Microsoft 365 im Krankenhaus
Praxiswissen aus Klinikprojekten zwischen KIS, Station und VerwaltungMicrosoft 365 im Krankenhaus
Betrieb rund um die Uhr, ein KIS mit drei Dutzend Subsystemen, Medizingeräte mit Windows aus der Steinzeit, drei Domänen aus drei Fusionen und ein Gesetzgeber, der im Jahrestakt nachschärft: Wer Microsoft 365 im Krankenhaus einführt, braucht mehr als eine Lizenzübersicht.
Krankenhäuser nutzen Microsoft 365 längst, nur selten mit Plan. Die Verwaltung arbeitet in Teams, das QM-Handbuch liegt auf dem Fileserver in drei Fassungen, die Station tauscht Belegungslisten als Excel-Datei, und irgendwo im Haus hat ein Hersteller eine App-Registrierung angelegt, die mehr darf als die IT-Leitung. Dieser Kompetenzbereich sortiert das Thema so, wie es sich in Kliniken tatsächlich stellt: nicht nach Produkten, sondern nach den Fragen, an denen Projekte dort hängen bleiben.
Ich begleite seit vielen Jahren einen Krankenhausverbund mit mehreren Standorten, von der Vertrauensstellung zwischen gewachsenen Domänen über die NTLM-Abschaltung und die Härtung der PKI bis zur Performance-Analyse einer Medizintechnik-Anwendung. Für ein anderes Krankenhaus habe ich QM-Handbücher mit SharePoint umgesetzt. Was hier steht, kommt aus dieser Arbeit, nicht aus einer Marketingabteilung.
|
Auf einen Blick |
|---|
Warum das Krankenhaus anders tickt
Ein Krankenhaus ist aus IT-Sicht weder ein großer Mittelständler noch eine Behörde mit Betten. Es hat kein Wartungsfenster, weil nachts operiert wird. Sein eigentliches Rückgrat ist nicht Microsoft 365, sondern das Krankenhausinformationssystem mit Labor, Radiologie, Bildarchiv und OP-Planung. Daneben hängen Medizingeräte im Netz, deren Betriebssystem der Hersteller nicht anfassen lässt. Und Microsoft 365 klebt an allem dran, als Kitt zwischen Verwaltung, Station und Technik.
Skizze 1: Das Krankenhaus in Schichten
Dazu kommen drei Welten, die sich gegenseitig nur bedingt verstehen: Medizin und Pflege arbeiten im Schichtdienst an gemeinsam genutzten Rechnern und wollen in zehn Sekunden am Ziel sein. Die Verwaltung arbeitet wie jede andere Verwaltung. Und die Technik, von der Haustechnik bis zur Medizintechnik, betreibt Systeme, bei denen ein Neustart zur falschen Zeit kein Ärgernis, sondern ein Risiko ist.
|
Merkmal |
Mittelstand |
Kommune |
Krankenhaus |
|---|---|---|---|
|
Betriebszeiten |
werktags, Wartung am Wochenende |
Kernarbeitszeit |
rund um die Uhr, kein echtes Wartungsfenster |
|
Führendes System |
ERP |
Fachverfahren |
KIS mit Dutzenden Subsystemen |
|
Arbeitsplätze |
persönlich |
persönlich |
viele gemeinsam genutzte Stationsrechner, Schichtwechsel |
|
Mitbestimmung |
Betriebsrat |
Personalrat |
Betriebsrat, Personalrat oder MAV, je nach Träger |
|
Datenschutz |
DSGVO |
DSGVO und Landesrecht |
dazu Schweigepflicht, Landeskrankenhausgesetz, teils kirchliches Recht |
|
IT-Sicherheitspflichten |
NIS2, wenn betroffen |
je nach Landesrecht |
NIS2, § 391 SGB V, B3S, § 393 SGB V für die Cloud |
|
Strukturwandel |
Zukäufe |
Gebietsreformen |
Fusionen, Trägerwechsel, Verbundbildung als Dauerzustand |
|
Der Versorgungsauftrag ist kein Freibrief „Das muss jetzt sofort gehen, hier geht es um Patienten“ ist der Satz, mit dem im Krankenhaus die meisten Sicherheitslücken entstehen. Er ist fast immer gut gemeint. Wer die Abläufe kennt, kann Regeln bauen, die schnell genug sind, damit niemand sie umgehen muss. Genau darum geht es in diesem Kompetenzbereich. |
|---|
Zum Einstieg: Microsoft 365 im Krankenhaus: Warum die Klinik anders tickt als Verwaltung und Mittelstand.
Patientendaten: Wo das KIS endet und das Office anfängt
Der Grundsatz ist einfach: Behandlungsdokumentation gehört ins KIS. Die Realität ist es nicht. Belegungslisten werden in Excel nachgebaut, weil der KIS-Export unhandlich ist. OP-Planungen wandern in einen Teams-Kanal, weil das schneller geht. Das Foto einer Wunde landet im Chat, weil das Diensthandy eine Kamera hat. Jede dieser Grauzonen hat einen nachvollziehbaren Grund und ein reales Risiko. Wer sie verbietet, ohne die Ursache zu beheben, bekommt sie nur besser versteckt.
Mehr dazu: Patientendaten und Microsoft 365: Wo das KIS endet und das Office anfängt.
|
Keine Rechtsberatung Ich bin Techniker, kein Jurist. Die Artikel beschreiben, was technisch möglich und organisatorisch sinnvoll ist, und benennen, wo Ihr Datenschutzbeauftragter und Ihr Justiziariat gefragt sind. Landeskrankenhausgesetze und Landesdatenschutzrecht unterscheiden sich, und zwar nicht nur in Nuancen. |
|---|
Pflichten: NIS2, § 391 und § 393 SGB V, B3S
Kaum eine Branche hat in den letzten Jahren so viel neue IT-Regulierung abbekommen. Das Problem ist selten eine einzelne Vorschrift, sondern dass jede für sich bearbeitet wird: das ISMS-Projekt hier, die Cloud-Prüfung dort, die Datenschutz-Folgenabschätzung irgendwann dazwischen. Microsoft 365 steht dabei mitten auf der Kreuzung.
Skizze 2: Pflichtenlandkarte für Microsoft 365 im Krankenhaus
|
Rechtsstand (Oktober 2026) Gesetze ändern sich gern zum Jahreswechsel. Prüfen Sie den aktuellen Stand, bevor Sie darauf ein Projekt bauen. |
|---|
|
C5: Das Testat des Anbieters ist nicht Ihr Nachweis Welche Microsoft-Dienste von welchem C5-Testat in welchem Typ abgedeckt sind, prüfen Sie im Service Trust Portal von Microsoft, und zwar für genau die Dienste, die Sie nutzen. Und selbst dann ist die Arbeit nicht getan: Jedes Testat enthält Kriterien, die der Kunde umsetzen muss. Die landen bei Ihnen, nicht bei Microsoft. |
|---|
Für die technische Umsetzung lohnt der Blick in den Artikel NIS2 technisch umsetzen mit Microsoft 365.
Trägerschaft entscheidet: Mitbestimmung und Datenschutzrecht
Ob am Tisch ein Betriebsrat, ein Personalrat oder eine Mitarbeitervertretung sitzt und ob die DSGVO, das katholische KDG oder das evangelische DSG-EKD gilt, hängt nicht an der Technik, sondern am Träger. Das verändert Verfahren, Ansprechpartner und Zeitpläne erheblich. Der gemeinsame Kern ist überall gleich: Microsoft 365 ist eine technische Einrichtung, die sich zur Leistungs- und Verhaltenskontrolle eignet. Wer das vor der technischen Entscheidung bespricht statt danach, spart Monate.
|
Trägerschaft |
Vertretung |
Datenschutz |
Typische Besonderheit |
|---|---|---|---|
|
Öffentlich, kommunal |
Personalrat |
DSGVO, Landesrecht |
Vergaberecht, Gremienbeschlüsse |
|
Privat |
Betriebsrat |
DSGVO, Landesrecht |
Konzernvorgaben, zentrale IT des Konzerns |
|
Freigemeinnützig, katholisch |
MAV |
KDG |
eigene Datenschutzaufsicht, Trägerholding |
|
Freigemeinnützig, evangelisch |
MAV |
DSG-EKD |
eigene Datenschutzaufsicht, Diakonie-Verbund |
|
Universitätsklinikum |
Personalrat |
DSGVO, Landesrecht |
Schnittstelle zu Fakultät und Hochschul-IT |
Für Häuser in kirchlicher Trägerschaft lohnt zusätzlich der Kompetenzbereich Microsoft 365 in Kirche, Diakonie und Caritas.
Lizenzen und die Pflege am Stationsrechner
Im Krankenhaus arbeitet nur ein Teil der Belegschaft am eigenen Schreibtisch. Die Pflege teilt sich Stationsrechner und Diensthandys im Schichtbetrieb, Funktionsdienste und Technik brauchen oft nur Intranet, Standards und ein paar Nachrichten. Wer alle gleich lizenziert, zahlt zu viel. Wer die falschen Lizenzen auf die falschen Geräte bringt, hat ein Compliance-Problem. Und gemeinsame Stationskonten sparen zwei Minuten beim Schichtwechsel und kosten im Ernstfall jede Nachvollziehbarkeit.
Teams im Krankenhaus: Zusammenarbeit mit Regeln
Teams ist in fast jedem Krankenhaus schon da, nur selten mit Plan. Jede Station hat ein Team, jede Kommission gleich zwei, Hersteller und Dienstleister sind als Gäste drin, seit Jahren und ohne Ablaufdatum, und irgendwo kursiert im Chat ein Foto, das ins KIS gehört hätte. Dabei ist Teams für die Klinik ein ausgezeichnetes Werkzeug, sobald klar ist, wofür es da ist und wofür nicht.
Seine Stärke spielt Teams überall dort aus, wo Menschen zusammenarbeiten, ohne am Patienten zu stehen: in der Hygiene-, Arzneimittel- und Ethikkommission, im Bauprojekt, bei der KIS-Einführung, in der Leitungsrunde über mehrere Standorte, bei der Einarbeitung neuer Ärzte und Pflegekräfte. Es ist kein Ersatz für die Klinik-Kommunikation des KIS und kein Ort für Befunde. Wer diese Grenze ausspricht und mit Vorlagen, Anlageregeln und einem Lebenszyklus untermauert, bekommt ein Teams, das aufgeräumt bleibt, statt nach zwei Jahren ein zweiter Fileserver zu sein.
Skizze 3: Teams im Krankenhaus, grüne und rote Zone
|
Einsatzfeld |
Teams-Typ |
Wer legt an |
Lebensdauer |
|---|---|---|---|
|
Kommissionen und Gremien |
privates Team mit Vorlage |
QM oder Geschäftsführung |
dauerhaft, jährliche Überprüfung |
|
Projekte |
Projektvorlage |
Projektleitung auf Antrag |
bis Projektende, dann Archiv |
|
Leitungsrunden |
privates Team |
IT auf Antrag |
dauerhaft |
|
Standortübergreifende Abteilungen |
Team je Fachbereich |
IT auf Antrag |
dauerhaft |
|
Zusammenarbeit mit Externen |
geteilter Kanal oder Gastzugriff |
IT, mit Sponsor |
mit Ablaufdatum |
|
Praxis-Tipp: Zuerst die rote Zone aussprechen Die wirksamste Teams-Regel im Krankenhaus ist keine technische, sondern ein Satz der Geschäftsführung: „Patientendaten gehören ins KIS, nicht in Teams.“ Erst danach lohnt es sich, über DLP-Regeln zu reden, die genau das überwachen. |
|---|
Teams-Telefonie: Unteranlage für Verwaltung und ärztliche Leitung
Die Telefonie ist im Krankenhaus ein Sonderfall. Die große Klinik-TK-Anlage trägt DECT auf Station, Zentrale und Vermittlung, Rufbereitschaft, Patiententelefone, Aufzugnotruf und Notruf. Sie verschwindet nicht, nur weil die Verwaltung Teams mag. Profitieren können aber die Wissensarbeiter in der Verwaltung und die ärztlichen Leitungspositionen ab Oberarzt, die zwischen Standorten, Besprechungen und Homeoffice unterwegs sind. Für sie wird Teams Phone als Unteranlage über einen Session Border Controller an die Klinik-TK angebunden: Die Durchwahl bleibt, die Zentrale verbindet weiter, und wer nicht erreichbar ist, fällt auf DECT oder Diensthandy zurück.
Skizze 4: Teams-Telefonie als Unteranlage der Klinik-TK
QM-Handbuch und Dokumentenlenkung mit SharePoint
Hier steckt der vermutlich unterschätzteste Hebel im ganzen Haus. Jedes Krankenhaus muss ein einrichtungsinternes Qualitätsmanagement betreiben, und fast jedes hat dafür einen Berg an Verfahrensanweisungen, Standards, Hygieneplänen und Formularen. Der Berg ist nicht das Problem. Das Problem ist, dass niemand sicher sagen kann, welche Fassung gilt, wer sie freigegeben hat und wann sie zuletzt geprüft wurde. Im Zertifizierungsaudit fällt das auf, im Nachtdienst auch, dort nur mit schlimmeren Folgen.
Skizze 5: Dokumentenpyramide und Lebenszyklus eines gelenkten Dokuments
SharePoint kann das sauber abbilden, wenn man es lässt: Inhaltstypen für die Ebenen der Pyramide, Metadaten für Geltungsbereich, Verantwortlichen und Prüfdatum, Haupt- und Nebenversionen für Entwurf und Freigabe, Ansichten für überfällige Revisionen und eine Veröffentlichung, die auf der Station in drei Klicks gefunden wird. Mit dem eigenen Werkzeug CosyTrack.Publisher lassen sich Word-Dokumente als SharePoint-Seiten veröffentlichen, sodass die Autoren in ihrem gewohnten Werkzeug bleiben.
|
Aus der Praxis: QM-Handbücher für ein Krankenhaus Ich habe für ein Krankenhaus QM-Handbücher mit SharePoint umgesetzt. Die Technik war dabei der kleinere Teil. Der größere war die Frage, wer was freigibt, was mit Dokumenten passiert, deren Verantwortlicher das Haus verlassen hat, und wie die Station die gültige Fassung findet, ohne die Ordnerstruktur des QM zu kennen. Wer diese Fragen vorher beantwortet, bekommt ein System, das im Audit hält. |
|---|
Zum allgemeinen Hintergrund: Dokumentenlenkung nach ISO 9001 und der Kompetenzbereich SharePoint.
Copilot: Erst aufräumen, dann ausrollen
Copilot findet alles, worauf der Nutzer zugreifen darf. In gewachsenen Klinik-Tenants ist das oft deutlich mehr, als irgendjemand beabsichtigt hat: Personalakten, Gutachten, Beschwerden und, ja, Belegungslisten mit Patientennamen. Sinnvolle Einsatzfelder gibt es reichlich, in Verwaltung, QM und Leitung. Medizinische Einsatzfelder sind ein anderes Thema mit eigenem Rechtsrahmen. Die Reihenfolge bleibt: Berechtigungslage prüfen, pilotieren, dann ausrollen.
Vertiefung: der Kompetenzbereich Microsoft 365 Copilot.
Infrastruktur im Klinikverbund: Domänen, Kerberos, PKI
Fusionen hinterlassen Spuren im Active Directory. Ein typischer Verbund hat eine Zentraldomäne und mehrere Altdomänen übernommener Häuser, verbunden über Vertrauensstellungen, die irgendwann in der Fusionsphase schnell eingerichtet wurden. Externe Vertrauensstellungen erzwingen dabei gern NTLM, und genau das soll eigentlich weg. Die gute Nachricht: Eine vollständige Migration aller Häuser in eine Domäne ist selten nötig. Oft ziehen nur Verwaltung, IT und Finanzwesen um, und das Ziel heißt saubere Koexistenz.
Skizze 6: Klinikverbund mit Zentraldomäne, Altdomänen und gemeinsamem Tenant
|
Aus der Praxis: Ein Verbund, viele Baustellen In einem Krankenhausverbund mit mehreren Standorten haben wir externe Vertrauensstellungen durch Gesamtstruktur-Vertrauensstellungen ersetzt und den Kerberos-Verkehr per Netzwerkmitschnitt geprüft, Dienstkonten von RC4 auf AES gehoben, eine NTLM-Abschaltung in Stufen geplant und die über Jahre gewachsene Zertifizierungsstelle für neue Anforderungen gehärtet. Keine dieser Baustellen war für sich spektakulär. Zusammen entscheiden sie darüber, ob Microsoft 365 auf einem tragfähigen Fundament steht. |
|---|
Vertiefung: Kompetenzbereich Kerberos, Kompetenzbereich PKI mit ADCS und Kompetenzbereich Microsoft Entra ID.
SQL Server unter Klinikanwendungen
Viele Subsysteme und Fachanwendungen laufen auf SQL Server, und niemand fühlt sich so richtig zuständig: Der Hersteller verantwortet die Anwendung, die IT den Server, und dazwischen veralten Statistiken, stoppt der Agent und läuft die Datenbank seit Jahren ohne Konsistenzprüfung. Wenn dann die Medizintechnik meldet, dass ihre Anwendung unbenutzbar langsam ist, wird aus dem Nebensystem schlagartig die Hauptsache.
|
Aus der Praxis: Terabytes, die niemand bestellt hat Bei der Analyse einer Medizintechnik-Anwendung in einem Krankenhausverbund las der Server in einer anderthalbstündigen Messung ein Vielfaches seiner eigenen Datenbankgröße, und zwar immer wieder. Mehr Arbeitsspeicher löste das Leseproblem, aber die Anwendung fühlte sich danach trotzdem nicht schneller an. Warum, und was dann tatsächlich half, zeigt der Fachartikel. Kurzfassung: Messen, Maßnahme, Nachmessen, und zwar mit dem Hersteller an einem Tisch. |
|---|
Vertiefung: der Kompetenzbereich SQL Server.
Security und Notfall
Krankenhäuser sind ein bevorzugtes Ziel, weil der Druck im Ernstfall enorm ist. Die wirksamsten Maßnahmen sind unspektakulär: MFA für alle externen Zugänge, Schutz privilegierter Konten, Dienstleisterzugänge mit Ablaufdatum, Datensicherung, die offline liegt und getestet ist. Und für den Tag, an dem trotzdem etwas passiert: ein Notbetrieb, der geübt wurde. Die großen Schäden entstehen selten durch den Angreifer allein, sondern weil niemand weiß, wer den Stecker ziehen darf.
Vertiefung: der Kompetenzbereich Microsoft 365 Security.
Beratung zum Festpreis
Meine Beratung ist in klar umrissene Bausteine geschnitten: fester Umfang, fester Liefergegenstand, fester Preis. Das macht die Beauftragung einfach und das Ergebnis überprüfbar. Danach begleite ich auf Wunsch kontinuierlich weiter, als Sparringspartner auf Abruf.
|
Baustein |
Umfang |
Festpreis zzgl. USt. |
|---|---|---|
|
Microsoft-365-Einführungskonzept, Krankenhausedition |
4,5 Tage |
6.750 € |
|
Teams-Einführungskonzept, Krankenhausedition |
4,5 Tage |
6.750 € |
|
Konzept QM-Dokumentenlenkung mit SharePoint |
4,5 Tage |
6.750 € |
|
Teams-Telefonie-Grobkonzept (Unteranlage) |
3,5 Tage |
5.250 € |
|
Entra-ID-Überprüfung |
werkzeuggestützt, rein lesend |
2.000 € |
|
Copilot- und Oversharing-Überprüfung |
werkzeuggestützt, rein lesend |
2.000 € |
Alle Einzelheiten: Beratung für Krankenhäuser.
Schulungen und Workshops
Vom halbtägigen Entscheider-Workshop für das Direktorium bis zum Arbeitstag mit QM und Pflegedirektion am QM-Handbuch: Alle Formate sind Inhouse-Individualworkshops, zugeschnitten auf Ihr Haus. Zur Übersicht: Schulungen für Krankenhäuser.
Alle Fachartikel im Überblick
Einordnung, Pflichten und Entscheidung
Qualitätsmanagement, Dokumente und Teams
Identität, Infrastruktur, Telefonie und Sicherheit
Häufige Fragen
Dürfen Krankenhäuser Microsoft 365 überhaupt nutzen?
Ja, und die allermeisten tun es längst. Die entscheidende Frage ist nicht ob, sondern wofür und wie. Wer in Microsoft 365 Gesundheitsdaten verarbeitet, muss die Anforderungen aus § 393 SGB V erfüllen, also unter anderem ein aktuelles C5-Testat für die genutzten Dienste nachweisen und die Kundenkriterien daraus umsetzen. Dazu kommen Schweigepflicht, Datenschutzrecht des Trägers und die Pflichten zur IT-Sicherheit. Die Bewertung trifft Ihr Haus mit dem Datenschutzbeauftragten, ich liefere die technische Grundlage dafür.
Gehören Patientendaten in Microsoft 365?
Behandlungsdokumentation gehört ins KIS und seine Subsysteme. In der Praxis landen Patientendaten trotzdem in Excel-Listen, Teams-Chats und Mail-Anhängen, meist weil im KIS eine Funktion fehlt oder unhandlich ist. Diese Grauzonen sollten Sie kennen, bewerten und gezielt auflösen, statt sie pauschal zu verbieten.
Was ist der Unterschied zwischen § 391 SGB V und den NIS2-Pflichten?
Seit dem NIS2-Umsetzungsgesetz verpflichtet § 391 SGB V alle Krankenhäuser zu angemessenen Vorkehrungen nach dem Stand der Technik, soweit sie nicht Betreiber kritischer Anlagen sind. Für Betreiber kritischer Anlagen gelten die Pflichten des BSI-Gesetzes mit eigenen Nachweisen. In beiden Fällen ist der B3S „Medizinische Versorgung“ der naheliegende Umsetzungsrahmen. Für Microsoft 365 bedeutet das ganz konkret: Identitäten, privilegierte Konten, Protokollierung, Datensicherung und Dienstleisterzugänge müssen sauber geregelt sein.
Wie bekommen wir unser QM-Handbuch aus dem Fileserver heraus?
Mit einem Konzept, bevor die erste Datei verschoben wird. Wer einfach die Ordnerstruktur nach SharePoint kopiert, hat danach dasselbe Durcheinander an einem neuen Ort. Erst kommen Dokumentenarten, Metadaten, Freigabewege und Verantwortlichkeiten, dann die Migration. Genau dafür gibt es den Baustein Konzept QM-Dokumentenlenkung.
Brauchen Pflegekräfte eine volle Microsoft-365-Lizenz?
Meistens nicht. Für Mitarbeiterinnen und Mitarbeiter, die vor allem gemeinsam genutzte Geräte, Intranet, Standards und Nachrichten nutzen, gibt es Frontline-Pläne. Wo deren Grenzen liegen, etwa bei Desktop-Anwendungen, Postfachgröße oder Geräten, sollten Sie vor der Beschaffung prüfen.
Wie bekommen wir Teams im Haus in den Griff?
Mit einem Konzept, das zuerst die Einsatzfelder und die rote Zone festlegt und dann die Regeln: wer Teams anlegen darf, welche Vorlagen es gibt, wie Gäste mit Ablaufdatum hineinkommen, wann ein Team archiviert wird und was die Vertretung der Belegschaft dazu vereinbart. Danach lässt sich der Bestand aufräumen, ohne dass jemand seine Kommission verliert. Genau dafür gibt es den Baustein Teams-Einführungskonzept.
Ersetzt Teams Phone unsere Klinik-Telefonanlage?
In aller Regel nicht. Station, DECT, Zentrale, Rufbereitschaft und Patiententelefone bleiben an der Klinik-TK. Sinnvoll ist Teams Phone als Unteranlage für Verwaltung und ärztliche Leitungspositionen, angebunden über einen Session Border Controller. Ob Ihre Anlage eine solche Querverbindung unterstützt und was das kostet, klärt das Grobkonzept.
Wir sind ein Verbund aus mehreren Häusern. Ein Tenant oder mehrere?
In den meisten Verbünden ist ein gemeinsamer Tenant mit sauber delegierter Verwaltung je Haus die bessere Wahl. Getrennte Tenants können sinnvoll sein, wenn Gesellschaften rechtlich und organisatorisch dauerhaft getrennt bleiben sollen oder ein Verkauf absehbar ist. Die Entscheidung hängt an Trägerstruktur und Datenschutz, nicht an der Technik.
Arbeiten Sie auch für kleinere Häuser?
Ja, gerade dort. Ein Haus mit drei IT-Leuten hat dieselben Pflichten wie ein Maximalversorger, nur weniger Hände. Für solche Häuser ist ein kompaktes, fest umrissenes Konzept meist wertvoller als ein Großprojekt.
Dieses Consulting-Dokument steht als PDF zum Download bereit: https://www.boddenberg.de/ArtikelPdf/microsoft-365-im-3.pdf — © Ulrich B. Boddenberg · boddenberg.de
