Cyberangriff auf Kliniken: Lehren für Krankenhäuser

Am 8. Oktober 2026 meldeten die Kreiskliniken Kassel einen Cyberangriff auf ihre IT-Systeme. Betroffen waren die Standorte Hofgeismar und Wolfhagen. Die Kliniken aktivierten ihre IT-Notfallpläne, zogen externe Sicherheitsexperten hinzu und meldeten den Vorfall an das BSI, den Hessischen Datenschutzbeauftragten und das Landeskriminalamt. Die medizinische Versorgung lief nach Angaben des Hauses an beiden Standorten weiter; ob personenbezogene Daten abgeflossen sind, wird noch geprüft (medconweb, 10.10.2026, ComputerWeekly KW42/2026).

Der Fall ist kein Einzelfall — und gerade deshalb lehrreich. Er zeigt, wie ein Cyberangriff auf ein Krankenhaus ablaufen kann, wenn Notfallpläne existieren und früh reagiert wird. In diesem Beitrag ordnen wir den Vorfall ein und leiten konkrete Maßnahmen für Kliniken, MVZ und Arztpraxen ab.

Was über den Angriff auf die Kreiskliniken Kassel bekannt ist

Nach aktuellem Stand wurde der Angriff früh erkannt. Die Kliniken reagierten mit einem eingespielten Dreiklang: Notfallpläne aktivieren, externe Forensik einbinden, Behörden informieren. Patientenaufnahme, Behandlungen, Telefon und E-Mail blieben funktionsfähig — ein deutlicher Unterschied zu Vorfällen, bei denen Kliniken wochenlang in den Stift-und-Papier-Betrieb wechseln mussten.

Zwei Punkte verdienen besondere Aufmerksamkeit:

Erstens: Die Frage des Datenabflusses ist noch offen. Genau hier entscheidet sich, ob aus einem IT-Vorfall ein Datenschutzvorfall mit Benachrichtigungspflichten nach Art. 33/34 DSGVO wird. Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien — die Meldeschwellen sind niedrig, die Fristen kurz (72 Stunden).

Zweitens: Die frühe Erkennung war der entscheidende Faktor. Ransomware-Gruppen bewegen sich nach dem Erstzugriff oft tage- oder wochenlang unbemerkt im Netzwerk, bevor sie verschlüsseln. Wer diese Phase erkennt, kann den Schaden drastisch begrenzen.

Warum das Gesundheitswesen im Fokus von Angreifern steht

Patientendaten sind wertvoll — und Ausfallzeit ist unbezahlbar

Medizinische Daten erzielen auf kriminellen Marktplätzen höhere Preise als Kreditkartendaten, denn sie lassen sich nicht „sperren" wie eine Karte. Gleichzeitig können Kliniken Ausfallzeiten kaum tolerieren: Jede Stunde ohne KIS, Labor- oder Radiologiesysteme gefährdet Abläufe und im Ernstfall Patienten. Diese Kombination macht das Gesundheitswesen erpressbar — und damit zum bevorzugten Ziel.

Dass die Gefahr nicht nur die Kliniken selbst betrifft, zeigte in diesem Jahr der Angriff auf den Abrechnungsdienstleister unimed: Dabei wurden Daten zehntausender Privatpatienten mehrerer Universitätskliniken gestohlen, darunter Stammdaten und Rechnungsdaten, die Rückschlüsse auf Diagnosen zulassen (Security-Insider, Mai 2026). Die Lieferkette — Abrechnung, Labor, IT-Dienstleister, Praxissoftware — ist Teil der eigenen Angriffsfläche.

Regulatorischer Druck: NIS2, BSIG und branchenspezifische Standards

Mit dem neuen BSIG (NIS2-Umsetzung) gehören Einrichtungen des Gesundheitswesens zu den regulierten Sektoren. Größere Häuser gelten als besonders wichtige Einrichtungen, mit Registrierungs-, Melde- und Risikomanagementpflichten — inklusive persönlicher Verantwortung der Geschäftsleitung (PKF, 2026). Für Krankenhäuser ab KRITIS-Schwelle kommen branchenspezifische Sicherheitsstandards (B3S) hinzu. Auch Arztpraxen sind über die IT-Sicherheitsrichtlinie nach § 390 SGB V zu konkreten Maßnahmen verpflichtet.

Fünf Lehren aus dem Fall Kassel für Kliniken und Praxen

1. Früherkennung ist der wirksamste Hebel

Der Unterschied zwischen einem kontrollierten Vorfall und einem Totalausfall liegt fast immer in der Erkennungszeit. Ein 24/7-Security-Monitoring mit Managed Detection & Response (MDR) erkennt verdächtige Aktivitäten — ungewöhnliche Anmeldungen, Rechteausweitung, Datenexfiltration — bevor verschlüsselt wird. Gerade kleinere Häuser und MVZ, die kein eigenes SOC betreiben können, sollten diese Fähigkeit extern einkaufen.

Mehr dazu: Managed Detection & Response von Valyros

2. Notfallpläne müssen vor dem Ernstfall existieren — und geübt sein

Kassel konnte Notfallpläne „aktivieren", weil es sie gab. Ein IT-Notfallplan für Kliniken beantwortet: Wer entscheidet über Netztrennung? Wie läuft der klinische Betrieb ohne KIS weiter? Wer informiert BSI, Datenschutzaufsicht, LKA? Welche externen Partner (Forensik, Incident Response) sind vertraglich gebunden? Ein Incident-Response-Retainer verkürzt die Reaktionszeit von Tagen auf Stunden.

Mehr dazu: Incident Response & IT-Forensik

3. Meldewege kennen und vorbereiten

BSI-Meldung (bei KRITIS/NIS2-Einrichtungen verpflichtend, Erstmeldung binnen 24 Stunden), Datenschutzmeldung binnen 72 Stunden, Strafanzeige beim LKA: Diese Prozesse sollten als ausgefüllte Vorlagen bereitliegen. Ein externer Informationssicherheitsbeauftragter (ISB) hält diese Pflichten aktuell und übernimmt im Ernstfall die Koordination.

Mehr dazu: Externer Informationssicherheitsbeauftragter (ISB)

4. Die Lieferkette gehört zum eigenen Risiko

Der unimed-Fall zeigt: Patientendaten fließen auch dort ab, wo die Klinik-IT gar nicht angegriffen wurde. Dienstleisterverträge brauchen klare Sicherheits- und Meldeklauseln (Auftragsverarbeitung, TOMs, Auditrechte) — NIS2 verlangt Lieferkettensicherheit ausdrücklich als Teil des Risikomanagements.

5. Angriffsfläche regelmäßig überprüfen lassen

Viele Klinik-Angriffe beginnen an exponierten Systemen: VPN-Gateways, Fernwartungszugänge von Medizintechnik, veraltete Fachanwendungen. Regelmäßige Penetrationstests und Schwachstellenscans machen diese Einfallstore sichtbar, bevor Angreifer sie finden.

Mehr dazu: Penetrationstests für das Gesundheitswesen

Sofort-Checkliste für Geschäftsführung und IT-Leitung

Für die kommende Woche, ohne Budgetprozess umsetzbar: Offene Fernzugänge und VPN-Zugänge inventarisieren und mit Multi-Faktor-Authentifizierung absichern. Backup-Wiederherstellung real testen (nicht nur Backup-Status prüfen). Notfallkontakte — intern, Dienstleister, BSI, Datenschutzaufsicht — als ausgedruckte Liste hinterlegen. Admin-Konten auf das Nötigste reduzieren. Und klären: Wer würde einen Angriff heute Nacht um 3 Uhr bemerken? Wenn die Antwort „niemand" lautet, ist das die wichtigste offene Baustelle.

Fazit

Die Kreiskliniken Kassel zeigen, dass Vorbereitung den Unterschied macht: Früherkennung, geübte Notfallpläne und klare Meldewege haben einen potenziell katastrophalen Vorfall beherrschbar gemacht. Kliniken und Praxen, die diese Bausteine noch nicht haben, müssen dafür kein eigenes Security-Team aufbauen.

Wenn Sie wissen möchten, wie gut Ihre Einrichtung heute aufgestellt ist, sprechen Sie mit uns — in einem unverbindlichen Erstgespräch ordnen wir Ihre aktuelle Sicherheitslage ein und zeigen, welche Maßnahmen für Ihre Hausgröße wirklich Priorität haben.

Verwandtes Thema: Wie Darknet Monitoring gestohlene Zugangsdaten aufspürt, bevor sie zum Einfallstor werden.

Häufige Fragen

Wie häufig sind Cyberangriffe auf Krankenhäuser in Deutschland?

Das Gesundheitswesen gehört seit Jahren zu den am stärksten angegriffenen Branchen. Allein im Oktober 2026 traf es mit den Kreiskliniken Kassel erneut einen kommunalen Klinikverbund; im Frühjahr waren über den Dienstleister unimed Patientendaten mehrerer Universitätskliniken betroffen. Die Dunkelziffer ist hoch, da nicht alle Vorfälle öffentlich werden.

Was muss ein Krankenhaus nach einem Cyberangriff melden?

Je nach Einstufung: eine Meldung an das BSI (für KRITIS-Betreiber und NIS2-regulierte Einrichtungen, Erstmeldung innerhalb von 24 Stunden), bei Verletzung des Schutzes personenbezogener Daten eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden (Art. 33 DSGVO) sowie ggf. die Benachrichtigung Betroffener. Eine Strafanzeige ist empfehlenswert.

Gilt NIS2 auch für Arztpraxen?

Normale Einzelpraxen fallen in der Regel nicht unter NIS2, da die Schwellenwerte (ab 50 Mitarbeiter bzw. 10 Mio. Euro Umsatz im Sektor Gesundheitswesen) nicht erreicht werden. Für sie gilt aber die IT-Sicherheitsrichtlinie nach § 390 SGB V. Größere MVZ-Verbünde, Labore und Kliniken können dagegen als wichtige oder besonders wichtige Einrichtungen reguliert sein — eine Betroffenheitsprüfung lohnt sich.

Was kostet ein 24/7-Monitoring im Vergleich zu einem Vorfall?

Managed Detection & Response ist als monatlicher Service ab einem Bruchteil der Kosten eines einzigen Vorfalls erhältlich. Zum Vergleich: Bei Klinik-Vorfällen entstehen regelmäßig Kosten in Millionenhöhe durch Ausfall, Wiederherstellung, Forensik und mögliche Bußgelder — von Reputationsschäden abgesehen.

Quellen

• medconweb: Cyberangriff trifft Kreiskliniken Kassel (10.10.2026): https://www.medconweb.de/blog/it-edv/cyberangriff-trifft-kreiskliniken-kassel/
• ComputerWeekly: Die Cyberangriffe der KW42/2026 im Überblick: https://www.computerweekly.com/de/news/366652433/Die-Cyberangriffe-der-KW42-2026-im-Ueberblick
• Security-Insider: Cyberangriff auf unimed – Patientendaten mehrerer Unikliniken (22.05.2026): https://www.security-insider.de/cyberangriff-unimed-patientendaten-unikliniken-a-994478f4f1fb9660429dd4d07a421140/
• PKF: NIS-2 und das BSIG – Registrierungsfrist lief am 30.09.2026 aus: https://www.pkf.de/artikel/nis-2-und-das-bsig-registrierungsfrist-laeuft-am-30-september-2026-aus