Cybervorsorge in Apotheken als Haftungsfrage, Versicherungsverträge als Prozessfalle, Vorbereitung als Maßstab im Gesundheitsbetrieb

 

Stand: Mittwoch, 24. Dezember 2025, um 13:55 Uhr

Apotheken-News: Kommentar von heute

Kommentar von Seyfettin Günder zu den aktuellen Apotheken-Nachrichten über Cyberdeckung, Antragsobliegenheiten, Betriebsunterbrechung und Haftungsfolgen

Es gibt Sätze, die wirken im ersten Moment zu hart, und sind im zweiten Moment nur noch eine Beschreibung der Lage. Die Gesundheitsbranche wird nicht mehr daran gemessen, ob sie angegriffen wurde, sondern wie vorbereitet sie war. Das ist keine Dramatisierung, sondern eine Verschiebung im Maßstab, nach dem Verantwortung heute bewertet wird. Wer noch so tut, als sei Cyber ein Sonderrisiko für „große Häuser“ oder „digitale Vorreiter“, schaut an der Wirklichkeit der Versorgung vorbei. In Apotheken ist Digitalisierung längst nicht mehr Kür, sondern Betriebsgrundlage, und damit ist Verwundbarkeit kein individuelles Versagen, sondern ein Systemmerkmal, das man organisieren muss.

Der entscheidende Irrtum sitzt in der Wortwahl: „IT-Problem“ klingt nach Technik, nach Dienstleister, nach Update. In Wahrheit ist es ein Betriebsereignis, das den Laden stilllegt, Entscheidungen erzwingt und in Minuten bewertet wird, nicht in Quartalsberichten. Sobald Warenwirtschaft, Kommunikation, Abrechnung oder Schnittstellen instabil werden, entsteht nicht nur Aufwand, sondern eine Kette aus Folgekosten, die niemand im Stress sauber auseinanderdividieren kann. Genau an dieser Stelle zeigt sich, ob ein Unternehmen vorbereitet war: nicht an perfekten Firewalls, sondern an klaren Zuständigkeiten, geübten Abläufen und einem Schutz, der die betriebliche Wiederherstellung abdeckt, statt sich in Definitionen zu verstecken. Wer diese Realität verdrängt, verdrängt nicht Gefahr, sondern verschiebt sie in den Schadenmoment.

Cyberversicherung ist in diesem Bild kein „Nice-to-have“, sondern eine Haftungsfrage, weil sie die letzte Linie zwischen Ereignis und Existenzbelastung sein kann. Haftung beginnt dabei nicht erst, wenn ein Gericht schreibt, sondern wenn Entscheidungen im Betrieb dokumentiert, begründet und gegenüber Dritten verteidigt werden müssen. Ein Inhaber kann im Ernstfall erklären, warum die Apotheke strukturell vorbereitet war, oder er kann erklären, warum man „das nicht für nötig hielt“. Zwischen diesen beiden Erzählungen liegt der Unterschied zwischen einer Krise, die man abarbeitet, und einer Krise, die den Betrieb in eine Rechtfertigungsschleife zieht. Genau deshalb ist die Abwesenheit von Deckung nicht nur eine Sparentscheidung, sondern ein Risiko, das sich im Nachhinein kaum elegant reparieren lässt. Wer das als Panikmache abtut, verwechselt Ruhe mit Robustheit.

Das eigentliche Problem liegt selten in der Idee „Versicherung“, sondern in der Art, wie Verträge gebaut werden. Viele Policen wirken im Angebot handlich und werden im Antrag zur Prozessfalle, weil Pflichten, Sicherheitsanforderungen und Ausnahmen so formuliert sind, dass die Streitfrage schon eingepreist ist. Je kleinteiliger Obliegenheiten werden, desto wahrscheinlicher wird, dass der Schadenfall nicht zuerst über Hilfe, sondern über Abweichungen diskutiert wird. Dann wird aus Versicherung ein Rückblickinstrument: Was war wann wie eingestellt, wer hat wann welchen Haken gesetzt, und welche Nuance macht aus Leistung einen Prüfvorbehalt. Das ist nicht nur unerquicklich, sondern betriebsgefährdend, weil es Zeit frisst, während der Betrieb Stabilisierung bräuchte. Apothekengerechte Cyberdeckung ist deshalb weniger eine Frage „mehr Leistung“, sondern eine Frage „weniger Auslegungsspielraum“.

Wer Filialen führt oder mehrere Betriebsstätten organisiert, kennt das Muster: In der Realität wirkt ein Ereignis nicht nur lokal, sondern organisatorisch. Ein Vorfall an einem Standort ist selten „ein Standort“, sondern ein Test der Gesamtstruktur: Nutzerverwaltung, zentrale Dienste, Backups, Kommunikationswege, Dienstleisterkontakte, Entscheidungsketten. Wenn eine Police Filialen nur als Nachtrag behandelt, wird im Schadenfall genau das verhandelt, was man in der Krise nicht verhandeln kann: Geltungsbereich, Zuordnung, Meldewege, Ausschlüsse. Das ist die Stelle, an der Vorbereitung nicht nur technisch, sondern vertraglich sichtbar werden muss. Ein Vertrag, der im Alltag verständlich ist, ist im Ernstfall schneller wirksam, weil er nicht erst durch Interpretationen „aktiviert“ werden muss. Wer hier spart, spart nicht Geld, sondern Klarheit.

Gegenargumente sind bekannt und nicht unvernünftig: Nicht jede Apotheke ist gleich exponiert, nicht jede arbeitet gleich digital, nicht jeder Angriff führt zum Totalausfall. Das stimmt, und trotzdem trägt es nicht als Entlastung. Denn das Risiko ist nicht nur die Wahrscheinlichkeit eines Ereignisses, sondern die Frage, wie teuer die Minuten werden, wenn es passiert. Die Branche ist nicht mehr in der Phase, in der man Cyber als „Randchance“ behandeln kann, weil die Angriffslandschaft, die Abhängigkeit von Prozessen und die Erwartung an Erreichbarkeit längst zusammengeschoben sind. In diesem Zusammenhang ist die zentrale Haltung nicht „ob“, sondern „wann“, weil sie Organisation erzwingt, ohne in Alarmismus zu kippen. Wer diese Haltung ablehnt, lehnt nicht Angst ab, sondern verweigert Struktur.

Am Ende ist der Kern simpel und unangenehm: Cyber ist ein Ereignis, das man nicht vollständig verhindern kann, aber dessen Folgen man begrenzen muss. Genau da wird Versicherung zur Frage der Betriebsführung, nicht der Einkaufsliste. Eine Police, die Betriebsunterbrechung, Wiederherstellung und Haftungsfolgen in einer nachvollziehbaren Klammer trägt, ist kein Luxus, sondern ein Stabilitätsbaustein. Eine Police, die vor allem Pflichten auflädt und Leistung an Detailerfüllung bindet, ist formal da, aber praktisch riskant, weil sie den Ernstfall verlängern kann. Zwischen diesen beiden Welten entscheidet sich, ob Vorbereitung nur behauptet wird, oder ob sie im Ereignis wirkt.

An dieser Stelle fügt sich das Bild.

Im Alltag wirkt Cyber wie ein Hintergrundrauschen, im Vorfall wird es zur Schwerkraft: Alles zieht plötzlich nach unten, was vorher „einfach lief“. Dann zählt nicht, wer am lautesten Sicherheit versprochen hat, sondern wer die Ordnung so gebaut hat, dass Hilfe schnell greift und Streit spät kommt. Verträge sind dabei nicht Papier, sondern Verhalten: Sie entscheiden, ob ein Betrieb Unterstützung bekommt oder Prüfung. Wer vorbereitet ist, muss nicht unverwundbar sein, sondern nur so organisiert, dass die Krise nicht zusätzlich selbst produziert wird.

Dies ist kein Schluss, der gelesen werden will – sondern eine Wirkung, die bleibt. Die Branche wird nicht mehr daran gemessen, ob sie angegriffen wurde, sondern wie vorbereitet sie war, und diese Vorbereitung ist zuerst eine Frage der Betriebsführung. Wer Cyber weiterhin als Technikdetail behandelt, verschiebt Verantwortung an Stellen, die im Vorfall keine Zeit haben, Verantwortung zu tragen. Wer Policen über Pflichten auflädt, baut im Hintergrund eine zweite Krise, weil Auslegung zur Haupttätigkeit wird, während Stabilisierung die eigentliche Aufgabe wäre. Und wer Haftungsfolgen neben Ausfall- und Wiederherstellungskosten nicht zusammendenkt, lässt genau jene Last ungesichert, die später Vertrauen, Personalbindung und wirtschaftliche Tragfähigkeit angreift. Vorbereitung ist damit keine Angstformel, sondern die nüchterne Definition von Handlungsfähigkeit.

SG
Prokurist | Publizist | Verantwortungsträger im Versorgungsdiskurs
Kontakt: sg@aporisk.de

Wer das für Formalie hält, unterschätzt die Verantwortung, die Sprache heute tragen muss.

Ein Kommentar ist keine Meinung. Er ist Verpflichtung zur Deutung – dort, wo Systeme entgleiten und Strukturen entkoppeln.

Ich schreibe nicht, um zu erklären, was gesagt wurde. Ich schreibe, weil gesagt werden muss, was sonst nur wirkt, wenn es zu spät ist.

Denn wenn das Recht nur noch erlaubt, aber nicht mehr schützt, darf der Text nicht schweigen. 

Tagesthemenüberblick: https://aporisk.de/aktuell