Wir wurden nicht gehackt – nur unser Dienstleister“

Am 14. April 2026 wurden bei einem Cyberangriff auf den saarländischen Abrechnungsdienstleister Unimed Daten von rund 30.000 Menschen erbeutet, die sich zur Behandlung in der Uniklinik Köln aufgehalten hatten. Bei 27.298 Betroffenen flossen Namen, Adressen, behandelnde Ärzte und Rechnungssummen ab, bei 843 weitere Gesundheitsdaten aus der Abrechnungskommunikation, bei fünf zusätzlich die Bankverbindung. Den Vorfall hat der Kölner Stadt-Anzeiger am Wochenende dokumentiert.

In der Verlautbarung der Uniklinik klingt das so: Die „klinischen Systeme und die Patientenversorgung“ seien „zu keinem Zeitpunkt betroffen“ gewesen. Das stimmt formal. Es ist trotzdem die interessanteste Information des Falls. Die Uniklinik wurde nicht gehackt. Gehackt wurde Unimed, ein externes Unternehmen, dem die Klinik die Privat-Abrechnung übergeben hatte. Für die 30.000 Betroffenen ändert das nichts. Für die Kommunikation der Klinik ändert es alles.

Die Logik der Auslagerung

Das Muster ist im deutschen Gesundheitswesen weit verbreitet. Sensible Funktionen werden an externe Dienstleister vergeben, weil die eigene Infrastruktur teurer und langsamer wäre. Das gilt für die Abrechnung, für Termine, zunehmend auch für Befundung und KI-gestützte Dokumentation. Es ist betriebswirtschaftlich nachvollziehbar. Es hat aber einen Preis, der in keiner Bilanz auftaucht: Die Angriffsfläche vervielfacht sich. Jedes Unternehmen entlang der Kette hat eigene Sicherheitsstandards, eigene Personalsituation, eigene Insolvenzrisiken.

Christoph Hebbecker von der Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW) formuliert es im Bericht des Stadt-Anzeigers nüchtern: Die Kriminellen müssten nicht die gut bewachte Festung stürmen, es genüge der weniger gut gesicherte Lieferant. Genau das ist hier passiert. Die Festung – die Uniklinik – stand. Der Lieferant fiel.

Wenn der Lieferant ausfällt

Der Kölner Fall ist nicht der erste Hinweis darauf, dass die Auslagerungsarchitektur des Gesundheitswesens fragil ist. Im September 2020 meldete die AvP Deutschland GmbH Insolvenz an, einer der größten Rezept-Abrechner Deutschlands mit rund 3.500 Apotheken als Kunden und einem Jahresvolumen von etwa sieben Milliarden Euro. Die Folge waren existenzbedrohende Liquiditätslücken bei tausenden Apotheken – und jenseits der wirtschaftlichen Frage ein erheblicher Komplex an Datenschutzfragen, den der Bundesgerichtshof in einer Entscheidung von 2025 teilweise neu sortiert hat.

Die Lehre aus AvP ist nicht, dass das Unternehmen falsch gewirtschaftet hätte. Die Lehre ist, dass die Patientendaten zur Manövriermasse einer privatwirtschaftlichen Insolvenz werden, ohne dass die Patienten, deren Rezepte dort lagen, auch nur informiert wurden, wer welche Daten zu welchem Zeitpunkt hatte. Ein Cyberangriff verschiebt Daten gewaltsam. Eine Insolvenz oder ein Verkauf verschiebt sie zivilrechtlich. Das Ergebnis ist für die Betroffenen ähnlich: andere haben sie.

Doctolib und die Stammdatensätze

Auch jenseits der Abrechnung hat sich eine private Plattform-Infrastruktur etabliert, die zentrale Patientendaten bündelt. Doctolib hält in Deutschland einen Marktanteil von rund 60 Prozent bei der Online-Terminbuchung und zählt etwa 20 Millionen Nutzer im Land. Wer dort einen Termin bucht, übermittelt nach Analyse von IT-Sicherheitsexperten einen Stammdatensatz, den Versicherungsstatus und eine standardisierte Anlassbeschreibung – also den Grund des Arztbesuchs. Zusammen mit dem gebuchten Facharzt ergibt das eine oft ziemlich präzise Information über Diagnose oder Lebenslage.

Im Februar 2025 erweiterte Doctolib seine Datenschutzbestimmungen, um Gesundheitsdaten für das Training eigener KI-Modelle nutzen zu können – sofern die Nutzer einwilligen. Kritiker, darunter der IT-Sicherheitsexperte Mike Kuketz und der Verbraucherzentrale Bundesverband, sehen mögliche Konflikte mit der ärztlichen Schweigepflicht nach § 203 StGB und mit der DSGVO. Die rechtlichen Fragen sind nicht abschließend geklärt. Praktisch gilt: In manchen Praxen ist eine Terminbuchung ausschließlich über Doctolib möglich. Die Einwilligung ist dann nicht ganz freiwillig.

Der Patient als letzte Adresse

Strukturell aufschlussreich am Kölner Fall ist nicht der Hack selbst – Hacks gibt es überall, und absolute Sicherheit gibt es nirgends – sondern die Asymmetrie der Folgen. Die Uniklinik erstattet Anzeige, informiert das Bundesamt für Sicherheit in der Informationstechnik, schickt 30.000 Briefe. Unimed gibt eine schriftliche Stellungnahme ab. Die ZAC NRW erklärt, dass sie die Täter regelmäßig identifiziere, aber selten festnehmen könne, weil diese meist im Ausland säßen. Strafanzeige stellen, sagt der Oberstaatsanwalt trotzdem.

Das ist die Architektur der ritualisierten Beruhigung: Alle Beteiligten erfüllen ihre formalen Pflichten, niemand trägt die Folgen – außer derjenige, dessen Daten weg sind. Der Patient ist die letzte Adresse, an der das Problem hängenbleibt. Er hat keine Wahl darüber, wo seine Klinik die Abrechnung machen lässt. Er hat oft keine Wahl darüber, ob er Doctolib nutzt. Er hat keinen Überblick darüber, welcher Dienstleister gerade welche Daten von ihm hält. Er hat im Schadensfall einen Brief im Kasten und den freundlichen Hinweis, bei verdächtigen Anrufen erst einmal nicht zu reagieren.

Was eigentlich offen ist

Das wahre Thema ist nicht die einzelne Sicherheitslücke. Es ist die Frage, welche Verfügungsmacht Patienten über ihre Gesundheitsdaten überhaupt noch haben, wenn diese längst durch ein dichtes Netz privater Plattformen, Abrechnungsdienstleister, Termin-Anbieter und KI-Trainings-Schnittstellen wandern. Das Recht spricht hier klar: Gesundheitsdaten gehören zur sensibelsten Kategorie, sind besonders zu schützen, die ärztliche Schweigepflicht ist strafbewehrt. Die Wirklichkeit spricht eine andere Sprache: Wer Patient ist, sieht Dutzende Stellen, die seine Daten in irgendeiner Form verarbeiten, ohne dass er den Überblick hätte – geschweige denn die Wahl.

Die ehrliche Antwort darauf wäre, das Auslagerungsgeschäft strenger zu binden: Haftung beim Auftraggeber, transparente Verzeichnisse, Auditpflichten, spürbare Konsequenzen bei Vorfällen statt ritualisierter Briefe. Solange das nicht geschieht, ist jeder Vorfall der Sorte Unimed nicht der Ausreißer im System – sondern das System.