem deutlich.
Schritt 6: Ablösung planen, nicht erzwingen
Irgendwann muss das alte System ersetzt werden. Das ist im Gesundheitswesen ein Projekt über Monate, manchmal Jahre, mit Parallelbetrieb und schrittweiser Migration. Wer das früh plant, hat Zeit für Tests, Schulungen und einen sauberen Übergang. Wer wartet, bis das alte System endgültig steht, migriert unter Druck. Das geht selten gut.
Was das für Praxen und kleinere Einrichtungen bedeutet
Nicht jede Einrichtung ist eine Klinik mit eigener IT-Abteilung. Eine Arztpraxis mit einem Praxisverwaltungssystem aus dem Jahr 2014 hat dasselbe Problem im Kleinen. Der Anbieter ist möglicherweise noch da, aber der Rechner darunter läuft auf einem Windows, das keine Updates mehr bekommt. Die Schritte oben gelten hier genauso, nur in kleinerem Maßstab. Bestandsaufnahme, getestetes Backup, Abschottung vom Internet und eine Überwachung, die Bescheid gibt, bevor die Festplatte voll ist. Dafür reicht meist ein Nachmittag Arbeit, der im Ernstfall Wochen spart.
Fazit: Alt darf bleiben, ungeschützt nicht
Legacy-Software im Gesundheitswesen entsteht aus Vorsicht und aus Regeln, die es zu Recht gibt. Ein altes System ist deshalb noch kein Problem. Kritisch wird es erst, wenn niemand mehr hinschaut.
Wir übernehmen die Betreuung alter Systeme, auch dort, wo der Hersteller nicht mehr erreichbar ist. Wir schauen uns an, was sich angesammelt hat, sichern das Nötigste zuerst ab und planen die Ablösung in einem Tempo, das Ihr Betrieb verträgt. Unsere Software-Wartung läuft im Hintergrund, während Ihre Systeme das tun, wofür sie da sind.
Sprechen Sie uns an. Das Erstgespräch ist kostenlos, und wir sagen Ihnen ehrlich, was dringend ist und was warten kann.
