Charité-Hack: Was Praxen über Website-Sicherheit lernen

Ende Oktober 2026 traf es eine der bekanntesten medizinischen Einrichtungen Europas: Bei einem Cyberangriff auf die Berliner Charité flossen die Kontaktdaten von knapp 140.000 Personen ab – darunter rund 90.000 Menschen, die über das Kontaktformular der Website Termine angefragt hatten (Ärzteblatt, 30.10.2026). Die gute Nachricht: Die Patientenversorgung war nicht betroffen, klinische Systeme blieben unberührt. Die unbequeme Nachricht für alle anderen Einrichtungen im Gesundheitswesen: Der Angriff zielte nicht auf hochgesicherte Kliniksysteme, sondern auf den Webserver – also genau die Art von System, die auch jede Arztpraxis, jedes MVZ und jede kleine Klinik betreibt.

Dieser Beitrag ordnet den Vorfall ein und zeigt, welche konkreten Konsequenzen Praxisinhaber, MVZ-Geschäftsführer und IT-Verantwortliche im Gesundheitswesen daraus ziehen sollten – ohne Panik, aber mit klarem Handlungsplan.

Was beim Charité Cyberangriff passiert ist

Nach Angaben der Charité griffen die Täter den Webserver an, auf dem die Website der Universitätsklinik läuft. Am 27. Oktober 2026 wurden die betroffenen Server isoliert und vom Netz genommen, wodurch die Website zeitweise nicht erreichbar war. Abgeflossen sind laut Charité (Ärzteblatt):

• Vor- und Nachnamen sowie E-Mail-Adressen von rund 46.000 Beschäftigten und Studierenden,
• etwa 1.500 Datensätze aus Presse- und Newsletter-Verteilern,
• Daten von rund 90.000 Personen, die das Kontaktformular der Website genutzt hatten – teilweise mit Freitextangaben zu ihrem Anliegen.

Gerade der letzte Punkt verdient Aufmerksamkeit: Kontaktformulare mit Freitextfeld werden von Patienten häufig genutzt, um ihr gesundheitliches Anliegen zu schildern. Auch wenn die Charité betont, dass besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO nicht systematisch betroffen seien, können einzelne Betroffene sensible Angaben selbst eingetragen haben. Diese Personen werden individuell benachrichtigt.

Warum der Angriffsvektor so relevant für Praxen ist

Ein Webserver mit Kontaktformular ist die digitale Eingangstür fast jeder Gesundheitseinrichtung – von der Einzelpraxis bis zur Uniklinik. Online-Terminanfragen, Rezeptbestellungen, Rückrufformulare: Überall dort sammeln sich personenbezogene Daten, oft über Jahre. Der Charité-Fall zeigt, dass diese "Randsysteme" ein ebenso attraktives Ziel sind wie die Praxisverwaltungssoftware selbst – und häufig deutlich schlechter überwacht werden.

Cyberangriffe im Gesundheitswesen: kein Einzelfall

Der Vorfall reiht sich in eine anhaltende Angriffswelle auf das Gesundheitswesen ein. Das BSI stuft die Bedrohungslage seit Jahren als angespannt ein; laut dem aktuellen BSI-Lagebericht richten sich rund 80 Prozent der gemeldeten Ransomware-Angriffe gegen kleine und mittlere Unternehmen (Resilienzmagazin zum BSI-Lagebericht) – und Arztpraxen sind genau das: KMU mit besonders sensiblen Daten.

Für Angreifer sind Gesundheitsdaten doppelt wertvoll. Sie lassen sich für gezielte Phishing- und Betrugsversuche nutzen ("Ihre Terminanfrage bei Dr. Müller…") und erzeugen bei Erpressung hohen Zahlungsdruck, weil Einrichtungen Reputationsschäden und aufsichtsrechtliche Konsequenzen fürchten. Die Charité selbst warnt Betroffene bereits vor möglichen Kontaktaufnahmen durch Unbekannte, die sich auf eine Verbindung zur Klinik berufen.

Sieben Maßnahmen, die Praxen und MVZ jetzt umsetzen sollten

Die folgenden Punkte sind bewusst so gewählt, dass sie auch ohne eigene IT-Abteilung – mit Unterstützung des IT-Dienstleisters oder eines externen Sicherheitspartners – umsetzbar sind.

1. Website und Kontaktformulare inventarisieren

Welche Formulare laufen auf Ihrer Praxis-Website? Wo werden die eingegebenen Daten gespeichert – beim Hoster, im CMS, in einer Datenbank? Wie lange? Viele Praxen wissen nicht, dass Formulardaten jahrelang auf dem Webserver liegen. Was nicht gespeichert ist, kann nicht gestohlen werden: Formulardaten regelmäßig löschen oder direkt in ein geschütztes System überführen.

2. Datenminimierung im Formular erzwingen

Freitextfelder möglichst vermeiden oder mit klarem Hinweis versehen, keine Gesundheitsinformationen einzutragen. Für die Terminanfrage genügen Name, Kontaktdaten und Fachrichtung.

3. Webserver und CMS konsequent patchen

Veraltete CMS-Installationen, Plugins und PHP-Versionen sind das häufigste Einfallstor bei Webserver-Angriffen. Die aktuelle BSI-Warnung zu den kritischen PHP-Schwachstellen ("PHP2Shell") unterstreicht, wie schnell aus einer ungepatchten Website ein Einfallstor wird (t3n, Oktober 2026). Klären Sie mit Ihrem Website-Dienstleister, wer für Updates verantwortlich ist – und lassen Sie sich das schriftlich geben.

4. Trennung von Website und Praxisnetz sicherstellen

Die Website sollte bei einem externen Hoster liegen und keinerlei direkte Verbindung ins Praxisnetz haben. Der Charité-Fall zeigt den Wert dieser Trennung: Weil nur der Webserver betroffen war, blieb die Versorgung unberührt.

5. Überwachung auch für "Randsysteme" etablieren

Angriffe auf Webserver bleiben oft wochenlang unbemerkt, weil niemand die Logs liest. Ein 24/7-Monitoring im Rahmen von Managed Detection & Response (MDR) erkennt verdächtige Zugriffe, bevor Daten in großem Stil abfließen. Managed Detection & Response von Valyros

6. Meldewege und Incident-Response-Plan vorbereiten

Bei einem Datenabfluss gelten enge Fristen: Meldung an die Datenschutzaufsicht binnen 72 Stunden (Art. 33 DSGVO), gegebenenfalls Benachrichtigung der Betroffenen. Wer erst im Ernstfall überlegt, wen er anruft, verliert wertvolle Zeit. Ein vorbereiteter Incident-Response-Plan mit externem Ansprechpartner verkürzt die Reaktionszeit drastisch. Incident Response: Soforthilfe im Ernstfall

7. Verantwortlichkeit klären – intern oder extern

Praxen und MVZ ohne eigene IT-Sicherheitsexpertise profitieren von einem externen Informationssicherheitsbeauftragten (ISB), der Risiken bewertet, Dienstleister steuert und die Dokumentationspflichten übernimmt. Externer ISB für das Gesundheitswesen

Was der Vorfall über die Bedrohungslage 2026 aussagt

Drei Muster lassen sich aus dem Charité Cyberangriff und vergleichbaren Fällen ableiten. Erstens: Angreifer suchen den Weg des geringsten Widerstands – nicht das bestgesicherte System, sondern das vergessene. Zweitens: Auch "nur" Kontaktdaten sind ein relevanter Schaden, denn sie befeuern Folgeangriffe per Phishing, gerade im Gesundheitskontext mit hohem Vertrauensvorschuss. Drittens: Schnelle Erkennung und Isolation begrenzen den Schaden – die Charité konnte die betroffenen Server zügig vom Netz nehmen und die Versorgung schützen. Genau diese Reaktionsfähigkeit ist es, die kleinere Einrichtungen ohne eigenes Security-Team durch externe Partner aufbauen sollten.

Regulatorisch steigt der Druck parallel: Größere Gesundheitseinrichtungen fallen unter die NIS2-Regulierung, deren Durchsetzung das BSI ab dem vierten Quartal 2026 angekündigt hat (ad-hoc-news, 23.10.2026). Mehr dazu im Beitrag NIS2 in Deutschland: Pflichten & Fristen im Überblick.

Fazit

Der Cyberangriff auf die Charité ist kein Grund zur Panik, aber ein präziser Hinweis darauf, wo Gesundheitseinrichtungen 2026 angreifbar sind: bei Websites, Formularen und anderen Randsystemen, die niemand aktiv überwacht. Wer seine Webpräsenz inventarisiert, Daten minimiert, Patches ernst nimmt und Erkennung sowie Reaktion organisiert, hat die wichtigsten Lehren des Falls bereits umgesetzt.

Wenn Sie unsicher sind, wie gut Ihre Praxis, Ihr MVZ oder Ihre Klinik heute aufgestellt ist: Wir schauen gern gemeinsam mit Ihnen drauf – unverbindlich und auf Augenhöhe. Gespräch mit Valyros vereinbaren

Quellen

• Ärzteblatt: Charité – knapp 140.000 Kontaktdaten bei Cyberangriff abgeflossen (30.10.2026): https://www.aerzteblatt.de/news/charite-knapp-140000-kontaktdaten-bei-cyberangriff-abgeflossen-2c5a0f50-38aa-43f2-8fd9-1163f6deef74
• medconweb: Cyberangriff auf Charité – Kontaktdaten gestohlen: https://www.medconweb.de/blog/it-edv/cyberangriff-auf-charite-kontaktdaten-gestohlen/
• Resilienzmagazin: BSI bewertet Lage der IT-Sicherheit als "unverändert angespannt": https://www.resilienzmagazin.de/risikomanagement/bundesamt-bewertet-die-lage-der-it%E2%80%91sicherheit-als-unveraendert-angespannt/
• t3n: PHP2Shell-Lücke – BSI warnt: https://t3n.de/news/php2shell-sicherheitsluecke-bsi-warnung-server-update-1769356/
• ad-hoc-news: NIS2-Pflichten – BSI plant ab Q4 2026 Durchsetzung (23.10.2026): https://www.ad-hoc-news.de/wirtschaft/nis2-pflichten-bsi-plant-ab-dem-vierten-quartal-2026-durchsetzung/70395716