IT-Notfallplan für Arztpraxis und Klinik: Lehren aus Kassel

Am 8. Oktober 2026 haben die Kreiskliniken Kassel öffentlich gemacht, dass sie Ziel eines kriminellen Cyberangriffs geworden sind. Betroffen waren die Standorte Hofgeismar und Wolfhagen. Die gute Nachricht vorweg: Laut den Kliniken blieb die medizinische Versorgung an beiden Standorten vollständig sichergestellt, Aufnahmen und Behandlungen liefen weiter, Telefon und E-Mail funktionierten. Der Angriff sei früh erkannt und die IT-Notfallpläne seien sofort aktiviert worden. (medconweb, 10.10.2026; WLZ)

Genau dieser Punkt macht den Fall lehrreich. Ein Cyberangriff im Gesundheitswesen ist längst kein Ausnahmeereignis mehr. Entscheidend ist, ob eine Einrichtung ihn rechtzeitig bemerkt und geordnet reagiert. Dieser Beitrag ordnet den Vorfall ein und zeigt, was Kliniken, MVZ und Arztpraxen jetzt konkret tun können, ohne in Aktionismus zu verfallen.

Was über den Vorfall bekannt ist

Nach Angaben der Kreiskliniken unterstützen externe IT-Sicherheitsexperten bei der Analyse und Härtung der Systeme. Der Vorfall wurde dem Bundesamt für Sicherheit in der Informationstechnik (BSI), dem Hessischen Datenschutzbeauftragten und dem Hessischen Landeskriminalamt gemeldet, zudem wurde Strafanzeige gestellt. Ob personenbezogene Daten abgeflossen sind, war zum Zeitpunkt der Berichterstattung noch unklar; potenziell Betroffene sollen informiert werden, sobald Erkenntnisse vorliegen. (medconweb)

Zu Tätern oder Angriffsweg gibt es bislang keine öffentlichen Angaben. Wir spekulieren daher bewusst nicht darüber. Lehrreich ist der Ablauf dennoch, weil er das zeigt, was im Ernstfall den Unterschied macht.

Ein Muster, kein Einzelfall

Der Vorfall reiht sich in eine Serie ein. Im Frühjahr 2026 traf ein Angriff den Abrechnungsdienstleister Unimed in Wadern. Laut Berichten waren Daten von Privatpatienten und Selbstzahlern mehrerer Universitätskliniken betroffen, allein in Baden-Württemberg über 72.000 Patienten. Die Verschlüsselung der Systeme gelang den Angreifern nicht, die Daten flossen aber trotzdem ab. (Arzt & Wirtschaft, 26.05.2026)

Kleinere Einrichtungen sind ebenso betroffen: In Rheinland-Pfalz gelangten Kriminelle über eine Phishing-Mail an das Postfach einer Arztpraxis, lasen mit und verschickten manipulierte Zahlungsaufforderungen. (DRACO, 27.05.2026)

Auch die Registrierungszahlen des BSI unterstreichen, wie groß der Sektor ist: Mit 3.703 Registrierungen ist „Gesundheit" der größte Einzelsektor unter den NIS-2-registrierten Einrichtungen (Stand 30.09.2026). (BSI – NIS-2 in Zahlen)

Drei Lehren aus dem Fall Kassel

1. Früherkennung entscheidet über das Ausmaß

Dass die Versorgung weiterlaufen konnte, führen die Kliniken auf die frühe Erkennung zurück. Das ist der Kern moderner Verteidigung: Angreifer bewegen sich oft Tage im Netz, bevor sie verschlüsseln oder Daten abziehen. Wer verdächtige Anmeldungen, ungewöhnliche Datenbewegungen oder neue Administratorkonten in diesem Zeitfenster bemerkt, kann den Schaden begrenzen.

Für viele Häuser und Praxen ist das die größte Lücke. Eine Antivirus-Lösung meldet bekannte Schadsoftware, erkennt aber selten einen Angreifer, der mit gestohlenen Zugangsdaten legitim aussehende Werkzeuge nutzt. Hier helfen EDR-Systeme mit einer Rund-um-die-Uhr-Auswertung durch Analysten. Managed Detection und Response

2. Ein geübter Notfallplan ist mehr als ein Dokument

„IT-Notfallpläne wurden aktiviert" klingt selbstverständlich, ist es aber nicht. Ein IT-Notfallplan für eine Arztpraxis oder Klinik muss im Ernstfall ohne die IT funktionieren, also ausgedruckt oder offline verfügbar sein. Er beantwortet ganz praktische Fragen:

• Wer entscheidet, ob Systeme vom Netz genommen werden?
• Wie läuft die Patientenaufnahme auf Papier weiter?
• Welche Telefonnummern (IT-Dienstleister, Incident-Response-Partner, Versicherung, Behörden) brauchen wir?
• Wo liegen Medikationspläne, Termine und Laborbefunde, wenn das Praxisverwaltungssystem ausfällt?

Ein Plan, der nie geübt wurde, scheitert oft an Details: veraltete Telefonnummern, fehlende Passwörter für das Backup oder unklare Zuständigkeiten am Wochenende.

3. Melden, dokumentieren, kommunizieren

Die Kreiskliniken haben BSI, Datenschutzaufsicht und LKA eingebunden. Das ist nicht nur Pflicht, sondern verschafft auch Unterstützung. Gleichzeitig wurde transparent über den Stand informiert, ohne Unsicheres als Fakt darzustellen. Diese Kommunikation schafft Vertrauen bei Patienten und Personal.

Meldepflichten nach einem Cyberangriff: Ein Überblick

Wer ein Cyberangriff im Gesundheitswesen trifft, muss häufig mehrere Meldewege parallel bedienen. Die folgende Übersicht ersetzt keine Rechtsberatung, hilft aber bei der Orientierung:

| Pflicht | Wen betrifft es? | Frist | |---|---|---| | DSGVO Art. 33, Meldung an die Datenschutzaufsicht | Alle Verantwortlichen bei Verletzung des Schutzes personenbezogener Daten mit Risiko | in der Regel binnen 72 Stunden | | DSGVO Art. 34, Information der Betroffenen | Bei voraussichtlich hohem Risiko für Betroffene | unverzüglich | | BSIG (NIS-2), Meldung an das BSI | Wichtige und besonders wichtige Einrichtungen, darunter viele Krankenhäuser | Erstmeldung binnen 24 Stunden, Update binnen 72 Stunden, Abschlussbericht nach einem Monat | | Strafanzeige | Freiwillig, aber empfehlenswert | so früh wie möglich |

Die Fristen nach BSIG nennt u. a. Security-Insider (dpa). Arztpraxen fallen in der Regel nicht unter NIS-2, die DSGVO-Pflichten gelten aber uneingeschränkt, denn Gesundheitsdaten sind besonders schutzwürdig.

Patientendaten schützen: Sofortmaßnahmen für Praxen und Kliniken

Die gute Nachricht: Viele wirksame Maßnahmen sind weder teuer noch kompliziert. Sie müssen nur konsequent umgesetzt werden.

Für Arztpraxen und MVZ

1. Mehr-Faktor-Authentifizierung für E-Mail, Fernzugänge und Praxis-Cloud einschalten. Der Fall aus Rheinland-Pfalz zeigt, wie viel ein einziges erbeutetes Passwort anrichten kann.
2. Backups nach der 3-2-1-Regel anlegen, mindestens eine Kopie offline oder unveränderlich, und die Wiederherstellung regelmäßig testen.
3. Fernwartungszugänge von Dienstleistern dokumentieren und nur bei Bedarf freischalten.
4. Updates für Praxisverwaltungssystem, Konnektor-Umgebung, Router und Betriebssysteme zeitnah einspielen.
5. Notfallkarte mit den wichtigsten Kontakten ausdrucken und an der Anmeldung hinterlegen.

Für Kliniken und größere Versorger

1. 24/7-Überwachung der Endpunkte, Server und Identitäten, denn Angreifer arbeiten bevorzugt nachts und am Wochenende.
2. Netzwerksegmentierung zwischen Verwaltungs-IT, Medizintechnik und Gast-WLAN.
3. Incident-Response-Bereitschaft vertraglich vorab regeln, damit im Ernstfall nicht erst Angebote eingeholt werden müssen. Incident Response
4. Regelmäßige Penetrationstests gegen extern erreichbare Systeme und gegen das interne Netz. Penetrationstest
5. Dienstleister-Risiken bewerten: Der Unimed-Fall zeigt, dass Patientendaten auch bei Abrechnungs- oder Softwarepartnern abfließen können.

Incident Response im Krankenhaus: Die ersten 24 Stunden

Wenn der Ernstfall eintritt, hilft eine klare Reihenfolge:

1. Ruhe bewahren und Lage erfassen: Was ist betroffen, seit wann, welche Systeme laufen noch?
2. Eindämmen statt löschen: Betroffene Systeme isolieren, aber nicht neu aufsetzen, bevor Beweise gesichert sind.
3. Experten hinzuziehen: Forensik und Wiederherstellung parallel planen.
4. Meldungen absetzen: Fristen laufen ab Kenntnis, nicht ab Abschluss der Analyse.
5. Versorgung sichern: Papierprozesse aktivieren, Personal informieren, ggf. Rettungsleitstelle einbinden.
6. Kommunizieren: Sachlich, regelmäßig, ohne Spekulation.

Fazit

Der Angriff auf die Kreiskliniken Kassel zeigt beide Seiten: Auch gut organisierte Einrichtungen werden angegriffen. Wer aber früh erkennt, einen geübten Notfallplan hat und Meldewege kennt, kann die Versorgung aufrechterhalten. Für Arztpraxen gilt das im Kleinen genauso: Mehr-Faktor-Authentifizierung, getestete Backups und eine Notfallkarte bringen viel Sicherheit für überschaubaren Aufwand.

Wenn Sie Ihren Notfallplan oder Ihre Erkennungsfähigkeit einmal unabhängig prüfen lassen möchten, sprechen Sie uns gerne an. Ein kurzes Gespräch reicht oft, um die zwei, drei wichtigsten nächsten Schritte zu klären. Unverbindliches Gespräch vereinbaren

Häufige Fragen

Muss eine Arztpraxis einen Cyberangriff melden?

Ja, wenn personenbezogene Daten betroffen sein könnten. Nach Art. 33 DSGVO ist die zuständige Datenschutzaufsicht in der Regel binnen 72 Stunden zu informieren. Eine Meldung an das BSI nach NIS-2 betrifft Arztpraxen dagegen meist nicht, da sie in der Regel unter den Schwellenwerten liegen.

Was gehört in einen IT-Notfallplan für eine Arztpraxis?

Mindestens: Ansprechpartner mit Telefonnummern (IT-Dienstleister, Incident-Response-Partner, Versicherung, Datenschutzaufsicht), Entscheidungsbefugnisse, Abläufe für den Papierbetrieb, Hinweise zur Wiederherstellung aus dem Backup und eine Checkliste für die ersten Stunden. Der Plan sollte ausgedruckt vorliegen.

Reicht ein Virenscanner für eine Klinik oder Praxis aus?

Ein Virenscanner ist eine Grundlage, erkennt aber Angreifer mit gestohlenen Zugangsdaten oft nicht. Für größere Einrichtungen empfiehlt sich eine EDR-Lösung mit 24/7-Auswertung durch Analysten, also Managed Detection & Response.

Wie lange dauert die Wiederherstellung nach einem Cyberangriff?

Das hängt stark von Vorbereitung und Ausmaß ab. Einrichtungen mit getesteten Offline-Backups und klarem Notfallplan sind oft nach Tagen wieder arbeitsfähig, ohne Vorbereitung kann es Wochen dauern. ---

Quellen

• medconweb: Cyberangriff trifft Kreiskliniken Kassel (10.10.2026) –: https://www.medconweb.de/blog/it-edv/cyberangriff-trifft-kreiskliniken-kassel/
• WLZ: Kreiskliniken Kassel von kriminellem Cyber-Angriff getroffen –: http://www.wlz-online.de/nordhessen/kreiskliniken-kassel-von-kriminellem-cyber-angriff-getroffen-94531876.html
• Arzt & Wirtschaft: Cyberangriff auf Kliniken – Tausende Patientendaten geklaut (26.05.2026) –: https://www.arzt-wirtschaft.de/news/cyberangriff-auf-kliniken-tausende-patientendaten-geklaut
• DRACO: Cyberangriff auf Arztpraxis war wieder einmal erfolgreich (27.05.2026) –: https://www.draco.de/news/detail/cyberangriff-auf-arztpraxis-war-wieder-einmal-erfolgreich
• BSI: NIS-2 in Zahlen (Stand 30.09.2026) –: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-in-Zahlen/nis-2-in-zahlen_node.html
• Security-Insider/dpa: NIS-2-Registrierung (10.03.2026) –: https://www.security-insider.de/nis-2-registrierung-bsi-portal-frist-abgelaufen-a-2ceb7fa44eb00c5930848ef965765437/