Hackerangriff auf Unimed Ausmaß von Datenklau bei Kliniken im Südwesten wächst

Immer mehr Kliniken sind vom Cyberangriff auf den Abrechnungsdienstleister Unimed betroffen. Der Landesdatenschutzbeauftragte in Baden-Württemberg ist alarmiert; der Dienstleister entwarnt.

Vom Cyberangriff auf einen Klinik-Dienstleister könnten deutlich mehr Patientinnen und Patienten aus dem Südwesten betroffen sein als bisher angenommen. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat von 17 Krankenhäusern „Datenpannenmeldungen“ erhalten. „Wenn Gesundheitsdaten und andere sensible Daten wie Zahlungsdaten in die Hände von Kriminellen gelangen, dann gehen wir von einem hohen Risiko aus“, erklärte ein Sprecher grundsätzlich.

Die vier Universitätskliniken in Baden-Württemberg hatten Mitte Mai über den Fall informiert. Seither meldeten sich weitere Kliniken, auch Lokalmedien recherchierten dazu vor Ort. Demnach steigt die Zahl der Patienten, die nun um ihre Daten bangen, auf mindestens 80.000 allein im Südwesten.

Der Dienstleister Unimed erklärte: „Bei der weit überwiegenden Mehrheit der abgeflossenen Daten handelt es sich nicht um besonders sensible Finanz- und Gesundheitsdaten von Patienten.“ Nach aktueller Einschätzung beauftragter Spezialisten sei eine Veröffentlichung der entwendeten Daten nicht mehr wahrscheinlich, teilte das Unternehmen im saarländischen Wadern mit. Auch lägen derzeit weder Hinweise vor, dass abgeflossene Daten veröffentlicht worden sind, noch Anhaltspunkte für einen konkreten Missbrauch der Daten.

Angriff auf das Gesundheitswesen

Hacker erbeuten Zehntausende Daten deutscher Patienten

Ermittlungen im Saarland

Nach bisherigen Erkenntnissen hatten sich unbekannte Täter unberechtigt Zugriff auf Teile der IT-Infrastruktur des Unternehmens verschafft, wie die Landespolizeidirektion mitgeteilt hatte. Das Fachdezernat „Qualifizierte Cybercrime“ beim saarländischen Landeskriminalamt ermittelt.

Ein Sprecher des Cybercrime-Zentrums (CCZ) Baden-Württemberg bei der Generalstaatsanwaltschaft Karlsruhe verwies darauf, dass zwar Daten von Patienten von Kliniken im Südwesten abgezogen worden sein sollen. „Der Angriff soll jedoch nicht bei den Kliniken direkt, sondern bei einem externen Dienstleister stattgefunden haben.“ Da dieser seinen Sitz im Saarland habe, seien die dortigen Behörden zuständig.

Auch aus Sicht des Datenschutzes spielt die Musik zunächst dort. Der betroffene Dienstleister unterliege der Aufsicht des Unabhängigen Datenschutzzentrums Saarland, teilte der Landesdatenschutzbeauftragte für Baden-Württemberg in Stuttgart mit. Die Behörde sei im Austausch mit Kolleginnen und Kollegen aus anderen Bundesländern.

Sie bearbeitet aber die Meldungen der Kliniken aus dem Südwesten. Auch von ersten Beschwerden in dem Zusammenhang berichtete der Sprecher. Das Uniklinikum Tübingen teilte unterdessen mit, den Zugang zu Unimed nach einer Sicherheitsprüfung wieder geöffnet zu haben.

Das Landesgesundheitsministerium hat nach Auskunft einer Sprecherin weder die Fach- noch die Rechtsaufsicht über die Krankenhäuser im Land, daher gebe es gegenüber dem Haus keine Meldepflicht. Diese bestehe gegenüber dem Bundesamt für Sicherheit in der Informationstechnik, das sich auf Nachfrage aber nicht äußern wollte, sondern an Unimed verwies. Auch ein Verweis an die Baden-Württembergische Krankenhausgesellschaft führte ins Leere.

Dienstleister entwarnt

Unimed betonte, nach Erkennen des Cyberangriffs Mitte April 2026 umgehend und umfassend gehandelt zu haben, um potenzielle Risiken für Kunden und deren Patienten möglichst zu minimieren. Die Angreifer hätten laut der abgeschlossenen forensischen Untersuchungen den Zugriff auf das IT-System von Unimed schon während ihres Angriffs verloren. „Es befinden sich keine unbefugten Dritten mehr in unseren Systemen und diese werden zudem engmaschig durch ein externes Security Operations Center überwacht.“

Nachdem das Unternehmen Kenntnis von dem Vorfall erlangt hatte, habe es die Datenschnittstellen zu seinen Kunden vorsorglich selbst getrennt und diese über den Vorfall informiert. Erst nach der forensischen Untersuchung und Freigabe der Systeme sowie zusätzlicher IT-Sicherheitsmaßnahmen habe Unimed seine Datenschnittstellen zu Kunden wieder in Betrieb genommen.

(ID:50861300)