100.000 Patientendaten gestohlen – über einen externen Dienstleister
Ende Mai 2026 wurde bekannt: Hacker haben Daten von rund 100.000 Patienten deutscher Universitätskliniken erbeutet. Betroffen sind unter anderem die Unikliniken Köln (27.000 Datensätze), Düsseldorf (3.000) und weitere Häuser in Baden-Württemberg und ganz Deutschland. Das Besondere: Der Angriff traf nicht die Kliniken direkt, sondern den externen Abrechnungsdienstleister Unimed.
Namen, Adressen, behandelnde Ärzte und Abrechnungsdaten – alles abgeflossen. Die Angreifer wollten offenbar die Systeme verschlüsseln, wurden aber vorher entdeckt. Dennoch konnten sie vorher Daten aus einem begrenzten Bereich entwenden.
Das eigentliche Problem: Die Lieferkette
Dieser Vorfall zeigt ein Muster, das sich 2026 immer häufiger wiederholt. Unternehmen investieren in eigene IT-Sicherheit – Firewalls, Endpoint Protection, Awareness-Schulungen. Doch die Schwachstelle sitzt oft bei einem Drittanbieter, der Zugang zu sensiblen Daten hat.
Für kleine und mittlere Unternehmen im DACH-Raum ist das besonders kritisch. Kaum ein KMU betreibt seine Lohnabrechnung, sein CRM oder seine Buchhaltung vollständig intern. Cloud-Dienste, externe IT-Dienstleister, SaaS-Plattformen – die Angriffsfläche erstreckt sich weit über die eigenen vier Wände hinaus.
Was KMU aus dem Klinik-Hack lernen müssen
1. Dienstleister-Risikobewertung durchführen: Welche externen Partner haben Zugang zu Ihren Daten? Welche Sicherheitsstandards erfüllen sie? Fordern Sie Nachweise – ISO 27001, SOC 2 oder vergleichbare Zertifizierungen.
2. Vertragliche Absicherung prüfen: Sind Meldepflichten bei Sicherheitsvorfällen klar geregelt? Gibt es Haftungsklauseln? Im Fall der Unikliniken erfuhren Betroffene erst Tage nach dem Vorfall davon.
3. Zugriffsrechte minimieren: Jeder Dienstleister sollte nur die Daten sehen, die er wirklich braucht. Das Prinzip der minimalen Berechtigung (Least Privilege) gilt nicht nur intern, sondern gerade bei externen Partnern.
4. Eigene Daten kennen: Viele Unternehmen wissen nicht einmal genau, welche Daten wo liegen. Ein aktuelles Datenaudit schafft Klarheit und ist oft der erste Schritt zur Absicherung.
NIS2 und die Pflicht zur Lieferkettensicherheit
Die EU-Richtlinie NIS2, die auch für viele mittelständische Unternehmen in Deutschland gilt, fordert explizit die Bewertung und Absicherung der Lieferkette. Wer seine Dienstleister nicht im Griff hat, riskiert nicht nur einen Datenvorfall – sondern auch empfindliche Bußgelder.
Gerade im Gesundheitswesen, aber auch in der Fertigungsindustrie, im Finanzsektor und bei KRITIS-Betreibern verschärft sich die Regulierung 2026 weiter. Unwissenheit schützt nicht vor Haftung.
Fazit: Sicherheit endet nicht an der eigenen Firewall
Der Angriff auf die Unikliniken ist kein Einzelfall – er ist ein Symptom. Solange Unternehmen ihre IT-Sicherheit isoliert betrachten und die Risiken durch externe Partner ignorieren, bleiben sie verwundbar.
Der erste Schritt muss keine Mammutaufgabe sein: Beginnen Sie mit einer Bestandsaufnahme Ihrer Dienstleister und deren Zugriffsrechte. Prüfen Sie bestehende Verträge auf Sicherheitsklauseln. Und lassen Sie sich beraten, wenn die Komplexität überhand nimmt.
Sie möchten wissen, ob Ihre Unternehmensdaten bereits in einem Datenleck aufgetaucht sind? AntiLeaks prüft das für Sie – diskret, schnell und mit konkreten Handlungsempfehlungen. Jetzt Kontakt aufnehmen.