Kliniken zwischen NIS-2, KHZG-Auslauf und ePA-Pflicht – Warum deutsche Krankenhäuser jetzt aus Microsoft 365 aussteigen sollten

Die deutsche Krankenhaus-IT steht 2026 an einem Knotenpunkt: Die NIS-2-Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen, die elektronische Patientenakte wird im Opt-out-Verfahren flächendeckend Standard, und die Fördermittel des Krankenhauszukunftsgesetzes laufen nach und nach aus. Gleichzeitig meldet das Bundesamt für Sicherheit in der Informationstechnik im aktuellen Lagebericht mindestens 18 dokumentierte Ransomware-Angriffe auf deutsche Krankenhäuser allein 2024, in mehreren Fällen mit Schließung der Notaufnahme.

Für Krankenhaus-CIOs, IT-Leitungen und kaufmännische Direktionen verdichten sich damit drei Regulierungsstränge zu einem einzigen operativen Auftrag: Eine auditierbare, europäisch souveräne, ausfallresistente Cloud-Basis aufzusetzen, bevor der nächste Vorfall die persönliche Haftung der Geschäftsführung nach §38 NIS-2-Umsetzungsgesetz auslöst. Microsoft 365 ist in diesem regulatorischen Kontext keine tragfähige Zielarchitektur mehr – nicht wegen der Preiserhöhung vom 1. Juli 2026, sondern wegen dreier struktureller Konflikte.

Warum die Regulierungsdichte für Kliniken 2026 einzigartig ist

Kein anderer Sektor in Deutschland trifft eine vergleichbare Kombination:

• NIS-2-Umsetzungsgesetz – seit Ende 2025 in Kraft, Registrierungspflicht 6. März 2026, persönliche Geschäftsführungshaftung nach §38.
• B3S – Branchenspezifischer Sicherheitsstandard – von der Deutschen Krankenhausgesellschaft entwickelt, vom BSI anerkannt, verpflichtend für alle KRITIS-Krankenhäuser mit ab 30.000 vollstationären Fällen.
• Krankenhauszukunftsgesetz (KHZG) – 4,3 Milliarden Euro Fördervolumen, davon 15 Prozent verpflichtend für Cybersicherheit, Antragsfristen laufen aus.
• Elektronische Patientenakte (ePA) – seit 15. Januar 2025 Opt-out-Standard, im Regelbetrieb ab 2026 für alle gesetzlich Versicherten.
• DSGVO Artikel 9 – Patientendaten sind besondere Kategorien mit verschärfter Rechtfertigungspflicht für die Verarbeitung.

Diese fünf Rahmen greifen alle zur gleichen Zeit – und sie greifen alle in dieselbe Frage ein: Wo werden Patientendaten verarbeitet, wer hat Zugriff, wie ist der Nachweis geführt?

Der strukturelle Konflikt zwischen Microsoft 365 und der Klinik-Regulatorik

Der zentrale Punkt: Die drei Regelwerke DSGVO Artikel 9, B3S und NIS-2 verlangen im Kern dieselben drei Eigenschaften – Zweckbindung, Nachweisbarkeit, Zugriffskontrolle. Microsoft 365 erfüllt keine der drei Eigenschaften ohne substanziellen Zusatzaufwand.

• Zweckbindung nach Artikel 5 Absatz 1 b DSGVO wird durch Microsofts Verarbeitung zu „berechtigten Geschäftszwecken" nach eigener Definition unterlaufen. Für die Datenkategorie Gesundheit ist das nach Auslegung der Datenschutzkonferenz nicht zulässig.
• Nachweisbarkeit nach §30 BSIG (NIS-2) verlangt ein vollständiges, prüfbares Verzeichnis aller Datenflüsse. Die Sub-Auftragsverarbeiter-Kaskade von Microsoft – teilweise über 30 Ebenen, geografisch weltweit verteilt – ist im B3S-Kontext kaum belastbar dokumentierbar.
• Zugriffskontrolle nach IT-Grundschutzbaustein SYS.1.5 setzt voraus, dass Zugriffe durch Nicht-EU-Behörden ausgeschlossen sind. Der US CLOUD Act und FISA Section 702 heben diese Voraussetzung strukturell auf – siehe unsere Detailanalyse zum CLOUD Act 2026 und zum BSI-IT-Grundschutz-Konflikt mit Microsoft 365.

Ergänzend gilt das NIS-2-DSGVO-Paradox, das für Krankenhäuser besonders zuspitzt: Die zwei Regelwerke verlangen entgegengesetzte Verantwortungsketten, wenn die Cloud-Basis nicht souverän ist.

Was der KHZG-Auslauf ökonomisch verändert

Bis Mitte 2026 haben viele Häuser die KHZG-Mittel in Systeme investiert, die auf Microsoft 365 aufsetzen – Cloud-Verzeichnisdienste, Teams-Integrationen für Stationen, SharePoint-basierte Qualitätsmanagementsysteme. Diese Investitionen sind nicht verloren, aber sie müssen jetzt gegen die regulatorischen Folgekosten gerechnet werden:

• Erhöhter Aufwand für DSGVO-Nachweise – laut Erfahrungswerten mittlerer Häuser 0,3 bis 0,8 Vollzeitäquivalente pro Jahr zusätzlich.
• B3S-Auditkosten – 50.000 bis 150.000 Euro pro Zyklus, jährlich.
• NIS-2-Rechtsberatung – 30.000 bis 80.000 Euro pro Jahr für Vorstandshaftungs-Dokumentation.
• Preiserhöhung 1. Juli 2026 – Business Standard plus 12 Prozent, Business Basic plus 16 Prozent.
• Restrisiko Bußgelder – bis zu 2 Prozent des Jahresumsatzes nach §60 BSIG.

Ein Wechsel zu einem europäisch souveränen Stack führt in der Regel innerhalb von 14 bis 20 Monaten in den positiven Cashflow – vor allem, weil die Compliance-Nachweislast dramatisch sinkt.

Die Zielarchitektur für Kliniken 2026

Realistisch für den Klinikbetrieb 2026, aufsetzend auf offenen Standards und in KRITIS-erfahrenen deutschen Rechenzentren betrieben:

• Nextcloud als Datei-, Formular- und Kollaborationsplattform, mit Ende-zu-Ende-Verschlüsselung für Patientenakten-Anhänge.
• Element/Matrix für die interne Kommunikation zwischen Stationen, mit auditierbaren Chatverläufen im deutschen Rechenzentrum – analog zur Architektur der EU-Kommission mit Matrix.
• Jitsi Meet für Telemedizin-Termine und Fallkonferenzen.
• Collabora Online für Dokumentenbearbeitung, LibreOffice-kompatibel.
• Keycloak als zentraler Identitätsanbieter, mit Anbindung an die eGK und HBA über die Telematikinfrastruktur-Konnektoren.
• Backup-Kette lokal plus Kaltablage in einem zweiten deutschen Rechenzentrum, um Ransomware-Rekonstruktion in unter 24 Stunden zu ermöglichen.

Diese Bausteine sind – anders als proprietäre Suites – jederzeit einzeln austauschbar und über offene Schnittstellen mit Krankenhausinformationssystemen (KIS) integrierbar.

Der ökonomische Vergleich für ein 500-Betten-Haus

Referenzrechnung, Größenordnung 800 Mitarbeitende, 500 Betten, Bestandsvertrag Microsoft 365 E3:

Der Break-even liegt bei 17 Monaten. Diese Rechnung entspricht dem Muster, das wir auch im Beitrag zur EuroOffice-Alternative für die Verwaltung gezeigt haben – für Kliniken ist die Ersparnis auf der Auditkostenseite deutlich höher.

Fazit und nächste Schritte

Für deutsche Krankenhäuser ist der Wechsel weg von Microsoft 365 im zweiten Halbjahr 2026 kein Souveränitätsluxus mehr, sondern regulatorische Notwendigkeit. Die Kombination aus NIS-2-Registrierung, ePA-Regelbetrieb, KHZG-Auslauf und persönlicher Geschäftsführungshaftung schließt das Zeitfenster für strategisches Zögern.

Wer die Migration jetzt startet, kann die letzten KHZG-Restmittel umwidmen, die Zielarchitektur bis zur nächsten B3S-Prüfung 2027 auditieren lassen und den Vorstand nach §38 NIS-2-Umsetzungsgesetz entlasten. Für eine erste Bewertung Ihres Klinik-Stacks empfehlen wir die kategorisierte Anbieterübersicht unter /alternativen, die Live-Analyse Ihrer aktuellen Microsoft-365-Datenflüsse unter /microsoft und ein Erstgespräch über /contact.