NOUSEC adressiert beide menschlichen Fehlerquellen im Gesundheitswesen, nicht nur die, gegen die Anbieter üblicherweise verkaufen. Täuschung wird mit Simulation über acht Kanäle und einer präzisen Rückmeldung zu jeder Antwort abgedeckt; Irrtum mit Messung und Verantwortlichkeit – Engagement-Klassifizierung, Richtlinienbestätigung mit Versionsverfolgung und einem Abschluss, der sich nicht fälschen lässt –, zugewiesen nach gemessenen Fehlern statt nach einem Jahreskalender. Weil klinisches Personal im Schichtdienst arbeitet und oft einen Arbeitsplatz teilt, wird der Abschluss serverseitig anhand angesehener Sekunden geprüft: Ein zwischen zwei Patienten geöffnetes und abgebrochenes Modul gilt nicht als erledigt.
Die E-Mail-Angriffsfläche in ihren eigenen Zahlen.
Das Gesundheitswesen hat zwei menschliche Fehlerquellen. Die meisten Programme trainieren nur eine.
Täuschung bekommt die ganze Aufmerksamkeit. In dieser Branche gehört der Irrtum zu den drei häufigsten Mustern.
Täuschung
Systemeinbrüche und Social Engineering. Phishing nach Zugangsdaten für klinische Portale, Rückruf-Vorwände beim IT-Servicedesk, QR-Köder auf Drucksachen in öffentlichen Bereichen.
Unsere Antwort: Mehrkanal-Simulation, eine Rückmeldung zu jeder Antwort, die das verräterische Signal benennt, und adaptive Zuweisung nach Fehlern.
Irrtum
Fehlversand, Fehlkonfiguration, der falsche Anhang, die offen gelassene gemeinsame Sitzung.
Unsere Antwort heute: das Modul zu schädlichen Anhängen und Links, Richtlinienbestätigung mit Versionsverfolgung gegen Ihre eigene Datenrichtlinie, eine Engagement-Klassifizierung, die Lesende von Durchklickenden trennt, und die serverseitige Abschlussprüfung, die verhindert, dass ein halb bearbeitetes Modul als erledigt zählt.
Ein Programm, das nur Misstrauen trainiert, lässt das dritthäufigste Muster der Branche unberührt. Deshalb ist diese Seite keine Kopie der Seite für Finanzdienstleister.
Eine Pflegekraft im Nachtdienst sitzt keine zwanzig Minuten vor einem Modul.
Reichweite ist hier zuerst eine Frage von Format und Kanal, erst dann von Schulung. Drei Gruppen, drei verschiedene Antworten.
Klinisch, im Schichtdienst
Mikroformate. Poster und Infografiken für Stationsbereiche, kurze Module, die dort weiterlaufen, wo sie unterbrochen wurden, und QR-Code-Simulation, weil dieser Kanal Menschen fern vom Schreibtisch erreicht. Nichts, was ein privates Gerät voraussetzt.
Gemeinsam genutzte Arbeitsplätze
Der Abschluss wird serverseitig anhand angesehener Sekunden zugeordnet; ein an einem gemeinsamen Terminal geöffnetes und verlassenes Modul gilt also nicht als abgeschlossen. Die Engagement-Klassifizierung trennt „Übersprungen“ von „Tief engagiert“, statt beides als erledigt zu zählen.
Verwaltung und Back Office
Die Gruppe, in der Fehlversand und BEC tatsächlich ankommen. Simulation per E-Mail, SMS und Rückruf, dazu die Module zu BEC und schädlichen Anhängen.
14 Formate über die Pakete hinweg, 30 Sprachen – 9 davon heute vollständig lokalisiert, 21 weitere auf Anfrage – und ein Lehrplan, der BEC, Credential Harvesting, schädliche Anhänge und Links sowie Passworthygiene abdeckt.
Der Artikel – und der Nachweis, der ihn beantwortet.
| Regelwerk | Artikel | Was es verlangt | Wie NOUSEC es nachweist |
|---|---|---|---|
| NIS2[3] | Art. 21 Abs. 2 Buchst. g | Cyberhygiene und Schulungen im Bereich der Cybersicherheit als verpflichtende Mindestmaßnahme. Das Gesundheitswesen ist Anhang I, Sektor 5 – Gesundheitsdienstleister, EU-Referenzlaboratorien, pharmazeutische Forschung und Herstellung sowie Hersteller von Produkten, die in einer gesundheitlichen Notlage als kritisch gelten. | Serverseitige Abschlussprüfung; prüfungsbereinigte Compliance-Scorecard. |
| NIS2 | Art. 20 Abs. 2 | Schulungen der Leitungsorgane sind verpflichtend; Schulungen der Beschäftigten werden hier empfohlen und durch Art. 21 Abs. 2 Buchst. g vorgeschrieben. | Eine eigene Kohorte für die Leitung mit eigenen Zertifikaten. |
| DSGVO | Art. 39 Abs. 1 Buchst. b, Art. 32 | Sensibilisierung und Schulung als Teil der Überwachungsaufgabe des Datenschutzbeauftragten; geeignete technische und organisatorische Maßnahmen. | Richtlinienbestätigung mit Versionsverfolgung; Audit-Log; SIEM-Export. |
| ISO/IEC 27701:2022 | — | Erweiterung um ein Datenschutz-Informationsmanagement. | Pro Mandant auswählbar. |
| ISO/IEC 27001:2022[5] | Abschn. 7.2 / 7.3, A 6.3 | Kompetenz, Bewusstsein, Schulung. | Öffentliche Seite zur Zertifikatsprüfung. |
Die Zusammenfassungen der Vorschriften dienen der Orientierung und sind keine Rechtsberatung. Anwendungsbereich und Einstufung hängen von der Umsetzung in Ihrem Mitgliedstaat ab. Abschlussprüfung und Compliance-Scorecard ab Essentials; Richtlinienbestätigung und öffentliche Zertifikatsprüfung ab Professional; Audit-Log und SIEM-Export im Enterprise-Paket.
Die vier Mechanismen, auf denen diese Seite beruht.
Abschluss in angesehenen Sekunden gemessen
Kanäle, die eine Station erreichen
Engagement-Klassifizierung
Präzise Rückmeldung zu jeder Antwort
Weiterlesen: QR-Code-Phishing-Angriffe sowie die Glossareinträge zu Business E-Mail Compromise und Credential Stuffing. Unsere eigene Sicherheitslage steht unter Trust und Sicherheit.
Fragen
Was ein CISO und ein Datenschutzbeauftragter im Krankenhaus zuerst fragen.
Jede Zahl auf dieser Seite und woher sie stammt
Zuletzt geprüft: 21. Oktober 2026. Die Rechtszitate werden bei jeder Prüfung mit der konsolidierten Fassung auf EUR-Lex abgeglichen.
- 2026 Data Breach Investigations ReportVerizon Business – Branchenteil, S. 84 für Finanz- und Versicherungswesen (NAICS 52). Datenbasis: über 31.000 Vorfälle, über 22.000 bestätigte Datenpannen, 145 Länder, Okt. 2024 – Nov. 2025 · 2026Verwendet für: Gesundheitswesen (NAICS 62): 1.492 Vorfälle; 54 % menschlicher Faktor; 14 % Phishing gegenüber 20 % Ausnutzung von Schwachstellen; „Miscellaneous Errors“ und Social Engineering unter den drei Mustern, die 81 % der Datenschutzverletzungen abdecken.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024US-Gesundheitsministerium (HHS), Office for Civil Rights – S. 8–14 · 2024Verwendet für: 663 große Datenpannen, davon 164 per E-Mail; 534 Hacking- oder IT-Vorfälle (81 % der Meldungen) mit 241.582.022 Betroffenen, 99 % aller Betroffenen.
- Health Threat LandscapeENISA – Zeitraum Januar 2021 bis März 2023 · 2023Verwendet für: Anteil von Phishing an erheblichen, nach NIS gemeldeten Vorfällen im Gesundheitssektor: 8 % 2021, 26 % 2022 – zitiert statt des Social-Engineering-Anteils des Berichts, weil der Erstzugang in 95,3 % der beobachteten Fälle unbekannt war.
- Directive (EU) 2022/2555 (NIS2)Amtsblatt der Europäischen Union, ABl. L 333, 27.12.2022 · 2022Verwendet für: Art. 3, Art. 20 Abs. 2 und Art. 21 Abs. 2 Buchst. g; Anhang I Sektor 5 und Anhang II für allgemeine Medizinproduktehersteller.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Internationale Organisation für Normung (ISO) – 3. Ausgabe · 2022Verwendet für: Abschnitte 7.2 und 7.3; Titel der Anhang-A-Maßnahme 6.3.