Zwischen Innovationsdruck und Sicherheitsanforderungen: die Cyber-Herausforderung der Life Sciences-Branche

Hohes Risiko, weitreichende Auswirkungen

Organisationen im Life Sciences-Sektor sind mit einer der komplexesten Gefährdungslagen aller Branchen konfrontiert. Im Gegensatz zu rein digitalen Unternehmen oder traditionellen Fertigungsbetrieben sind sie sowohl auf komplexe physische als auch auf hoch entwickelte digitale Lieferketten angewiesen. Entsprechend umfangreich ist ihre IT- und Operational Technology-Landschaft, und diese technische Infrastruktur birgt Risiken in Form von Cybersicherheitsbedrohungen.

Auch die Vertraulichkeit ist ein entscheidender Faktor. Life Science-Unternehmen verfügen über einige der weltweit wertvollsten geistigen Eigentumsrechte, darunter Daten zur Wirkstoffforschung, Ergebnisse klinischer Studien sowie Patienteninformationen, was sie zu bevorzugten Zielen für Datendiebstahl und Ransomware-Angriffe macht.

Für den Sektor geht Cybersicherheit über den Schutz von Daten und Geschäftsgeheimnissen hinaus. Zuverlässigkeit ist ebenso entscheidend – insbesondere vor dem Hintergrund des zunehmenden Einsatzes von Biologika und speziellen Medikamenten, deren Haltbarkeit deutlich kürzer ist als die klassischer Arzneimittel. Kommt es zu Produktionsunterbrechungen, ist eine schnelle Wiederaufnahme zwingend erforderlich. Weder die Behandlung der Patient*innen noch die begrenzte Haltbarkeit der Medikamente lassen längere Verzögerungen zu.

Darüber hinaus muss die Datenintegrität gewährleistet sein, um sicherzustellen, dass die Informationen, auf deren Grundlage Entscheidungen in Milliardenhöhe sowie lebensrettende Behandlungen getätigt werden, nicht manipuliert wurden. Da KI-Modelle bei der Arzneimittelentwicklung und -innovation eine immer zentralere Rolle spielen, stellen Bedrohungen wie „Model Poisoning“ und Inversionsangriffe völlig neue Angriffsvektoren dar, gegen die sich viele Organisationen erst noch zu wappnen lernen müssen.

In Kombination mit den Cyberrisiken, die auch andere produktionsnahe Branchen betreffen, sowie dem komplexen Geflecht regulatorischer Anforderungen, denen diese Unternehmen unterliegen, überrascht es nicht, dass für viele Life Sciences-Organisationen das Thema Cybersicherheit eine entscheidende Rolle im Geschäftsbetrieb spielt.

Das regulatorische Labyrinth

Zusätzlich zu den technischen Anforderungen müssen sich Unternehmen der Life Sciences-Branche in einem zunehmend komplexen regulatorischen Umfeld zurechtfinden. Die NIS2-Richtlinie beispielsweise, die große Pharmaunternehmen als kritische Infrastruktur einstuft, stellt globale Unternehmen vor besondere Herausforderungen. Im Gegensatz zu Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) handelt es sich bei NIS2 um eine Richtlinie und nicht um ein Gesetz. Das bedeutet, dass einzelne Länder diese auf unterschiedliche Weise umsetzen und manche noch gar nicht implementiert haben.

Über NIS2 hinaus stehen Life Sciences-Unternehmen vor weiteren komplexen Fragestellungen. Dazu zählt unter anderem, was als meldepflichtiger Sicherheitsvorfall gilt, wie mit einer Vielzahl unterschiedlicher Zertifizierungssysteme umzugehen ist und auf welche Weise neue regulatorische Vorgaben auf sich wandelnde Technologien wie KI-gestützte Diagnostik anzuwenden sind. Die Herausforderung liegt dabei nicht allein in der Compliance. Entscheidend ist, regulatorische Anforderungen zu erfüllen und zugleich das für die Branche notwendige Innovationstempo aufrechtzuerhalten. Beiden Zielen gleichermaßen gerecht zu werden, stellt eine erhebliche Belastung dar.

Das Gesundheitswesen: ein Schwachpunkt in der Cybersicherheitskette

Die Abhängigkeit der Life Sciences von komplexen Lieferketten bringt eine weitere Schwachstelle mit sich: die unterschiedlichen Reifegrade der Cybersicherheit in angrenzenden Branchen. Dies zeigt sich besonders deutlich im Gesundheitswesen. Dort entsteht ein erhebliches Risiko durch die Diskrepanz zwischen dem Sicherheitsniveau großer Pharmaunternehmen und dem von Krankenhäusern sowie kleineren Gesundheitsdienstleistern. In klinischen Umfeldern tritt Cybersicherheit häufig hinter die unmittelbare Patientenversorgung zurück – nachvollziehbar, jedoch nicht ohne Nachteile für den Sektor insgesamt.

Sicherheitsaufgaben werden häufig von Mitarbeiter*innen ohne spezifische Cybersecurity-Expertise übernommen, oft in Teams mit begrenzten Ressourcen. Zudem fehlt es nicht selten an einer ausgeprägten Sicherheitskultur. Patientenakten sind mitunter auch für Beschäftigte zugänglich, die keinen Bezug zur Behandlung der jeweiligen Patient*innen haben. Das verdeutlicht die Lücke zwischen technischen Schutzmaßnahmen und sicherheitsbewusstem Verhalten im Arbeitsalltag. Ein treffendes Beispiel für diese Kompetenzlücke ist der Katastrophenschutz-Test eines britischen Krankenhauses, der spektakulär schiefging: Die Verantwortlichen hatten nicht sichergestellt, dass der normale Betrieb während der Übung tatsächlich weiterlaufen konnte. In der Folge fielen zentrale operative Systeme aus.

Die finanziellen Engpässe, mit denen Einrichtungen des Gesundheitswesens umgehen müssen, verschärfen diese Herausforderungen zusätzlich. Angesichts knapper Budgets fließt das Geld, das für Informationssicherheit ausgegeben wird, nicht in die Patientenversorgung oder medizinische Innovationen – ein schwieriger Kompromiss, der dazu führt, dass Sicherheitslücken nicht geschlossen werden.

Vor diesem Hintergrund haben viele Organisationen im Life Sciences-Sektor Sicherheitsstandards definiert, die Einrichtungen im Gesundheitswesen erfüllen müssen, um mit ihnen zusammenzuarbeiten oder Partnerschaften einzugehen. Damit wird deutlich, dass in einer so stark vernetzten Branche die Sicherheit stets nur so stark ist wie das schwächste Glied in der Lieferkette.

Die Einführung von Standards wie der ISO 27001 ist für datenbasierte Kooperationen inzwischen eine Selbstverständlichkeit. Gleichzeitig werden Investitionen in Sicherheitsmaßnahmen, Segmentierung und Threat Intelligence zunehmend nicht mehr als reiner Kostenfaktor verstanden, sondern als unverzichtbare Infrastruktur für einen innovationsgetriebenen Sektor.

KI: Beschleunigung von Innovationen und Erweiterung der Angriffsfläche

Kaum irgendwo tritt das Spannungsfeld zwischen Innovation und Sicherheit deutlicher zutage als beim Einsatz von Künstlicher Intelligenz. Organisationen im Life Sciences-Sektor stehen KI deutlich aufgeschlossener gegenüber als viele andere Branchen – und das aus gutem Grund. Bereits im Jahr 2024 investierten Schätzungen zufolge rund 95 % der Pharmaunternehmen in KI, und bis 2030 soll sich das Investitionsvolumen um 600 % erhöhen. Nicht nur die Höhe der Investitionen ist bemerkenswert. Auch das Potenzial ist erheblich, etwa durch Zeitersparnissen von bis zu 80 % bei klinischen Studien. Tatsächlich setzt der Sektor KI bereits seit Jahren ein – vielfach schon, bevor sie einer breiteren Öffentlichkeit bekannt war.

Heute kommt die Technologie entlang der gesamten Wertschöpfungskette zum Einsatz, von der Wirkstoffforschung über die Auswahl geeigneter Patient*innen und Diagnosetools bis hin zur Schulung von Pharmareferent*innen. KI ermöglicht dabei jene biologiebasierte Vorarbeit, die darüber entscheidet, ob experimentelle Therapien für bestimmte Patientengruppen wirksam sein könnten. Ohne moderne computergestützte Hilfe wäre diese Arbeit in vielen Fällen nicht zu leisten.

Die schnelle Einführung dieser Technologien schafft jedoch neue Schwachstellen. Jedes KI-System erweitert die Angriffsfläche, und Bedrohungen wie Model Poisoning oder Inversionsangriffe könnten theoretisch Entwicklungsprozesse für Arzneimittel oder diagnostische Systeme kompromittieren.

Zwar setzen regulatorische Vorgaben gewisse Leitplanken, doch das Tempo der Einführung überholt häufig die Weiterentwicklung geeigneter Sicherheitsprotokolle, um den damit verbundenen Risiken angemessen zu begegnen – insbesondere bei Anwendungen ohne direkten Patientenkontakt.

Im Gegensatz dazu zeigen Organisationen im Gesundheitswesen mehr Zurückhaltung bei der Einführung von KI, vor allem angesichts der DSGVO und datenschutzrechtlicher Bedenken. Auch wenn die Unternehmen weiterhin vorsichtig sind, bremst dies das Wachstum nicht: 42 % der Führungskräfte im Bereich Life Sciences geben an, dass KI für sie im Jahr 2026 die oberste Priorität bei der digitalen Transformation darstellt. Dennoch dient der Einsatz von Künstlicher Intelligenz in klinischen Umgebungen in erster Linie der Entlastung der Verwaltung und nicht der direkten medizinischen Entscheidungsfindung – ein Zeichen für die anhaltenden Fragen zur Ethik KI-gestützter Behandlungsentscheidungen.

Cybersicherheits-Reifegrad als Wettbewerbsvorteil

Die fortschrittlichsten Organisationen im Life Sciences-Sektor verstehen Cybersicherheit zunehmend nicht als Compliance-Anforderung oder als Innovationshemmnis, sondern vielmehr als Wettbewerbsvorteil. Dies beginnt intern mit der konsequenten Umsetzung von „Security-by-Design“-Prinzipien, einschließlich einer engen Zusammenarbeit zwischen Sicherheitsteams, Wissenschaftler*innen und den Fachbereichen. In einer Branche, die häufig einem Zero Trust-Ansatz folgt, müssen Sicherheitsteams darauf abzielen, ein angemessenes Sicherheitsniveau aufrechtzuerhalten, ohne dabei unnötige Reibungsverluste für Innovationen zu erzeugen.

Diese Reife geht mit einem differenzierteren Risikoverständnis und einer strategischeren Perspektive einher. Statt zu versuchen, sämtliche Bedrohungen abzuwehren – ein unrealistisches Ziel, insbesondere in einer Branche, die sich in zentralen Bereichen so schnell weiterentwickelt – liegt der Fokus zunehmend darauf, den Geschäftsbetrieb auch unter fortwährenden Risiken sicher aufrechtzuerhalten. Resilienz und Kontinuität angesichts akuter Gefahren und tatsächlicher Cybervorfälle sowie ein klares Verständnis davon, wie ein funktionsfähiger Minimalbetrieb im Ernstfall aussieht, sind für die Life Sciences-Branche von zentraler Bedeutung.

Blick nach vorn: Patient*innen und Sicherheit stehen an erster Stelle

Der Sektor steht vor einer besonderen Herausforderung: Er muss mit hohem Tempo innovativ sein und zugleich außergewöhnliche Cyberrisiken beherrschen. Die gute Nachricht ist, dass führende Organisationen Cybersicherheit inzwischen nicht mehr als Gegenspieler, sondern als integralen Bestandteil ihres Auftrags verstehen.

Gute Unternehmensführung, sorgfältige Daten- und Stichprobenpraktiken sowie eine vorausschauende Regulierung schaffen die notwendigen Leitplanken, um Innovation voranzutreiben, ohne Risiken unkontrolliert einzugehen. Organisationen im Life Sciences-Sektor sind den Umgang mit neuen Technologien und schnellen Innovationszyklen gewohnt. Was sich jedoch verändert, ist der Reifegrad, mit dem Unternehmen die sicherheitsrelevanten Auswirkungen dieser Technologien adressieren.

Für Unternehmen der Life Sciences-Branche bedeutet Cybersicherheit nicht nur den Schutz von Daten oder die Einhaltung gesetzlicher Vorschriften. Es geht darum, sicherzustellen, dass die Innovationen, die heute Leben retten, dies auch morgen noch tun können.

FAQ