CareCloud-Datenleck: Lehren für Praxen & Gesundheits-IT

Es ist einer der größten Gesundheitsdaten-Vorfälle des Jahres: Der US-Healthtech-Anbieter CareCloud, dessen Software Praxen für elektronische Patientenakten, Abrechnung und Praxisverwaltung nutzen, hat am 19. August 2026 bestätigt, dass bei einem Angriff im März 2026 die Daten von 3.756.469 Patientinnen und Patienten gestohlen wurden. Besonders bitter: Ursprünglich war von rund 350.000 Betroffenen die Rede – die tatsächliche Dimension wurde erst Monate später bekannt.

Nun ist CareCloud ein US-Unternehmen, und deutsche Praxen sind nicht direkt betroffen. Trotzdem lohnt der genaue Blick: Der Fall zeigt wie im Lehrbuch, was passiert, wenn hochsensible Patientendaten gebündelt bei einem Software- oder Cloud-Dienstleister liegen – eine Konstellation, die mit Praxisverwaltungssystemen, Cloud-PVS und der elektronischen Patientenakte auch hierzulande der Normalfall wird. In diesem Beitrag ordnen wir den Vorfall ein und leiten ab, wie Arztpraxen, MVZ und Kliniken in Deutschland ihre Patientendaten schützen können.

Der CareCloud-Vorfall: Was bekannt ist

Chronologie eines unterschätzten Einbruchs

Nach Berichten von BleepingComputer, TechCrunch und dem HIPAA Journal verschaffte sich ein unbefugter Dritter zwischen dem 10. und 16. März 2026 Zugriff auf eine AWS-Cloud-Umgebung von CareCloud und exfiltrierte Daten aus dort liegenden Datenbanken. Das Unternehmen meldete den Vorfall zunächst mit etwa 350.000 Betroffenen – im August folgte die Korrektur auf über 3,75 Millionen. Zu den kompromittierten Daten zählen laut Malwarebytes neben Namen auch medizinische Unterlagen, Sozialversicherungsnummern, Ausweis- und Bankdaten. Eine Ransomware-Gruppe hat sich bislang nicht zu dem Angriff bekannt; Betroffenen bietet CareCloud 12 bis 24 Monate Identitätsschutz an.

Drei Aspekte machen den Fall lehrreich:

• Der Angriff traf nicht die Praxen, sondern ihren Dienstleister. Jede einzelne angeschlossene Praxis hat „alles richtig gemacht" – und trotzdem sind ihre Patientendaten weg.
• Fünf Monate zwischen Vorfall und vollständiger Transparenz. Betroffene erfuhren erst im August, dass ihre Gesundheitsdaten seit März in fremden Händen sind.
• Die Erstschätzung lag um den Faktor 10 daneben. Ohne saubere Protokollierung und forensische Aufarbeitung bleibt das wahre Ausmaß eines Datenlecks lange unklar.

Warum das Gesundheitswesen im Fadenkreuz steht

Gesundheitsdaten sind das lukrativste Diebesgut

Patientendaten vereinen alles, was auf kriminellen Marktplätzen Wert hat: Identitätsdaten, Versicherungs- und Abrechnungsinformationen, teils Bankverbindungen – und im Gegensatz zu einer Kreditkarte lässt sich eine Krankengeschichte nicht „sperren". Entsprechend gehört das Gesundheitswesen international seit Jahren zu den am häufigsten angegriffenen Branchen; in derselben Augustwoche listete etwa der Wochenrückblick von Cybersecurity News Gesundheitseinrichtungen und Kanzleien erneut unter den Hauptzielen aktueller Ransomware-Kampagnen.

Die deutsche Ausgangslage: kleine Häuser, große Abhängigkeiten

Deutsche Arztpraxen und MVZ digitalisieren rasant – Cloud-basierte Praxisverwaltung, Terminbuchungsplattformen, Labor-Anbindungen, elektronische Patientenakte. Jede dieser Anbindungen ist ein Dienstleister, dem faktisch Patientendaten anvertraut werden. Gleichzeitig fehlt in den meisten Praxen dediziertes IT-Sicherheitspersonal; die IT-Sicherheit der Arztpraxis hängt oft an einem externen IT-Betreuer, dessen Fokus auf Verfügbarkeit liegt, nicht auf Angriffserkennung. Für größere Einrichtungen kommt die Regulatorik hinzu: Kliniken und weitere Gesundheitsdienstleister fallen unter die NIS2-Richtlinie und müssen Risikomanagement, Lieferkettensicherheit und Meldeprozesse nachweisbar organisieren.

Patientendaten schützen: die Checkliste für Praxen, MVZ und Kliniken

1. Dienstleister-Risiken aktiv managen

• Inventarisieren Sie, wo Ihre Patientendaten liegen – PVS-Hersteller, Cloud-Dienste, Labore, Abrechnungsdienstleister, Terminplattformen.
• Prüfen Sie Auftragsverarbeitungsverträge (Art. 28 DSGVO) nicht nur formal: Welche Sicherheitsmaßnahmen sind zugesichert? Gibt es Zertifizierungen? Wie schnell wird über Vorfälle informiert?
• Vereinbaren Sie Melde- und Reaktionspflichten mit klaren Fristen – der CareCloud-Fall zeigt, wie teuer späte Transparenz für Betroffene ist.

2. Die eigene Praxis-IT härten

• Multi-Faktor-Authentifizierung für alle Fernzugriffe, E-Mail-Konten und Cloud-Dienste
• Getrennte Benutzerkonten statt Sammel-Logins am Empfang, Patch-Management für PVS, Betriebssystem und Netzwerkgeräte
• Verschlüsselte, getestete Backups – offline oder unveränderlich gespeichert
• Orientierung bietet die IT-Sicherheitsrichtlinie nach § 75b SGB V, die für Vertragsärzte ohnehin verbindlich ist

3. Erkennen statt hoffen

Der CareCloud-Einbruch dauerte knapp eine Woche – genug Zeit, Millionen Datensätze abzuziehen. Ob bei einem Dienstleister oder im eigenen Netz: Entscheidend ist, ungewöhnliche Zugriffe und Datenabflüsse zu bemerken, während sie geschehen. Für Einrichtungen ohne eigenes Security-Team ist Managed Detection & Response (MDR) der realistische Weg zu einer 24/7-Überwachung, die verdächtige Aktivitäten erkennt und sofort eingreift – ohne dass die Praxis oder Klinik dafür Personal aufbauen muss.

4. Auf den Ernstfall vorbereitet sein

Kommt es zum Vorfall, laufen mehrere Uhren gleichzeitig: die 72-Stunden-Meldefrist an die Datenschutzaufsicht (Art. 33 DSGVO), für NIS2-regulierte Einrichtungen zusätzlich die Meldung an das BSI, dazu Patientenkommunikation und Wiederanlauf. Ein vorbereiteter Notfallplan und ein eingespielter Incident-Response-Partner machen den Unterschied zwischen kontrollierter Reaktion und Chaos. Wer die eigene Widerstandsfähigkeit vorab überprüfen will, kann Praxis- oder Klinik-IT gezielt einem Penetrationstest unterziehen.

Für Kliniken, Labore und größere MVZ, die unter NIS2 fallen oder ihre Informationssicherheit strukturiert aufbauen wollen, bietet sich ein externer Informationssicherheitsbeauftragter (ISB) an: Er verankert Risikomanagement, Lieferantenprüfung und Meldeprozesse dauerhaft in der Organisation – genau die Punkte, an denen es im CareCloud-Fall haperte.

Fazit: Vertrauen ist gut, Nachweis und Überwachung sind Pflicht

Das CareCloud-Datenleck ist kein exotischer US-Einzelfall, sondern die logische Folge einer Entwicklung, die auch das deutsche Gesundheitswesen prägt: Patientendaten konzentrieren sich bei Software- und Cloud-Dienstleistern, und Angreifer folgen den Daten. Praxen, MVZ und Kliniken können diese Entwicklung nicht zurückdrehen – aber sie können ihre Dienstleister kritisch auswählen, die eigene IT härten und dafür sorgen, dass Angriffe erkannt werden, bevor Millionen Datensätze abfließen.

Wenn Sie einschätzen möchten, wo Ihre Einrichtung heute steht – von der Dienstleisterliste bis zur Angriffserkennung –, sprechen Sie uns gern unverbindlich an. Kontakt aufnehmen.

Quellen

• BleepingComputer: Healthtech firm CareCloud data breach impacts 3.7 million patients – 19.08.2026
• TechCrunch: CareCloud confirms 3.7M patients had their medical records stolen in data breach – 19.08.2026
• HIPAA Journal: CareCloud Data Breach Affects 3.75 Million Individuals
• IT Pro: Data belonging to 3.75 million patients was exposed in the CareCloud breach – not the 350,000 originally reported
• Malwarebytes: Medical records, SSNs, and bank details exposed in CareCloud data breach
• Cybersecurity News: Weekly Bulletin 17.–23.08.2026 (Ransomware-Ziele Gesundheitswesen/Kanzleien)