Cyberangriff auf Fresenius: Lehren fürs Gesundheitswesen

Ende September 2026 traf es einen der größten Gesundheitskonzerne des Landes: Fresenius Medical Care, der Dialysespezialist aus Bad Homburg, bestätigte einen unbefugten Zugriff auf interne IT-Systeme. Der Vorfall reiht sich in eine Serie von Angriffen auf das Gesundheitswesen ein — und er zeigt exemplarisch, warum Kliniken, MVZ und Arztpraxen ihre Cybersicherheit nicht länger als reines IT-Thema behandeln können. In diesem Beitrag ordnen wir den Fall ein und leiten daraus konkrete, umsetzbare Maßnahmen für Gesundheitseinrichtungen jeder Größe ab — ohne Alarmismus, aber mit klarem Blick auf die Risiken.

Was über den Vorfall bekannt ist

Nach Unternehmensangaben kam es zu einem „unbefugten Zugriff auf eine begrenzte Anzahl interner Systeme". Fresenius Medical Care betont, dass Medizinprodukte, Patientenversorgung, Produktion und der laufende Geschäftsbetrieb nicht beeinträchtigt wurden. Der Konzern leitete nach eigener Darstellung sofort Maßnahmen zur Eindämmung ein, zog externe Cybersicherheitsexperten hinzu und informierte die zuständigen Strafverfolgungsbehörden (Quelle: Security-Insider, 25.09.2026).

Medienberichten zufolge reklamiert die Erpressergruppe ShinyHunters den Angriff für sich; Fresenius selbst hat sich zu einer möglichen Täterschaft und zu einem etwaigen Datenabfluss bislang nicht geäußert (Quellen: Borns IT-Blog, 23.09.2026, medconweb). Solange forensische Ergebnisse ausstehen, bleibt vieles Spekulation — seriös bewerten lässt sich aber bereits das Muster.

Kein Einzelfall: Das Gesundheitswesen bleibt Topziel

Allein in derselben Kalenderwoche listete der Branchendienst ComputerWeekly weitere Vorfälle im Gesundheitssektor, darunter eine südkoreanische Stammzellbank, bei der Patientendaten kompromittiert wurden, und einen US-Gesundheitsdienstleister mit offengelegten vertraulichen Informationen (Quelle: ComputerWeekly, Cyberangriffe der KW39/2026). Gesundheitsdaten sind auf illegalen Marktplätzen ein Vielfaches von Kreditkartendaten wert, und Einrichtungen mit Versorgungsauftrag stehen unter besonderem Druck, schnell wieder arbeitsfähig zu sein — eine Kombination, die Angreifer gezielt ausnutzen.

Warum gerade Arztpraxen, MVZ und Kliniken im Visier stehen

Ein Konzern wie Fresenius verfügt über ein eigenes Security-Team und kann einen Vorfall eindämmen, bevor die Versorgung leidet. Die Cybersecurity einer Arztpraxis oder eines mittelgroßen MVZ sieht in der Realität anders aus: Die IT betreut ein externes Systemhaus, das primär für Verfügbarkeit zuständig ist, nicht für Angriffserkennung. Genau diese Lücke macht kleinere Einrichtungen attraktiv.

Drei strukturelle Schwächen begegnen uns in der Praxis immer wieder:

• Keine Erkennung, nur Prävention: Firewall und Virenschutz sind vorhanden, aber niemand bemerkt, wenn ein Angreifer sie überwunden hat. Zwischen Erstzugriff und Verschlüsselung vergehen oft Tage — Zeit, in der ein Angriff gestoppt werden könnte, wenn ihn jemand sähe.
• Flache Netze und Altsysteme: Medizingeräte, Praxisverwaltungssystem (PVS) und Office-Arbeitsplätze hängen häufig im selben Netz. Ein kompromittierter Empfangs-PC öffnet dann den Weg zu Befunden und Abrechnungsdaten.
• Fehlende Zuständigkeit: Ohne benannten Informationssicherheitsbeauftragten bleibt Sicherheit ein Nebenthema, das zwischen Praxisleitung und Dienstleister zerrieben wird.

Die regulatorische Dimension: NIS2 und DSGVO

Größere Gesundheitseinrichtungen fallen als Einrichtungen des Sektors Gesundheit unter die NIS2-Regulierung und müssen Risikomanagement, Meldeprozesse und Geschäftsleitungsverantwortung nachweisen (Übersicht: BSI — NIS-2-regulierte Unternehmen). Unabhängig von NIS2 gilt für jede Praxis: Ein Abfluss von Patientendaten ist ein meldepflichtiger Datenschutzvorfall nach Art. 33 DSGVO — mit 72-Stunden-Frist und persönlichem Haftungsrisiko für die Leitung. Wer Patientendaten schützen will, braucht deshalb beides: technische Maßnahmen und geordnete Prozesse für den Ernstfall.

Fünf Lehren aus dem Fresenius-Vorfall

Der Fall zeigt weniger ein Versagen als vielmehr, wie professionelle Reaktion aussieht. Daraus lassen sich fünf übertragbare Lehren ziehen.

1. Schnelle Eindämmung entscheidet über den Schaden

Fresenius konnte den Zugriff nach eigenen Angaben auf eine „begrenzte Anzahl" von Systemen beschränken. Das gelingt nur, wenn Angriffe früh erkannt und betroffene Systeme konsequent isoliert werden. Für Einrichtungen ohne eigenes Security Operations Center leistet das ein Managed-Detection-&-Response-Dienst (MDR), der Endpunkte und Server rund um die Uhr überwacht und bei verdächtigem Verhalten sofort eingreift.

2. Erkennung braucht 24/7 — Angreifer arbeiten nachts

Viele Verschlüsselungsangriffe starten bewusst am Wochenende oder nachts, wenn niemand auf Alarme reagiert. Ein 24/7-Security-Monitoring schließt genau dieses Zeitfenster.

3. Der Ernstfall braucht einen Plan, keine Improvisation

Wer erst im Krisenfall klärt, wer Systeme abschalten darf, wer die Datenschutzaufsicht informiert und wie die Praxis analog weiterarbeitet, verliert wertvolle Stunden. Ein Incident-Response-Plan mit klaren Rollen — vorab geübt — ist die günstigste Versicherung, die eine Gesundheitseinrichtung abschließen kann.

4. Schwachstellen finden, bevor es Angreifer tun

Offene Fernwartungszugänge, veraltete PVS-Server, schwache Passwörter: Die meisten Einfallstore sind bekannt und vermeidbar. Regelmäßige Penetrationstests machen sichtbar, wo eine Einrichtung tatsächlich verwundbar ist — priorisiert nach realem Risiko statt nach Bauchgefühl.

5. Verantwortung institutionalisieren

Ein externer Informationssicherheitsbeauftragter (ISB) verankert das Thema dauerhaft: Er bewertet Risiken, steuert Dienstleister, bereitet Meldepflichten vor und entlastet die Leitung — ohne dass dafür eine eigene Vollzeitstelle nötig wäre.

Sofortmaßnahmen: Was Gesundheitseinrichtungen diese Woche prüfen sollten

Unabhängig von Größe und Budget lohnt sich ein kurzer Selbstcheck:

1. Multi-Faktor-Authentifizierung (MFA) für alle externen Zugänge (E-Mail, VPN, Fernwartung) aktivieren — sie verhindert die Mehrzahl der Kontoübernahmen.
2. Backups testen: Existiert eine offline gehaltene Kopie? Wurde eine Wiederherstellung in den letzten sechs Monaten tatsächlich geprobt?
3. Zuständigkeit klären: Wer bemerkt einen Angriff um 3 Uhr nachts — und wer entscheidet dann?
4. Meldewege dokumentieren: Kontaktdaten von Datenschutzaufsicht, ggf. BSI-Meldestelle und Cyberversicherung griffbereit halten.
5. Dienstleisterverträge prüfen: Ist Angriffserkennung (Detection & Response) beauftragt — oder nur Wartung und Support?

Fazit: Erkennung und Reaktion sind die neue Grundversorgung

Der Angriff auf Fresenius Medical Care zeigt: Auch gut aufgestellte Organisationen werden getroffen — den Unterschied macht, wie schnell sie es merken und wie geordnet sie reagieren. Für Arztpraxen, MVZ und Kliniken heißt das, den Fokus von reiner Prävention auf Erkennung, Reaktion und klare Verantwortlichkeiten zu erweitern. Wenn Sie wissen möchten, wo Ihre Einrichtung heute steht, sprechen Sie mit uns — in einem unverbindlichen Erstgespräch ordnen wir Ihre aktuelle Sicherheitslage ein und zeigen, welche Maßnahmen bei Ihnen die größte Wirkung hätten.

Häufige Fragen

Sind kleine Arztpraxen überhaupt ein lohnendes Ziel für Hacker?

Ja. Angreifer wählen ihre Opfer selten gezielt nach Größe aus, sondern scannen automatisiert nach verwundbaren Systemen. Patientendaten sind zudem besonders wertvoll, und die Zahlungsbereitschaft bei Erpressung ist im Gesundheitswesen hoch, weil der Praxisbetrieb schnell wiederhergestellt werden muss.

Was muss eine Praxis nach einem Cyberangriff melden?

Bei einem wahrscheinlichen Risiko für Patientendaten muss der Vorfall innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde gemeldet werden (Art. 33 DSGVO). NIS2-regulierte Einrichtungen haben zusätzliche Meldepflichten gegenüber dem BSI mit Erstmeldung binnen 24 Stunden. Eine Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des jeweiligen LKA ist ebenfalls empfehlenswert.

Was ist der Unterschied zwischen Virenschutz und MDR?

Virenschutz blockiert bekannte Schadsoftware auf einzelnen Geräten. Managed Detection & Response (MDR) überwacht zusätzlich das Verhalten im gesamten Netzwerk rund um die Uhr, erkennt auch neuartige Angriffsmuster (etwa den Missbrauch legitimer Admin-Werkzeuge) und reagiert aktiv — zum Beispiel durch die sofortige Isolation eines kompromittierten Rechners.

Fällt meine Einrichtung unter NIS2?

Das hängt von Sektor, Größe und Umsatz ab: Im Gesundheitswesen sind u. a. Krankenhäuser, Labore und bestimmte Hersteller erfasst, typischerweise ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz. Kleine Einzelpraxen fallen meist nicht darunter — die DSGVO-Pflichten zum Schutz von Patientendaten gelten aber unabhängig davon für jede Praxis. Eine individuelle Betroffenheitsprüfung schafft Klarheit. ---

Quellen

• Security-Insider: Fresenius Medical Care — Cyberangriff auf interne Systeme (25.09.2026): https://www.security-insider.de/fresenius-medical-care-cyberangriff-interne-systeme-a-ffe88d314ee1756b2e3434b740c85707/
• Borns IT- und Windows-Blog: Cybervorfälle — Fresenius, Stadtwerke Landsberg (23.09.2026): https://borncity.com/blog/2026/09/23/cybervorfaelle-fresenius-stadtwerke-landsberg/
• ComputerWeekly: Die Cyberangriffe der KW39/2026 im Überblick: https://www.computerweekly.com/de/news/366651276/Die-Cyberangriffe-der-KW39-2026-im-Ueberblick
• medconweb: Hacker greifen interne Systeme von Fresenius Medical Care an: https://www.medconweb.de/blog/it-edv/hacker-greifen-interne-systeme-von-fresenius-medical-care-an/
• BSI: NIS-2-regulierte Unternehmen: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html