Heute ist der 25.05.2026, und es gibt Neuigkeiten, die uns alle betreffen – besonders im Gesundheitssektor. Ein Cyberangriff auf deutsche Universitätskliniken hat die Runde gemacht und sorgt für ordentlich Aufregung. Über 120.000 private Patienten sind betroffen, und das alles begann am 14. April 2026, als ein externer Abrechnungsdienstleister namens Unimed ins Visier von Hackern geriet. Das Erschreckende? Ziel waren nicht die Kliniken selbst, sondern dieser Dienstleister. Es wurden wichtige Daten gestohlen: Stammdaten, Abrechnungsinformationen, Diagnosen und Bankverbindungen. Besonders schlimm hat es das Universitätsklinikum Freiburg getroffen, wo sage und schreibe 54.000 Datensätze in die falschen Hände gefallen sind – die Uniklinik Köln kann sich mit 30.000 Datensätzen auch nicht gerade beschweren. Auch wenn die internen Systeme der Krankenhäuser unberührt blieben, der finanzielle Schaden ist enorm und wird auf durchschnittlich etwa 4,9 Millionen Euro pro Cybervorfall im deutschen Gesundheitsmarkt geschätzt.

Was bedeutet das alles? Für viele Unternehmen ist die Umsetzung der europäischen NIS2-Richtlinie, die bereits am 27. Dezember 2022 in Kraft trat, eine echte Herausforderung. Diese Richtlinie verlangt von den Mitgliedstaaten nicht nur eine Umsetzung in nationales Recht, sondern auch strenges Risikomanagement und eine gründliche Überprüfung der Zulieferer in der Gesundheitsbranche. Merkwürdig ist, dass bis zum 6. März 2026 nur 11.000 von 29.500 Unternehmen in Deutschland registriert waren. Ein nationales Gesetz zur Umsetzung der NIS2-Richtlinie steht noch aus, und das Bundesministerium des Innern und für Heimat hat die Federführung in diesem Gesetzgebungsverfahren. Das BSI, unser Bundesamt für Sicherheit in der Informationstechnik, hat durch die NIS-Richtlinie erweiterte Befugnisse erhalten und setzt auf eine enge Kooperation zwischen Staat und Wirtschaft.

Die Verantwortung der Geschäftsführung

Wahrscheinlich ist es nicht jedem klar, aber die Geschäftsleitung von Kliniken trägt die volle Verantwortung für Cyber-Security-Maßnahmen. Das bedeutet, dass sie künftig verpflichtend an Schulungen teilnehmen muss. Der Druck wird immer größer, denn bei Nichteinhaltung der Pflichten drohen Geldbußen von bis zu 10 Millionen Euro. Und das ist kein Pappenstiel! Im Gegensatz zu Datenschutzvorfällen, bei denen oft eher die Unternehmen selbst ins Visier geraten, wird die Geschäftsleitung nach dem NIS2UmsuCG persönlich haftbar gemacht. Ein echtes Dilemma, wenn man bedenkt, dass 81% der Unternehmen in einer Bitkom-Studie angaben, Datenschutzprozesse als kompliziert zu empfinden.

Doch nicht nur die rechtlichen Rahmenbedingungen sind herausfordernd. Die Bedrohung durch Cyberangriffe ist real und wird durch die Fortschritte in der Künstlichen Intelligenz noch verstärkt. Laut aktuellen Studien werden 86% aller Phishing-Kampagnen von KI-gesteuerten Systemen orchestriert. Täglich gehen weltweit 3,4 Milliarden Phishing-Mails auf die Reise – eine schier endlose Flut an Bedrohungen. In diesem Zusammenhang ist es auch interessant zu erwähnen, dass Microsoft am 23. Mai 2026 angekündigt hat, die SMS-basierte Authentifizierung einzustellen und stattdessen auf biometrische Passkeys zu setzen. Apple hat am selben Tag iOS 26.5 veröffentlicht, um gleich 52 Sicherheitslücken zu schließen. Da fragt man sich schon, wie sicher wir wirklich sind.

Die Zukunft der Cybersicherheit im Gesundheitswesen

Die Einführung neuer Technologien bringt nicht nur Herausforderungen, sondern auch Chancen mit sich. Mit dem Digitale-Identitäts-Gesetz, das Deutschland im Mai 2026 verabschiedete, soll ab dem 2. Januar 2027 ein EUDI-Wallet zur Verwaltung digitaler Identitäten eingeführt werden. Das könnte vielleicht ein Schritt in die richtige Richtung sein! Gleichzeitig wird der EU AI Act, der am 2. August 2026 bindend wird, für Hochrisiko-Systeme strenge Anforderungen festlegen. Damit könnte ein einheitlicherer Standard in der Cybersicherheit etabliert werden.

Werbung
Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Insgesamt bleibt die Frage, wie die Gesundheitsbranche auf diese Herausforderungen reagieren wird. Die NIS2-Richtlinie fordert zehn technische und organisatorische Maßnahmen, die Gesundheitseinrichtungen ohne bisherige B3S-Implementierung umsetzen müssen. Es bleibt spannend zu beobachten, ob die Kliniken sich der Verantwortung stellen und die notwendigen Schritte unternehmen, um die Sicherheit ihrer Patientendaten zu gewährleisten. Schließlich geht es um weit mehr als nur um Zahlen – es geht um das Vertrauen der Patienten in die Sicherheit ihrer Daten und die Integrität des gesamten Gesundheitswesens.