Der KI-Ansturm ist da. Es wird Zeit, Ihr „Department of Know“ zu aktivieren.

Die KI hat die Verantwortlichen im Gesundheitswesen in eine prekäre Lage gebracht. Während viele noch darüber debattierten, ob die Technologie eingesetzt werden sollte, war ihr Mehrwert für andere bereits so offensichtlich, dass viele Teams schon lange vor ihrer formellen Prüfung, Regulierung oder Sicherung mit ihrer Nutzung begannen.

Kliniker fügen Notizen in ChatGPT ein, um Zeit zu sparen. Betriebsteams testen agentenbasierte Chatbots zur Optimierung von Arbeitsabläufen und Datenwissenschaftler integrieren SaaS-Tools in ihre Pipelines. Das grenzenlose Potenzial und die Vielseitigkeit der KI bedeuten, dass es keinen Fahrplan dafür gibt – sie ist einfach eines Tages in einem Browser-Tab aufgetaucht.

Diese Spannung zwischen organischem Experimentieren und disziplinierter Governance stand im Mittelpunkt eines kürzlich durchgeführten Webinars für CIOs des Gesundheitswesens: Cyber Strategies for Securing the AI Influx.

Im Laufe des Gesprächs entwarfen wir eine Entwicklung von „KI überall, unkontrolliert“ hin zu „aktivierte und zweckgebundene KI“. In diesem Artikel möchte ich Erkenntnisse und Ratschläge aus dem Webinar darüber teilen, wie Gesundheitssysteme die Kontrolle zurückgewinnen und die KI zu einem strategischen Vorteil anstatt eines Sicherheitsrisikos machen können.

Von „weil es da ist“ zu „weil es richtig ist“

Die erste Falle, in die die meisten Unternehmen im Gesundheitswesen oder anderswo tappen, ist die bloße Einführung der KI, nur weil sie verfügbar ist.

Das Gremium verglich die Situation mit den Anfängen der Telemedizin während der Corona-Pandemie, als viele Tools sehr schnell in Betrieb genommen, aber Governance, Integration und langfristige Risiken oft erst später berücksichtigt wurden. Dies ist ein Szenario, das jeder CISO fürchtet: Vertrauliche Daten gelangen in KI-Tools und beginnen, klinische oder betriebliche Entscheidungen ohne angemessene Überprüfung zu beeinflussen. Dabei geraten nicht nur geschützte Gesundheitsdaten in Gefahr, sondern auch Personalmodelle oder strategische Pläne und vor allem Betriebszeit und Patientensicherheit.

Bevor Sie also zu einem KI-Tool wechseln, sollten Sie sich die Frage stellen, wo seine Ausgaben in den Arbeitsabläufen auftauchen werden und was passiert, wenn diese nicht stimmen. Selbst wohlmeinende automatisierte Aktionen wie KI-gestützte Kontosperrungen dürfen nicht dazu führen, dass zeitkritische Dinge wie eine Operation entgleisen oder Ärzte zu unsicheren Notlösungen gezwungen werden.

Es geht auch nicht nur um Extremfälle. Wer „alles blockiert“, hemmt die Innovation, wer „alles zulässt“, verliert die Kontrolle. Gehen Sie also einen gemäßigten Weg: adaptive Richtlinien, vom Unternehmen kontrollierte KI und klare Leitlinien, damit Daten geschützt bleiben und Sie trotzdem flexibel agieren können.

Vom „Department of No“ zum „Department of Know“

Wenn KI etwas zur Weiterentwicklung zwingt, dann ist es die Governance-Kultur.

Das vertraute Modell, das die meisten von uns kennen, betrachtet Sicherheit als ein „Department of No“ – ein Ort, an dem Anfragen eingehen und so lange rausgezögert werden, bis schließlich niemand mehr nachfragt. Das funktioniert im Gesundheitswesen nicht, wo Klinikteams trotzdem ihre Arbeit verrichten müssen und viel mehr auf dem Spiel steht als bei einer verzögerten Produkteinführung.

Anstatt die Sicherheit als Blockierungsmechanismus zu verstehen, sollte man sie sich als Ort vorstellen, an dem Menschen nach Verständnis suchen: das „Department of Know“. Das sind Sicherheitsteams, die wissen, wo Daten gespeichert sind, wie sie sich zwischen Systemen bewegen und welche KI-Tools darauf unter welchen Bedingungen zugreifen.

Dies erfordert ein Modell, bei dem die Sicherheit etwa ein Drittel der Risikoentscheidungen übernimmt, während die Compliance und die Datenverwaltung den Rest bewältigen. Eine solche „33-Prozent-Regel“ stellt sicher, dass keine einzelne Geschäftsfunktion Richter, Geschworener und Henker zugleich ist. Sie bringt Unternehmen von einer „Der CISO wird es lösen“-Mentalität hin zu einer wirklich gemeinsamen Sicht auf das KI-Risiko.

Das Gespräch verlagert sich. Von „Können wir das tun?“ hin zu „Was muss erfüllt sein, damit wir das sicher tun können?“

„Die Sicherheit sollte nicht alle Komponenten diktieren, das Blockieren übernehmen, die Strategie festlegen und alles drumherum erledigen. Sie müssen andere Interessengruppen integrieren.“
— Steven Ramirez, Vizepräsident und Chief Information Security & Technology Officer (CISTO), Renown Health

Was man ignoriert, kann nicht gesichert werden

Nach Jahren, in denen der Fokus auf der digitalen Transformation lag, leitet die KI im Gesundheitswesen eine neue Phase ein: Datentransformation und -Governance. Die KI ist nur so effektiv wie die Daten, die ihr zugrunde liegen. Daher sind Pflege, Eigentum und Klassifizierung nicht verhandelbar.

Und obwohl viele Unternehmen immer noch eine vollständige Datenerfassung vermeiden, sollten Sie nicht vergessen, dass die KI aus allem lernt, worauf sie zugreifen kann. Das Ignorieren von Gefahrenquellen macht Sie also nicht sicherer, sondern sorgt nur dafür, dass Sie Probleme später entdecken, wenn diese nur noch schwer einzudämmen sind.

Der Schutz der KI beginnt mit dem Schutz der Daten. Sie müssen wissen, wo sich sensible Informationen im Ruhezustand, in Bewegung und in Verwendung befinden, und konstante Kontrollen über alle Instanzen hinweg durchführen. Das erfordert eine ernstgemeinte Kooperation zwischen Sicherheits- und Datenteams, denn so wie Sie nicht schützen können, was Sie nicht verstehen, können Datenverantwortliche die KI nicht sicher voranbringen, ohne die Themen Risiko, Compliance und Datenschutz im Griff zu haben.

Tabletop-Übungen, bei denen KI-Sicherheitsvorfälle in Echtzeit simuliert werden, können dazu beitragen, sowohl das Risikobewusstsein als auch die Datenqualität zu verbessern. Aber im weiteren Sinne geht es darum, vom Gatekeeping zum Enabling überzugehen, wobei die Sicherheit den Dateneigentümern die nötige Transparenz und Leitlinien bietet, um fundierte Entscheidungen darüber zu treffen, wie die KI mit ihren Daten interagiert. 

Mit Nutzern zusammenzuarbeiten ist besser als ein ständiges Blockieren, denn wer dem Workflow am nächsten ist, weiß auch, wo die Randfälle liegen, und kann Probleme frühzeitig erkennen, wenn die Sicherheit als Hilfsmittel und nicht als Hindernis gesehen wird.

„Ich denke, die KI zwingt uns, wie schon bei der digitalen Transformation, zu einer stärkeren Datentransformation, um sicherzustellen, dass mehr Governance und Eigenverantwortung in diesen jeweiligen Bereichen vorliegt."
— Steven Ramirez, Vizepräsident und Chief Information Security & Technology Officer (CISTO), Renown Health

KI als Bedrohungsmultiplikator und defensiver Verbündeter

Die KI verändert nicht nur das Gesundheitswesen, sondern auch die Vorgehensweise von Angreifern. KI-gesteuertes Speer-Phishing übertrifft bereits herkömmliche Kampagnen, und nationalstaatliche Akteure setzen KI in der gesamten Angriffskette ein, von der Aufklärung bis zur Nutzlast.

Daher müssen Sicherheitsteams entsprechend reagieren und die KI defensiv einsetzen, um das Verhalten zu beobachten, zu erkennen, was „normal“ bedeutet, und subtile Anomalien nahezu in Echtzeit zu bemerken. Anstatt sich auf abgekoppelte Toolsets zu verlassen, benötigen Sie ein integriertes digitales Ökosystem: Plattformen, die nahtlos miteinander kommunizieren, einheitliche Richtlinien unterstützen und KI in Ihrem elektronischen Kernsystem verankern.

Und da sich die Governance verstärkt, um der Dringlichkeit der Zeit zu entsprechen, verlagert sich die Aufsicht von vierteljährlich auf monatlich oder sogar wöchentlich, während KI-Pilotprojekte mit dem Ziel beschleunigt werden, neue Tools schnell zu bewerten, ohne auf die Konstanz zu verzichten.

Das Webinar endete damit, dass die Expertenrunde vier einfache Schritte vorstellte, die Sie befolgen können: 

1. Nicht nur Patching, sondern kompensierende Kontrollmechanismen: Fragen Sie sich, was Sie vor einem schwerwiegenden Zwischenfall bewahrt, falls morgen ein neuer KI-gestützter Angriffspfad ausgenutzt wird.
2. Geschichtenerzähler und Partner, nicht nur Aufpasser: Um mit der Konkurrenz mitzuhalten, müssen Sie und Ihr Unternehmen erkennen, wie eine sichere KI Sie tatsächlich voranbringen kann.
3. Schatten-KI und die unkontrollierte Ausbreitung von SaaS-KI im Griff behalten: Seien Sie sich bewusst, welche Tools die Leute verwenden, wie die Daten sich darin bewegen und wo KI-Funktionen eingeführt wurden, und führen Sie Kontrollmaßnahmen durch, bevor es zu einem Datenverlust kommt, nicht erst danach.
4. Wechsel von reaktiv zu proaktiv: Befähigen Sie das Unternehmen, behalten Sie den Überblick und behandeln Sie die KI als ein fortlaufendes, gemeinschaftliches Programm, nicht als einmaliges Projekt.

Letztendlich ist die Entwicklung vom „Department of No“ zum „Department of Know“ eine Veränderung, mit der Sie den KI-Ansturm von einer Quelle des Chaos in eine Fähigkeit verwandeln, die Sie in die Richtung sicherer Pflege, strengerer Kontrolle und intelligenter Innovation lenken können.

„Eine effektive Datenverwaltung und Datenschutzstrategien tragen zur Datenqualität bei und stellen sicher, dass wir über gute Datenquellen verfügen und verfolgen. Außerdem wird so sichergestellt, dass jeder seine Hausaufgaben macht und dafür sorgt, dass die Datenverantwortlichen und Dateneigentümer auch tatsächlich dafür die Verantwortung tragen.“
— Steven Ramirez, Vizepräsident und Chief Information Security & Technology Officer (CISTO), Renown Health

Sehen Sie sich das On-Demand-Webinar an und erfahren Sie, wie führende Cyber-Führungskräfte ihre Ablehnung überwinden und zu echten Innovationspartnern werden. Erfahren Sie, wie Sie den Zero-Trust-Schutz durchsetzen und die nötige Echtzeit-Transparenz erhalten, um die Zukunft der Pflege zu sichern.

Sie nehmen an der HIMSS 2026 teil? Machen Sie sich bereit, die Zukunft der klinischen Sicherheit zu erleben und sichern Sie sich einen Platz in der ersten Reihe für eine Live-Demo am Netskope-Stand Nr. 10107. Bleiben Sie hier über alles auf dem Laufenden, was Netskope auf der HIMSS zu bieten hat.