Cyberangriff auf Krankenhäuser: Lehren aus Oktober 2026

Am 21. Oktober 2026 passierte etwas, das es in dieser Breite selten gibt: Die Charité in Berlin, das Universitätsspital Zürich, die Insel Gruppe in Bern und weitere Spitäler nahmen ihre Webauftritte vorsorglich vom Netz. Der Grund war kein gezielter Cyberangriff auf ein Krankenhaus, sondern zwei kritische Schwachstellen in der Programmiersprache PHP, die weltweit Webserver verwundbar machten — und die Erkenntnis, dass Angreifer bereits aktiv nach ungepatchten Systemen suchten. Nur zwei Wochen zuvor hatte ein Angriff die Kreiskliniken Kassel getroffen, die ihre Notfallpläne aktivieren mussten.

Für Geschäftsführungen und IT-Verantwortliche im Gesundheitswesen ist das eine doppelte Botschaft: Das Gesundheitswesen bleibt eines der attraktivsten Ziele für Cyberkriminelle — und selbst Einrichtungen, die nicht direkt angegriffen werden, müssen binnen Stunden reagieren können, wenn eine kritische Schwachstelle öffentlich wird. Dieser Beitrag ordnet die Vorfälle ein und zeigt, welche Konsequenzen Kliniken, MVZ und Arztpraxen daraus ziehen sollten.

Was im Oktober 2026 passiert ist

Kritische PHP-Lücken zwingen Kliniken zum Handeln

Am 21. Oktober 2026 veröffentlichten die PHP-Maintainer Sicherheitsupdates für zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619, „php2shell"), die mit einem CVSS-Wert von 9,2 bewertet wurden und Remote Code Execution ermöglichen — Angreifer können also aus der Ferne Schadcode auf verwundbaren Webservern ausführen. Das BSI stufte die Lage noch am selben Tag mit der Kritikalität 3 (Orange) ein. Sicherheitsanbieter wie Cloudflare beobachteten bereits erste Angriffsversuche, Huntress warnte vor der Installation von Web-Shells auf ungepatchten Systemen.

Die Reaktion im Gesundheitswesen war bemerkenswert konsequent: Charité, Universitätsspital Zürich, Insel Gruppe, Kantonsspital Uri und das GZO Spital Wetzikon nahmen ihre Websites offline, bis die Updates eingespielt waren. Das ist unbequem — aber genau richtig. Eine kompromittierte Klinik-Website ist ein ideales Einfallstor für Folgeangriffe und ein Reputationsrisiko.

Ransomware trifft Kreiskliniken Kassel

Bereits am 8. Oktober 2026 wurden die Kreiskliniken Kassel (Standorte Hofgeismar und Wolfhagen) Ziel eines Cyberangriffs. Die Kliniken aktivierten ihre Notfallpläne, die medizinische Versorgung blieb nach eigenen Angaben gewährleistet, ein mögliches Datenleck wird geprüft, das BSI wurde informiert. Der Fall zeigt das typische Muster: Nicht die Universitätsklinik mit großem Security-Team wird getroffen, sondern das regionale Haus mit knappen IT-Ressourcen.

Warum das Gesundheitswesen im Fokus der Angreifer steht

Drei Gründe machen Kliniken und Praxen zu bevorzugten Zielen:

Hoher Druck, schnell zu zahlen. Wo Patientenversorgung von IT abhängt, wiegt jeder Ausfalltag schwer. Angreifer kalkulieren genau damit.

Wertvolle Daten. Gesundheitsdaten sind auf illegalen Marktplätzen ein Vielfaches von Kreditkartendaten wert. Diagnosen, Abrechnungsdaten und Stammdaten lassen sich für Erpressung, Identitätsdiebstahl und gezielte Phishing-Angriffe missbrauchen. Wer Patientendaten schützen will, muss auch an Dienstleister denken — das zeigte in diesem Jahr der Fall des Abrechnungsdienstleisters Unimed, bei dem Daten zehntausender Uniklinik-Patienten abflossen.

Komplexe, gewachsene IT. Medizintechnik mit langen Lebenszyklen, Fachverfahren, Schnittstellen zu Kassen und Laboren: Die Angriffsfläche ist groß, die Patch-Fähigkeit oft eingeschränkt.

Hinzu kommt die Regulatorik: Größere Krankenhäuser gelten als KRITIS Krankenhaus bzw. fallen unter die NIS2-Pflichten des neuen BSIG — mit Registrierungs-, Melde- und Nachweispflichten. Auch Arztpraxen sind über § 75b SGB V und die IT-Sicherheitsrichtlinie der KBV zu konkreten Maßnahmen verpflichtet.

Fünf Konsequenzen für Kliniken, MVZ und Arztpraxen

1. Reaktionsfähigkeit in Stunden, nicht Tagen

Die PHP-Lücken haben gezeigt: Zwischen Veröffentlichung einer Schwachstelle und ihrer aktiven Ausnutzung liegen heute oft nur Stunden. Einrichtungen brauchen einen Prozess, der kritische Warnungen (BSI, CERT-Bund, Hersteller) automatisch bewertet und priorisiert umsetzt — auch nachts und am Wochenende.

2. 24/7-Monitoring statt Bürozeiten-Sicherheit

Angriffe wie in Kassel beginnen selten um 10 Uhr vormittags. Ein Security Operations Center bzw. Managed Detection & Response (MDR) erkennt verdächtige Aktivitäten — etwa das Anlegen neuer Admin-Konten oder ungewöhnliche Datenabflüsse — bevor Verschlüsselung oder Datenexfiltration beginnen. Für die meisten Häuser ist das wirtschaftlich nur als Managed Service darstellbar.

3. Notfallplan Klinik: üben, nicht nur dokumentieren

Kassel konnte den Betrieb halten, weil Notfallpläne existierten und aktiviert wurden. Ein Notfallplan, der nur im Schrank liegt, hilft nicht. Mindestens einmal jährlich sollten Ausfallszenarien (KIS/PVS nicht verfügbar, Telefonie gestört, Verschlüsselungsfall) realistisch durchgespielt werden — inklusive der Frage, wie Patienten ohne digitale Akte sicher versorgt werden.

4. Angriffsfläche kennen und testen

Welche Systeme sind aus dem Internet erreichbar? Läuft auf dem Webserver, dem Patientenportal oder dem Terminbuchungstool verwundbare Software? Regelmäßige Penetrationstests und Schwachstellenscans beantworten diese Fragen, bevor es Angreifer tun.

5. Verantwortung klar regeln

Viele Praxen und kleinere Häuser haben niemanden, der Informationssicherheit verantwortet. Ein externer Informationssicherheitsbeauftragter (ISB) schafft hier Struktur: Risikoanalyse, Maßnahmenplan, Dienstleistersteuerung, Nachweisdokumentation — ohne eine eigene Vollzeitstelle zu binden.

Was im Ernstfall zählt

Kommt es trotz aller Vorsorge zum Vorfall, entscheiden die ersten Stunden über das Schadensausmaß: Systeme isolieren, Beweise sichern, Meldepflichten einhalten (Datenschutzaufsicht binnen 72 Stunden nach DSGVO, bei NIS2-/KRITIS-Einrichtungen Erstmeldung ans BSI binnen 24 Stunden) und koordiniert wiederherstellen. Eine vorbereitete Incident-Response-Partnerschaft mit definierten Reaktionszeiten ist dabei deutlich wirksamer — und günstiger — als die Suche nach Hilfe im laufenden Notfall.

Fazit

Die Ereignisse dieser Woche zeigen zwei Gesichter derselben Bedrohungslage: den gezielten Angriff auf ein Krankenhaus wie in Kassel und die flächige Gefährdung durch kritische Schwachstellen wie php2shell, auf die selbst die Charité mit einer Offline-Nahme reagierte. Einrichtungen im Gesundheitswesen, die IT-Sicherheit im Gesundheitswesen ernst nehmen, brauchen beides: präventive Härtung und getestete Notfallprozesse — plus die Fähigkeit, rund um die Uhr zu erkennen und zu reagieren.

Wenn Sie wissen möchten, wo Ihre Klinik oder Praxis heute steht, ist eine unverbindliche Standortbestimmung ein guter erster Schritt — vom Schwachstellen-Check bis zur Frage, ob ein externes Security-Monitoring für Ihre Einrichtung sinnvoll ist. Das Team von Valyros unterstützt Sie dabei gern.

Häufige Fragen

Sind auch kleine Arztpraxen von Cyberangriffen betroffen?

Ja. Angreifer unterscheiden selten nach Größe — automatisierte Kampagnen scannen das gesamte Internet nach verwundbaren Systemen. Praxen sind über die IT-Sicherheitsrichtlinie nach § 75b SGB V zudem rechtlich zu Schutzmaßnahmen verpflichtet. Gerade Praxen ohne eigene IT-Abteilung profitieren von extern betreutem Monitoring und einem externen Informationssicherheitsbeauftragten.

Was sollten Kliniken aus den PHP-Schwachstellen (php2shell) lernen?

Dass Reaktionszeit die entscheidende Größe ist. Die Lücken wurden am 21. Oktober 2026 veröffentlicht, erste Angriffe folgten unmittelbar. Einrichtungen brauchen ein Schwachstellen- und Patch-Management, das kritische Warnungen innerhalb von Stunden bewertet und umsetzt — und im Zweifel, wie Charité und Universitätsspital Zürich, Systeme vorübergehend vom Netz nimmt.

Welche Meldepflichten gelten bei einem Cyberangriff auf ein Krankenhaus?

Bei Verletzungen des Schutzes personenbezogener Daten gilt die 72-Stunden-Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO. KRITIS- und NIS2-regulierte Einrichtungen müssen erhebliche Sicherheitsvorfälle zusätzlich ans BSI melden: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat.

Was kostet ein 24/7-Security-Monitoring für eine Klinik oder ein MVZ?

Deutlich weniger als ein eigenes Security Operations Center: Managed Detection & Response wird in der Regel pro überwachtem System bzw. Endpunkt abgerechnet und skaliert damit auch für mittlere Häuser und Praxisverbünde. Entscheidend ist, dass Erkennung und Reaktion (nicht nur Alarmierung) enthalten sind. ---

Quellen

• Medinside: Weltweite Sicherheitslücke legt Webauftritte grosser Spitäler lahm (21.10.2026): https://www.medinside.ch/de/cyberalarm-universitaetsspital-zuerich-und-charite-nehmen-webseiten-vom-netz-20261021
• Borncity: php2shell — PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 (21.10.2026): https://borncity.com/blog/2026/10/21/php2shell-php-schwachstellen-cve-2026-109618-und-cve-2026-109619
• ComputerWeekly: Die Cyberangriffe der KW42/2026 im Überblick (17.10.2026) — Kreiskliniken Kassel: https://www.computerweekly.com/de/news/366652433/Die-Cyberangriffe-der-KW42-2026-im-Ueberblick
• Security-Insider: Cyberangriff auf Daten von Tausenden Uniklinik-Patienten (Unimed, Mai 2026): https://www.security-insider.de/cyberangriff-unimed-patientendaten-unikliniken-a-994478f4f1fb9660429dd4d07a421140/
• Datensicherheit.de: PHP — BSI warnt vor kritischen Schwachstellen: https://www.datensicherheit.de/php-bsi-warnung-schwachstellen-2026/