Schweigen ist nicht immer Gold

Niemand gibt gerne Fehler zu. Oft ist man geneigt, diese unter den Teppich zu kehren, wenn man das grosse Chaos noch abwenden konnte. Wer möchte sich schon in aller Öffentlichkeit rechtfertigen müssen. Dies betrifft alle Branchen, ob Bauarbeiter, Juristen, Ärzte oder Journalist.

Auch die IT und besonders die Sicherheitsabteilungen sind oft kein Vorbild für Transparenz. Wenn Unternehmen oder Behörden nicht durch rechtliche Vorgaben zur Meldung von Sicherheitslücken oder -pannen gezwungen werden, dann tun sie es in der Regel auch nicht. Daher ist es nicht verwunderlich, dass die Öffentlichkeit nur selten etwas von Sicherheitsproblemen in der Gesundheits-IT mitbekommt. Denn es gibt nur wenige Länder – die USA bilden hier eine positive Ausnahme –, in denen eine gesetzliche Meldepflicht besteht.

Aber es geht auch anders, wie etwa die Sicherheitsmentalität in der Luftfahrtindustrie zeigt. Denn hier gefährdet jede Schwachstelle potenziell Menschenleben. Die Branche hat daher gelernt, jeden Fehler – und sei es nur eine fehlerhafte Schraube – akribisch aufzuarbeiten. Wenn es zu Unfällen kommt, werden die Schuldigen offen benannt. Dieses Vorgehen hat für alle Akteure in der Luftfahrt erhebliche Vorteile. Prozesse können angepasst werden, Flugzeuge werden sicherer, und auch die Passagiere können sich für Fluggesellschaften entscheiden, die viel Wert auf die Sicherheit und die Einhaltung der Vorschriften legen. Natürlich gibt es auch hier nicht die hundertprozentige Sicherheit. Aber das Fliegen ist so sicher wie sonst kein anderes Verkehrsmittel. Abstürze sind so selten, dass sie jedes Mal grosses mediales Interesse hervorrufen. Und nach der Unfalluntersuchung ist das Fliegen wieder einen Tick sicherer geworden.

Warum sollte solch ein Vorgehen nicht auch in der IT-Sicherheit sinnvoll sein? Ich will nicht abstreiten, dass die Verantwortlichen in Kontakt und Austausch stehen, aber dies immer noch auf einem eher informellen Niveau. Zu viel Transparenz in der Gesundheits-IT könnte die Patienten auch unnötig verunsichern, und einige Spitäler könnten auch zu Unrecht an den medialen Pranger gestellt werden. Trotzdem meine ich, auch hierzulande sollte die Kommunikation bezüglich IT-Sicherheit im Gesundheitswesen transparenter werden. Ob nun in Spitälern, Banken oder Industrieunternehmen. Die langfristigen Vorteile überwiegen, wie die Flugindustrie zeigt. Auch wenn der Weg bis dahin lang und steinig war.