Cyberangriff auf Arztpraxen: Lehren aus dem Fall Chur

Ein medizinisches Zentrum in der Schweiz meldet den Diebstahl von Rezepten, Röntgenbildern und Patientenstammdaten durch eine Ransomware-Gruppe. Der Fall zeigt exemplarisch, wie verwundbar ambulante Gesundheitseinrichtungen sind – und welche Schutzmaßnahmen sich für Arztpraxen und MVZ in Deutschland daraus ableiten lassen.

Am 6. November 2026 wurde bekannt, dass das Medizinische Zentrum Gleis D in Chur und die angeschlossene Medi Porta Opfer eines Cyberangriffs wurden. Nach Angaben der Betreiber erbeuteten die Angreifer Namen, Adressen, Rezepte und Röntgenbilder von Patientinnen und Patienten sowie Daten von Mitarbeitenden. Die Ransomware-Gruppe „Cloak" reklamierte den Angriff im Darknet für sich und behauptet, 87 Gigabyte an Daten erbeutet zu haben – eine Angabe, die bislang nicht unabhängig bestätigt ist (Medinside, 06.11.2026).

Der Fall ist kein Einzelfall, sondern Teil eines Musters, das auch deutsche Praxen betrifft. In diesem Beitrag ordnen wir den Vorfall ein und zeigen, welche konkreten Schritte eine Arztpraxis oder ein MVZ jetzt gehen sollte.

Was in Chur passiert ist – und was gut lief

Nach der Pressemitteilung der Betreiber zielte der Angriff auf lokale Datenablagen der beiden Einrichtungen. Gemeinsam mit dem IT-Dienstleister und externen Cybersicherheitsexperten wurde der Angriff gestoppt, die betroffenen Systeme wurden gesichert und die ausgenutzten Schwachstellen geschlossen. Die medizinische Versorgung war zu keinem Zeitpunkt beeinträchtigt, beide Einrichtungen blieben voll betriebsfähig.

Bemerkenswert sind drei Punkte, die den Schaden begrenzten:

• Getrennte Systeme: Das elektronische Patientendossier war nicht betroffen, weil es in einer separaten Anwendung läuft. Segmentierung zahlt sich aus.
• Schnelle Reaktion mit externer Hilfe: Die Betreiber zogen umgehend externe Incident-Response-Expertise hinzu, statt den Vorfall allein bewältigen zu wollen.
• Transparente Kommunikation: Strafanzeige, Meldung an das Bundesamt für Cybersicherheit (BACS) und den Eidgenössischen Datenschutzbeauftragten (EDÖB) sowie eine aktive Warnung der Patienten vor Folge-Phishing erfolgten zügig.

Gleichzeitig zeigt der Fall die Kehrseite: Sind Rezepte, Röntgenbilder und Stammdaten einmal abgeflossen, lässt sich das nicht rückgängig machen. Gesundheitsdaten sind besonders sensibel – und für Kriminelle besonders wertvoll, etwa für Identitätsmissbrauch und gezielte Phishing-Kampagnen gegen Patienten.

Warum gerade Arztpraxen und MVZ im Visier stehen

Ein Cyberangriff auf eine Arztpraxis wirkt für viele Inhaber unwahrscheinlich – „wir sind doch zu klein". Die Zahlen sprechen eine andere Sprache. Das Bundeskriminalamt registrierte für 2025 einen Anstieg der angezeigten Ransomware-Fälle um zehn Prozent auf 1.041; 96 Prozent der Attacken richteten sich gegen Unternehmen, Organisationen und Institutionen (Thieme/dpa). Auch die Analyse der Google Threat Intelligence Group zu Daten-Leak-Seiten zeigt: Rund 96 Prozent der betroffenen deutschen Unternehmen haben weniger als 5.000 Mitarbeitende (IT-Administrator, 16.04.2026).

Für Praxen kommen branchenspezifische Faktoren hinzu:

• Hoher Datenwert bei geringem Schutzniveau: Befunde, Diagnosen und Abrechnungsdaten erzielen im Untergrund hohe Preise. Gleichzeitig fehlt in den meisten Praxen dediziertes IT-Sicherheitspersonal.
• Hoher Verfügbarkeitsdruck: Wer morgens keine Termine aufrufen und keine Rezepte ausstellen kann, steht sofort still. Dieser Druck macht Erpressung wirksam.
• Abhängigkeit von Dienstleistern: Praxisverwaltungssysteme, Fernwartung und externe Labore schaffen zusätzliche Zugangswege. Angriffe auf Klinik- und Praxis-Dienstleister haben in der Vergangenheit gleich mehrere Einrichtungen auf einmal getroffen.
• Regulatorische Pflichten: DSGVO-Meldepflichten binnen 72 Stunden, die IT-Sicherheitsrichtlinie nach § 75b SGB V und berufsrechtliche Schweigepflichten machen jeden Vorfall auch zu einem Compliance-Fall.

Sieben Maßnahmen, die Ihre Praxis jetzt umsetzen sollte

1. Patientendaten segmentieren

Der Fall Chur zeigt den Wert getrennter Systeme. Praxisverwaltung, Bildarchiv (PACS), Office-Rechner und Gäste-WLAN gehören in getrennte Netzsegmente, damit ein kompromittierter Arbeitsplatz nicht den Zugriff auf alle Patientendaten öffnet.

2. Multi-Faktor-Authentifizierung erzwingen

Gestohlene oder schwache Passwörter sind ein Haupteinfallstor bei Angriffen auf Gesundheitseinrichtungen. MFA auf allen extern erreichbaren Zugängen – E-Mail, Fernwartung, VPN – ist die wirksamste Einzelmaßnahme.

3. Backups offline und getestet vorhalten

Moderne Ransomware-Gruppen löschen erreichbare Backups gezielt. Mindestens eine Sicherung muss offline oder unveränderbar (immutable) sein – und die Wiederherstellung muss regelmäßig geprobt werden. Wichtig: Backups schützen nicht vor der Veröffentlichung gestohlener Daten; sie sind notwendig, aber nicht hinreichend.

4. Angriffe erkennen, bevor verschlüsselt wird

Zwischen Erstzugriff und Verschlüsselung vergehen oft Tage. Wer in dieser Zeit verdächtige Anmeldungen, ungewöhnliche Datenabflüsse oder neue Admin-Konten erkennt, kann den Angriff stoppen, bevor Patientendaten abfließen. Für Praxen ohne eigenes Security-Team leistet das ein externer Dienst: Managed Detection & Response überwacht Endpunkte und Server rund um die Uhr. Managed Detection & Response für Gesundheitseinrichtungen

5. Dienstleister vertraglich und technisch einbinden

Klären Sie mit PVS-Anbieter und IT-Dienstleister: Wer meldet Vorfälle in welcher Frist? Welche Zugriffe bestehen per Fernwartung, und sind sie protokolliert und mit MFA gesichert? Auftragsverarbeitungsverträge sollten Sicherheitsvorfälle explizit regeln.

6. Notfallplan für den Praxisbetrieb erstellen

Was passiert, wenn das PVS drei Tage ausfällt? Ein einseitiger Notfallplan mit Erreichbarkeiten (IT-Dienstleister, Incident-Response-Kontakt, Datenschutzaufsicht, KV), Papier-Fallback für Rezepte und einer Kommunikationsvorlage für Patienten spart im Ernstfall Stunden. Professionelle Unterstützung im Ernstfall sollte vorab vereinbart sein, nicht erst im Krisenmoment gesucht werden. Incident Response: Soforthilfe bei Cyberangriffen

7. Verantwortlichkeit klären

Datenschutz und Informationssicherheit brauchen einen Kümmerer. Praxen und MVZ, die keinen eigenen Sicherheitsbeauftragten stellen können, greifen auf einen externen Informationssicherheitsbeauftragten zurück, der Richtlinien, Schulungen und Dienstleistersteuerung übernimmt. Externer Informationssicherheitsbeauftragter (ISB)

Nach dem Angriff ist vor dem Phishing

Ein oft unterschätzter Aspekt: Gestohlene Patientendaten werden für Folgeangriffe genutzt. Die Churer Einrichtungen warnen ihre Patienten ausdrücklich davor, dass Betrüger sich nun telefonisch, per E-Mail oder SMS als Praxis ausgeben könnten – und stellen klar, dass sie niemals Passwörter, Bankdaten oder Zahlungen auf diesen Wegen anfordern. Diese Warnung sollte jede betroffene Einrichtung übernehmen. Auch Mitarbeitende sind nach einem Datenleck bevorzugte Phishing-Ziele, denn ihre Kontaktdaten sind nun in kriminellen Händen.

Fazit: Vorfälle wie Chur sind planbar – die Reaktion auch

Der Angriff auf das Gesundheitszentrum in Chur reiht sich in eine anhaltende Serie von Attacken auf ambulante und stationäre Gesundheitseinrichtungen im DACH-Raum ein. Die gute Nachricht: Die Einrichtungen blieben arbeitsfähig, weil Segmentierung, externe Hilfe und klare Kommunikation funktionierten. Genau diese Fähigkeiten lassen sich aufbauen, bevor etwas passiert.

Wenn Sie wissen möchten, wie gut Ihre Praxis oder Ihr MVZ heute aufgestellt ist, ist eine unverbindliche Standortbestimmung ein guter erster Schritt – etwa durch einen gezielten Sicherheitscheck Ihrer extern erreichbaren Systeme. Penetrationstest für Arztpraxen und MVZ Sprechen Sie uns gerne an.

Quellen

• Medinside: Cyberangriff in Chur – Rezepte und Röntgenbilder gestohlen (06.11.2026): https://www.medinside.ch/de/cyberangriff-in-chur-rezepte-und-roentgenbilder-gestohlen-20261106
• Thieme/dpa: Cyberangriff auf Klinik-Dienstleister – BKA-Zahlen zu Ransomware: https://praxis.thieme.de/news/cyberangriff-klinik-dienstleister-patientendaten-ransomware/
• IT-Administrator: Google-Threat-Intelligence-Analyse zu Leak-Site-Opfern in Deutschland (16.04.2026): https://www.it-administrator.de/google-cloud-studie-deutschland-mittelstand-ransomware-angriffe