Patientendaten betroffen: Cyberangriff auf Abrechnungsdienstleister von Kliniken

Ein Cyberangriff auf den saarländischen Abrechnungsdienstleister Unimed betrifft bundesweit zahlreiche Universitätskliniken. Nach eigenen Angaben betreut das Unternehmen 95 Prozent aller Universitätskliniken in Deutschland sowie 51 Prozent aller Kliniken mit mehr als 600 Betten. Den betroffenen Häusern zufolge wurden dabei Patientendaten von zehntausenden Privatpatienten und Selbstzahlern entwendet. Die Kliniken selbst betonen, dass ihre internen Systeme und die Patientenversorgung nicht in Mitleidenschaft gezogen worden seien.

Der Angriff ereignete sich laut Unimed bereits Mitte April 2026. Das Unternehmen teilte mit, der Vorfall sei dem Landeskriminalamt Saarland gemeldet worden. Nach Darstellung von Unimed wollten die Angreifer die Systeme verschlüsseln. Das sei zwar verhindert worden, allerdings seien vor der Abwehr aus einem „begrenzten Bereich“ Daten abgeflossen. Darunter befand sich laut Unimed auch Kommunikation zu Abrechnungswidersprüchen.

Auf Nachfrage zu weiteren betroffenen Einrichtungen erklärte Unimed: „Bitte haben Sie Verständnis, dass wir als Dienstleister keine darüber hinaus gehenden Angaben zu unseren Kunden und deren Daten machen können“. Auch zum Angriffsvektor machte Unimed keine Angaben.

Kliniken veröffentlichen Zahlen

Inzwischen haben zahlreiche Kliniken konkrete Zahlen veröffentlicht. Besonders stark betroffen ist das Universitätsklinikum Freiburg: Dort wurden nach Angaben der Klinik Stammdaten von rund 54.000 Patientinnen und Patienten entwendet, darunter Namen, Adressen und Geburtsdaten. In rund 900 Fällen seien zusätzlich Rechnungsdaten betroffen, aus denen sich Diagnosen und Behandlungsarten ableiten lassen könnten. In wenigen Fällen seien auch Kontodaten abgeflossen. Die Uniklinik Köln meldet rund 30.000 betroffene Datensätze. Darunter seien 843 Fälle mit Gesundheitsdaten sowie fünf Fälle mit Finanzdaten wie IBAN oder Kontonummern.

Am Universitätsklinikum Düsseldorf geht es um mehr als 3.000 Fälle mit allgemeinen Patientendaten sowie 162 Fälle, bei denen auch Gesundheitsdaten betroffen sein könnten. Die Universitätsmedizin Mainz spricht von bis zu 2.764 betroffenen Privatpatienten und Selbstzahlern.

Weitere Fälle meldeten unter anderem Ulm, Mannheim sowie das Universitätsklinikum des Saarlands in Homburg. Dort sollen 1.266 Patientinnen und Patienten betroffen sein. In Ulm sind rund 1.600 Patienten betroffen, in etwa 300 Fällen könnten zudem Diagnose- und Behandlungsdaten abgeflossen sein. Mannheim meldet rund 3.000 Betroffene und einen Fall mit kompromittierten Finanzdaten. Auch Heidelberg und Tübingen bestätigen Vorfälle, nannten bislang jedoch keine detaillierten Zahlen.

Mehrere der betroffenen Kliniken erklärten, die Datenübertragung an Unimed unmittelbar nach Bekanntwerden des Vorfalls gestoppt zu haben. Zudem seien Datenschutzbehörden und das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert worden. Viele Häuser kündigten an, betroffene Personen schriftlich zu benachrichtigen und rechtliche Schritte zu prüfen. Unimed erklärte am Freitag, die Systeme seien inzwischen wieder vollständig arbeitsfähig. Externe IT-Forensiker hätten die Infrastruktur untersucht und abgesichert. Hinweise darauf, dass sich noch Angreifer im System befinden, gebe es Unimed zufolge nicht.

Ransomware bei Abrechnungsdienstleister betrifft Kassenpatienten in Niedersachsen

Erst vor wenigen Tagen wurde bekannt, dass nach einem Cyberangriff auf die Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen (Arwini e. V.) ebenfalls sensible Gesundheits- und Abrechnungsdaten abgeflossen sind. Arwini prüft im Auftrag gesetzlicher Krankenkassen und der Kassenärztlichen Vereinigung Niedersachsen die Wirtschaftlichkeit ärztlicher Verordnungen. Die Polizeidirektion Hannover bestätigte gegenüber heise online, dass hinter dem Angriff die Ransomware-Gruppe „Kairos“ steckt. Die Täter drohen dort mit der Veröffentlichung eines angeblich 2,87 Terabyte großen Datensatzes. Wer für den erfolgreichen Angriff auf Unimed verantwortlich ist, ist noch nicht bekannt.

Bei Arwini könnten nach Angaben des Unternehmens bis zu 75.000 Datensätze betroffen sein. Die Kassenärztliche Vereinigung Niedersachsen erklärte, an die Prüfstelle würden quartalsweise pseudonymisierte Abrechnungsdaten übermittelt. Zwar seien Patientendaten anonymisiert, allerdings enthielten die Datensätze arztbezogene Informationen wie Arztnummern und Betriebsstättennummern, sodass Praxen identifizierbar bleiben. Nach Angaben der Polizei stehen die Ermittler wegen der Gruppe „Kairos“ im internationalen Austausch.

(mack)