KI in der Krankenhaus-IT: Wofür sie sich eignet und was die IT verantwortet

Wofür nutzt die Krankenhaus-IT KI in der eigenen Arbeit?

Die IT eines Krankenhauses schreibt, sucht und dokumentiert viel: Tickets, Skripte, Wartungsberichte, Betriebshandbücher. Sprachmodelle helfen dort, wo Text oder Code entsteht. Aus der Liste von basebox mit 140 Anwendungsfällen für Kliniken gehören acht in den Bereich IT und Technik:

Anwendungsfall	Was die KI tut	Ab wann
Alten Code analysieren und dokumentieren	erklärt Skripte und Programme, deren Autor nicht mehr im Haus ist	ab dem ersten Tag startklar
Skripte und SQL schreiben	entwirft Abfragen und Automatisierungen aus einer Beschreibung	ab dem ersten Tag startklar
Logauszüge auswerten	fasst Fehlermeldungen zusammen und schlägt Ursachen vor	ab dem ersten Tag startklar
Wartungsberichte strukturieren	macht aus Notizen einen einheitlichen Bericht	ab dem ersten Tag startklar
Geräte-Handbücher durchsuchen	beantwortet Fragen mit Quelle aus hinterlegten Handbüchern	nach kurzer Einrichtung
Tickets vorsortieren	ordnet neue Tickets ein und schlägt eine Lösung vor	nach Anbindung von Jira oder YouTrack
IT-Inventar abgleichen	liest Typenschilder und Lieferscheine und gleicht sie mit der Asset-Liste ab	nach Anbindung
Auskunft zur Bedienung von ORBIS	beantwortet Bedienfragen aus den Hilfeseiten von ORBIS	nach Anbindung von OrbisF1

Dazu kommen Fälle aus Datenschutz und Informationssicherheit, die oft bei der IT oder beim Informationssicherheitsbeauftragten liegen: technische und organisatorische Maßnahmen dokumentieren, das Verzeichnis von Verarbeitungstätigkeiten pflegen, Awareness-Texte schreiben und in BSI-Grundschutz und B3S Krankenhaus suchen.

Die Auskunft zu ORBIS liest die Hilfeseiten des Herstellers, nicht das KIS selbst. Das ist ein Unterschied, den Fachabteilungen oft verwechseln.

Was ändert sich, wenn die IT KI für das ganze Haus betreibt?

Sobald Ärztinnen, Pflege und Verwaltung eine KI nutzen, ist die IT nicht mehr nur Anwenderin, sondern Betreiberin. Dann geht es um dieselben Fragen wie bei jedem anderen System, das Patientendaten verarbeitet:

• Anmeldung: Melden sich alle mit dem Konto an, das sie schon haben, etwa über Active Directory oder Entra ID? Kommen Gruppen und Rollen aus der Benutzerverwaltung?
• Rechte: Sieht jede Person in der KI nur, was sie im Quellsystem ohnehin sehen darf? Oder liest die KI über ein gemeinsames Dienstkonto alles?
• Protokoll: Wird festgehalten, wer was wann getan hat, und lässt sich das Protokoll für die Angriffserkennung auswerten?
• Datenfluss: Wohin gehen Fragen und Dokumente? Viele KI-Angebote schicken Anfragen an das Modell eines anderen Anbieters. Dann bestimmt dieser Anbieter mit, wo verarbeitet wird.
• Schatten-IT: Ohne ein freigegebenes Angebot nutzen Beschäftigte private Konten. Ein zentrales Angebot ist auch eine Sicherheitsmaßnahme.

Was verlangen § 391 SGB V, NIS2 und B3S?

• § 391 SGB V: Alle Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen, um Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT zu schützen, und das Sicherheitsbewusstsein der Beschäftigten stärken. Die Pflichten lassen sich über den Branchenstandard B3S Krankenhaus erfüllen, wenn das BSI seine Eignung festgestellt hat. Eine KI-Plattform gehört in diesen Rahmen wie jedes andere System.
• NIS2: Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Es hat das BSI-Gesetz neu gefasst und erfasst viele Krankenhäuser als wichtige oder besonders wichtige Einrichtungen. Zu den Pflichten gehören Risikomanagement, Meldungen erheblicher Sicherheitsvorfälle und die Sicherheit der Lieferkette. Ob Ihr Haus betroffen ist, klärt die Betroffenheitsprüfung des BSI.
• Lieferkette: Für jeden Anbieter brauchen Sie Nachweise: Zertifikat nach ISO/IEC 27001, Software-Stückliste (SBOM), Meldeweg für Sicherheitslücken, Ergebnisse von Penetrationstests.
• Datenschutz: Mit jedem Anbieter, der Daten in Ihrem Auftrag verarbeitet, braucht es einen Vertrag nach Art. 28 DSGVO; die Sicherheit der Verarbeitung regelt Art. 32 DSGVO.
• KI-Kompetenz: Wer KI einsetzt, muss nach Art. 4 der KI-Verordnung die KI-Kompetenz der Beschäftigten fördern, auch in der IT. KI-Kompetenz nach Art. 4 →

Keine Rechtsberatung: Ob und wie Ihr Haus unter NIS2 fällt, prüfen Sie mit Ihrem Informationssicherheitsbeauftragten und der Betroffenheitsprüfung des BSI.

Wie kommt die KI an das KIS?

Den Zugang zum KIS stellt der Hersteller bereit, etwa über die FHIR-Schnittstelle nach ISiK, den Standard der gematik für IT-Systeme im Krankenhaus, über eine Datenplattform oder einen Kommunikationsserver, den das Haus schon nutzt. Erst dann kann eine KI-Plattform Daten aus dem KIS lesen. Jedes KIS setzt FHIR mit eigenen Profilen um; ein Konnektor muss deshalb für jedes Haus eingerichtet werden. Fragen Sie jeden Anbieter, an welche KIS er heute tatsächlich angebunden ist und wer den Zugang bereitstellt.

Viele Anwendungsfälle brauchen das KIS gar nicht. Sie laufen mit Dokumenten, Leitlinien, E-Mails und Wikis. Für den Start ist das der kürzere Weg.

Cloud oder Server: Was bedeutet das für die IT?

	Cloud	Server im Haus
Betrieb	durch den Anbieter	durch Ihre IT, auf Wunsch durch den Anbieter aus der Ferne
Gesundheitsdaten (§ 393 SGB V)	Anbieter braucht C5-Testat oder ISO 27001 mit Maßnahmenplan	gilt nicht, es gelten Ihre Vorgaben als Betreiber
Netz	Zugang über das Internet	im eigenen Netz, auch ohne Internet möglich
Sicherung	beim Anbieter	bei Ihnen, mit Ihren Werkzeugen
Aufwand für die IT	Anmeldung, Rechte, Konnektoren	zusätzlich Hardware, Updates, Sicherung

Was sich über fünf Jahre rechnet, steht im Ratgeber Cloud oder Server.

Wie geht das mit basebox?

basebox läuft in unserer Cloud im Rechenzentrum München-Ost oder auf einem Server in Ihrem Haus, auch auf vorhandener Hardware. Die Anmeldung läuft über Ihre Benutzerverwaltung (Active Directory, LDAP, SAML oder OIDC), basebox sieht nie ein Passwort. Konnektoren nutzen den eigenen Zugang jeder Person, ein gemeinsames Dienstkonto gibt es nicht; schreibende Zugriffe sind ab Werk aus. Das Audit-Log ist nicht änderbar; für Ihr SIEM gibt basebox das Audit-Log auf Anfrage von Hand weiter, als CSV oder über REST, nicht automatisch.

Für Ihre Lieferantenprüfung bekommen Sie das ISO-27001-Zertifikat, TOMs, die Software-Stückliste und den Meldeweg für Sicherheitslücken; die Zuordnung zum B3S Krankenhaus erstellen wir gerade, Sie bekommen sie auf Anfrage. Der Server läuft vollständig ohne Internet, Fernwartung gibt es nur auf Ihren Auftrag. Entwickler verbinden ihre Werkzeuge auf dem Server über die OpenAI-kompatible Schnittstelle. Programmieren mit KI ohne Cloud →

Klinische Systeme binden wir an, sobald der Hersteller den Zugang bereitstellt, abgestimmt mit Ihnen und dem Hersteller. Die Inbetriebnahme in Ihrer IT (Installation, Anmeldung, zwei Schulungen) kostet einmalig 24.900 €. Alles zu Sicherheit und Nachweisen →