Ein Cyberangriff, der heute Schlagzeilen macht, zeigt mit erschreckender Deutlichkeit: Die eigene IT kann noch so gut abgesichert sein – wenn ein externer Dienstleister kompromittiert wird, stehen sensible Daten trotzdem auf dem Spiel. Über 100.000 Patientendaten deutscher Universitätskliniken wurden gestohlen, ohne dass ein einziges klinisches System betroffen war.
Was ist passiert?
Bereits Mitte April 2026 verschafften sich Angreifer Zugang zu den Systemen des Abrechnungsdienstleisters unimed, der für zahlreiche Kliniken in ganz Deutschland die Abrechnung privat versicherter Patienten und Selbstzahler übernimmt. Das volle Ausmaß wurde erst jetzt bekannt:
- Uniklinik Köln: Rund 30.000 Betroffene – Namen, Adressen, behandelnde Ärzte, in 843 Fällen auch Gesundheitsdaten, in 5 Fällen Bankdaten
- Unikliniken Freiburg, Ulm, Heidelberg und Tübingen: Über 72.000 Patientendaten abgegriffen, darunter Stammdaten und in rund 900 Fällen Rechnungsdaten mit Diagnose- und Behandlungsinformationen
- Universitätsklinikum des Saarlandes: Rund 1.200 betroffene Datensätze
Die Kliniken betonen: Patientenversorgung und klinische Systeme waren zu keinem Zeitpunkt beeinträchtigt. Der Angriff traf ausschließlich den externen Dienstleister. Aber genau das macht den Fall so brisant.
Supply-Chain-Angriffe: Die unterschätzte Gefahr
Was im Gesundheitswesen passiert ist, betrifft jede Branche. Unternehmen lagern Buchhaltung, IT-Betrieb, Personalverwaltung oder Cloud-Dienste an externe Partner aus. Jeder dieser Dienstleister wird damit zum potenziellen Einfallstor – ein sogenannter Supply-Chain-Angriff.
Die Strategie der Angreifer ist klar: Warum ein gut gesichertes Krankenhaus direkt attackieren, wenn ein Abrechnungsdienstleister Zugriff auf dieselben Daten hat, aber möglicherweise weniger in IT-Sicherheit investiert? Dieses Prinzip gilt für den Mittelstand genauso wie für Kliniken.
Was bedeutet das für KMU im DACH-Raum?
Der Fall unimed ist kein Einzelfall. Laut dem BKA Bundeslagebild Cybercrime 2025 sind Angriffe über Drittanbieter einer der am stärksten wachsenden Angriffsvektoren. Für KMU ergeben sich drei konkrete Handlungsfelder:
- Dienstleister-Risikobewertung durchführen: Welche externen Partner haben Zugriff auf Ihre sensiblen Daten? Welche Sicherheitsstandards gelten dort? Fordern Sie Nachweise – etwa ein IT-Sicherheitskonzept oder eine ISO-27001-Zertifizierung.
- Vertragliche Absicherung prüfen: Auftragsverarbeitungsverträge (AVV) nach DSGVO Art. 28 sind Pflicht, aber oft nur Papier. Prüfen Sie, ob technische und organisatorische Maßnahmen tatsächlich umgesetzt werden – nicht nur zugesagt.
- Datenzugriff minimieren: Geben Sie Dienstleistern nur die Daten, die sie wirklich brauchen. Segmentieren Sie Zugänge. Überwachen Sie Datenflüsse. Das Prinzip der Datensparsamkeit schützt im Ernstfall vor dem Schlimmsten.
Meldepflichten und Konsequenzen
Die betroffenen Kliniken haben die zuständigen Datenschutzbehörden und das BSI informiert. Betroffene Patienten werden schriftlich benachrichtigt. Was viele KMU nicht wissen: Auch bei einem Angriff auf einen Dienstleister kann das eigene Unternehmen meldepflichtig sein – nämlich dann, wenn personenbezogene Daten betroffen sind, die in Ihrem Auftrag verarbeitet wurden.
Die DSGVO kennt bei Meldepflichtverletzungen Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Wer keinen Incident-Response-Plan hat, riskiert neben dem Datenverlust auch empfindliche Strafen.
Fazit: Sicherheit endet nicht an der eigenen Firewall
Der Angriff auf unimed zeigt: IT-Sicherheit ist eine Kette – und sie ist nur so stark wie ihr schwächstes Glied. Wer seine eigenen Systeme schützt, aber die Sicherheit seiner Dienstleister nicht prüft, hat eine offene Flanke.
Für KMU im DACH-Raum heißt das: Supply-Chain-Security muss auf die Agenda. Nicht irgendwann, sondern jetzt.
Sie wollen wissen, ob Ihre Daten bereits in einem Leak aufgetaucht sind? Kontaktieren Sie AntiLeaks für eine kostenlose Ersteinschätzung. Wir prüfen, ob Ihre Unternehmens- oder Mitarbeiterdaten kompromittiert wurden – diskret und schnell.