Cyberangriffe im Gesundheitswesen: Lehren für Praxen

Das Gesundheitswesen bleibt eines der bevorzugten Ziele von Cyberkriminellen – und die vergangenen Tage und Wochen haben erneut gezeigt, wie breit die Angriffsfläche ist: vom Dialysekonzern über Klinik-Dienstleister bis zur Phishing-Masche, die sich als Krankenkasse ausgibt. Wer Patientendaten verarbeitet, verwaltet das Sensibelste, was Menschen digital besitzen. Entsprechend hoch sind der Wert dieser Daten im Untergrund – und die Fallhöhe für jede Praxis, jedes MVZ und jede Klinik.

Dieser Beitrag fasst die aktuelle Lage zusammen und übersetzt sie in konkrete, machbare Schritte für Einrichtungen jeder Größe.

Der aktuelle Anlass: Angriff auf Fresenius Medical Care

Ende September bestätigte der Dialysekonzern Fresenius Medical Care aus Bad Homburg einen Cybersicherheitsvorfall mit unbefugtem Zugriff auf eine begrenzte Anzahl interner Systeme. Das Unternehmen betonte, der Vorfall habe keine Auswirkungen auf Medizinprodukte, Patientenversorgung oder Produktion gehabt; Cybersicherheitsexperten und Strafverfolgungsbehörden wurden eingebunden, Details zum möglichen Datenabfluss blieben zunächst offen (Security-Insider, 25.09.2026). Threat-Intelligence-Dienste berichten, dass die Erpressergruppe ShinyHunters den Angriff für sich reklamiert (CTIWatch) – eine offizielle Bestätigung dafür steht aus.

Die gute Nachricht: Die Reaktion folgte dem Lehrbuch – schnelle Eindämmung, externe Experten, transparente Kommunikation. Die unbequeme Frage für alle anderen lautet: Wie liefe das im eigenen Haus?

Das unterschätzte Risiko: Dienstleister mit Zugriff auf Patientendaten

Wie teuer ein Vorfall in der Lieferkette wird, zeigte in diesem Jahr der Angriff auf einen externen Abrechnungsdienstleister mehrerer deutscher Universitätskliniken: Die Täter scheiterten zwar mit der vollständigen Verschlüsselung, konnten aber zehntausende Patientendatensätze abziehen – betroffen waren unter anderem die Unikliniken Köln, Düsseldorf, Freiburg, Heidelberg, Tübingen und die Mainzer Universitätsmedizin, überwiegend bei Privatpatienten und Selbstzahlern (arzt-wirtschaft.de).

Die Lehre gilt für jede Praxis genauso wie für die Uniklinik: Abrechnungsstellen, Labore, PVS-Hersteller, IT-Betreuer – jeder Dienstleister mit Zugriff auf Patientendaten ist Teil der eigenen Angriffsfläche. Auftragsverarbeitungsverträge regeln die Haftung, aber nicht die Sicherheit. Wer seine Dienstleister nie nach Sicherheitsmaßnahmen, Meldewegen und Notfallplänen gefragt hat, sollte das zeitnah nachholen.

Auch die Patientenseite wird angegriffen: Phishing im Namen der AOK

Parallel läuft derzeit eine Phishing-Welle, die sich als AOK ausgibt: Die Täter locken mit einer angeblichen Beitragsrückerstattung von 478,90 Euro und setzen eine Frist (7. Oktober), um Empfänger auf eine präparierte Seite zu treiben (Verbraucherzentrale Phishing-Radar). Für Praxen ist das doppelt relevant: Zum einen fragen verunsicherte Patienten am Empfang nach solchen Mails. Zum anderen zeigen die Maschen, wie professionell Absenderfälschung im Gesundheitskontext inzwischen ist – dieselben Techniken treffen auch Praxispostfächer, etwa als gefälschte Labornachricht, KV-Mitteilung oder Bewerbung.

Warum das Gesundheitswesen so attraktiv für Angreifer ist

Drei Faktoren machen Gesundheitseinrichtungen zu bevorzugten Zielen:

• Datenwert: Vollständige Patientendatensätze erzielen im Untergrund ein Vielfaches des Preises von Kreditkartendaten – sie eignen sich für Identitätsdiebstahl, Abrechnungsbetrug und gezielte Erpressung.
• Druckmittel Verfügbarkeit: Wo Behandlungstermine, Befunde und Abrechnung an der IT hängen, erzeugt ein Ausfall sofort massiven Handlungsdruck – ideal für Erpresser.
• Heterogene, oft veraltete IT: Medizingeräte mit langen Lebenszyklen, Praxisverwaltungssysteme, TI-Anbindung und Alltagsgeräte teilen sich häufig ein flaches Netz ohne Segmentierung.

Pflichten kennen: IT-Sicherheitsrichtlinie, DSGVO und NIS2

Für Vertragsarztpraxen konkretisiert die IT-Sicherheitsrichtlinie nach § 390 SGB V (KBV-Richtlinie) verbindliche Mindestmaßnahmen – von Virenschutz und Updates über Smartphone-Regeln bis zu Anforderungen an medizinische Großgeräte. Die DSGVO verlangt bei Datenpannen mit Risiko für Betroffene eine Meldung binnen 72 Stunden an die Aufsichtsbehörde. Größere Einrichtungen des Gesundheitswesens fallen zudem unter die NIS2-Regulierung mit Registrierungs- und Meldepflichten; Krankenhäuser ab bestimmter Größe gelten als kritische Infrastruktur. Welche Pflichten konkret greifen, hängt von Größe und Rolle der Einrichtung ab – Unkenntnis schützt dabei weder vor Bußgeld noch vor Haftung. NIS2: Diese Pflichten gelten 2026

Sieben Maßnahmen mit der größten Wirkung für Praxen und MVZ

1. Zwei-Faktor-Authentifizierung überall dort, wo es geht – besonders für E-Mail, Fernzugänge und das PVS. Der Großteil der Kontoübernahmen scheitert daran bereits.
2. Tägliche, getestete Backups mit Offline-Kopie – und mindestens einmal jährlich eine echte Wiederherstellungsübung.
3. Updates konsequent und zeitnah – für Betriebssysteme, PVS, TI-Komponenten und Router; Verantwortlichkeit schriftlich festlegen (intern oder Dienstleister).
4. Netz segmentieren – Medizingeräte, Verwaltung und Gäste-WLAN gehören getrennt.
5. Team sensibilisieren – kurze, regelmäßige Schulungen zu Phishing und Social Engineering wirken messbar besser als eine jährliche Pflichtveranstaltung.
6. Dienstleister prüfen – Sicherheitszusagen, Meldefristen und Erreichbarkeit im Notfall vertraglich festhalten.
7. Notfallplan auf Papier – Wen rufe ich an, wenn nichts mehr geht? Welche Systeme haben Priorität? Wie arbeiten wir einen Tag analog weiter?

Für Einrichtungen, die diese Aufgaben nicht allein stemmen können oder wollen, gibt es etablierte Wege: Ein externer Informationssicherheitsbeauftragter bringt Struktur und Nachweisbarkeit in die Pflichten, ohne eine eigene Stelle zu schaffen. Externer Informationssicherheitsbeauftragter (ISB) Und ein 24/7-Monitoring erkennt Angriffe auf Praxis- oder Kliniknetze, bevor Patientendaten abfließen. 24/7-Security-Monitoring mit MDR

Wenn es bereits passiert ist: Die ersten 24 Stunden

Sollte der Verdacht auf einen Angriff bestehen – ungewöhnliche Sperrbildschirme, massenhaft verschlüsselte Dateien, unerklärliche Kontoaktivitäten –, zählen die ersten Stunden: betroffene Systeme vom Netz trennen (nicht ausschalten), Dienstleister und Experten einbinden, Beweise sichern, Melde- und Dokumentationspflichten prüfen. Professionelle Incident Response verhindert in dieser Phase die typischen, teuren Fehler. Incident Response: Hilfe im Ernstfall

Fazit: Patientenvertrauen ist digital geworden

Die aktuellen Vorfälle – vom Konzern bis zum Abrechnungsdienstleister – zeigen: Im Gesundheitswesen entscheidet IT-Sicherheit inzwischen mit über Versorgungsqualität und Vertrauen. Die wirksamsten Maßnahmen sind bekannt, bezahlbar und auch für kleine Einrichtungen umsetzbar; entscheidend ist, anzufangen und die Umsetzung nachweisbar zu organisieren.

Wenn Sie eine ehrliche Einschätzung wünschen, wo Ihre Praxis, Ihr MVZ oder Ihre Klinik heute steht, melden Sie sich gern – wir beraten Einrichtungen des Gesundheitswesens pragmatisch und auf Augenhöhe. Jetzt Erstgespräch vereinbaren

Häufige Fragen

Ist meine kleine Praxis überhaupt ein lohnendes Ziel?

Ja – gerade weil Angriffe weitgehend automatisiert ablaufen. Gescannt wird das gesamte Internet; wer verwundbar ist, wird kompromittiert, unabhängig von der Größe. Patientendaten machen jede Praxis zusätzlich zu einem überdurchschnittlich wertvollen Opfer.

Was verlangt die IT-Sicherheitsrichtlinie nach § 390 SGB V konkret?

Sie definiert nach Praxisgröße gestaffelte Mindestmaßnahmen, etwa aktuelle Virenschutzprogramme, regelmäßige Updates, Regeln für mobile Geräte und zusätzliche Anforderungen für Praxen mit Großgeräten. Die Umsetzung muss organisiert und nachvollziehbar dokumentiert sein – genau hier unterstützt ein externer Informationssicherheitsbeauftragter.

Haften Praxisinhaber persönlich bei einem Datenleck?

Praxisinhaber sind datenschutzrechtlich Verantwortliche. Bei unzureichenden technischen und organisatorischen Maßnahmen drohen Bußgelder und Schadensersatzansprüche Betroffener; die Rechtsprechung verlangt zunehmend den Nachweis angemessener Maßnahmen. Saubere Dokumentation ist deshalb ebenso wichtig wie die Technik selbst.

Mein IT-Dienstleister „macht doch Sicherheit" – reicht das?

Oft nicht. Klassische IT-Betreuung hält Systeme am Laufen, überwacht aber selten rund um die Uhr auf Angriffe und haftet nicht für Ihre gesetzlichen Pflichten. Fragen Sie konkret: Wer bemerkt einen Angriff nachts um drei? Wer meldet binnen 72 Stunden an die Aufsichtsbehörde? Die Antworten zeigen die Lücken.

Quellen

• [Security-Insider: Fresenius Medical Care – Cyberangriff auf interne Systeme (25.09.2026)](: https://www.security-insider.de/fresenius-medical-care-cyberangriff-interne-systeme-a-ffe88d314ee1756b2e3434b740c85707/)
• [CTIWatch: Fresenius Medical Care – ShinyHunters-Claim](: https://ctiwatch.com/victims/a99cc2bc-6f15-452c-b53a-a838846ce49b-fresenius-medical-care)
• [arzt-wirtschaft.de: Cyberangriff auf Kliniken – Tausende Patientendaten geklaut](: https://www.arzt-wirtschaft.de/news/cyberangriff-auf-kliniken-tausende-patientendaten-geklaut)
• [Verbraucherzentrale: Phishing-Radar – aktuelle Warnungen (u. a. AOK-Masche)](: https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingradar-aktuelle-warnungen-6059)