CASE FILE #05: Unimed: Patientendaten in fremden Händen

Warum Third-Party Risk Management bei den Daten beginnen muss

Die IT-Systeme der Krankenhäuser wurden nicht gehackt. Die Patientenversorgung war nicht beeinträchtigt. Trotzdem wurden hochsensible Patientendaten gestohlen.

Der Cyberangriff auf den Abrechnungsdienstleister Unimed im April 2026 zeigt eine zentrale Herausforderung vernetzter IT-Landschaften:

Die eigenen Daten können kompromittiert werden, ohne dass die eigene IT kompromittiert wird.

1. Was ist passiert?

Mitte April 2026 griffen unbekannte Täter Systeme des externen Klinik-Abrechnungsdienstleisters Unimed an.

Der Dienstleister verarbeitet Abrechnungsinformationen für zahlreiche Krankenhäuser. Dadurch befanden sich dort personenbezogene und teilweise medizinische Informationen aus unterschiedlichen Einrichtungen.

Allein bei den Universitätskliniken Freiburg, Heidelberg, Tübingen und Ulm waren zusammen mehr als 72.000 Patientinnen und Patienten betroffen.

2. Wie konnte es passieren?

Die Besonderheit liegt in der Lieferkette der Datenverarbeitung.

Die Angreifer mussten nicht die IT-Systeme jedes einzelnen Krankenhauses kompromittieren. Sie griffen einen zentralen Dienstleister an, bei dem Daten verschiedener Einrichtungen zusammenliefen.

Die klinischen Systeme der betroffenen Universitätskliniken waren nach den veröffentlichten Angaben nicht selbst Ziel des Angriffs.

3. Welche Daten waren betroffen?

Welche Informationen betroffen waren, unterschied sich je nach Klinik und Patient.

In Freiburg wurden beispielsweise Stammdaten wie Name, Geburtsdatum und Adresse von rund 54.000 Menschen entwendet.

Bei rund 900 Personen waren zusätzlich Rechnungsinformationen betroffen, aus denen Rückschlüsse auf Diagnosen oder Behandlungen möglich sein können. In wenigen Fällen waren auch Kontodaten betroffen.

4. Welche Folgen und Risiken entstehen?

Gesundheitsdaten gehören zu den besonders sensiblen personenbezogenen Informationen.

Eine Diagnose lässt sich nach einem Datenleck nicht wie ein Passwort ändern.

Medizinische Informationen können zusammen mit Stammdaten unter anderem für gezieltes Phishing, Social Engineering oder andere Formen des Missbrauchs relevant werden. Zusätzlich kann ein Angriff auf einen Dienstleister operative Prozesse beeinträchtigen.

5. Welche klassischen Schutzmaßnahmen sind notwendig?

Third-Party Risk Management benötigt Verträge, Sicherheitsanforderungen, Audits, Zertifizierungen und regelmäßige Risikobewertungen.

Unternehmen sollten außerdem prüfen, welche Daten ein Dienstleister erhält, wie lange er sie speichert und welche Personen oder Systeme darauf zugreifen können.

Auch Incident-Response-Prozesse und klare Verantwortlichkeiten zwischen Auftraggeber und Dienstleister sind notwendig.

6. Warum reichen diese Maßnahmen allein nicht aus?

Ein Vertrag verhindert keinen erfolgreichen Cyberangriff.

Auch Audits und Zertifizierungen können nicht garantieren, dass ein Dienstleister niemals kompromittiert wird.

Deshalb muss zusätzlich gefragt werden: Welche unserer sensiblen Daten wären bei einem erfolgreichen Angriff auf den Dienstleister tatsächlich als Klartext verfügbar?

7. Wie hilft Data-Centric Security?

Data-Centric Security erweitert Third-Party Risk Management um Schutz direkt an den Informationen.

Wo es der Geschäftsprozess erlaubt, können sensible Daten bereits vor ihrer Übergabe an einen externen Dienstleister verschlüsselt, tokenisiert, pseudonymisiert oder maskiert werden.

Damit wird die Verarbeitung ausgelagert, ohne zwangsläufig sämtliche Kontrolle über die Daten auszulagern.

8. Wie hätte eperi sEcure die Daten schützen können?

eperi sEcure kann sensible Informationen in unterstützten Datenflüssen verschlüsseln oder tokenisieren, bevor sie an externe Anwendungen oder Systeme übertragen werden.

Dabei lässt sich selektiv bestimmen, welche Datenfelder geschützt werden sollen.

Die kryptografischen Schlüssel können unter Kontrolle der verantwortlichen Organisation bleiben, anstatt gemeinsam mit den geschützten Informationen beim Dienstleister zu liegen.

9. Was ist die zentrale Lektion aus dem Fall?

Outsourcing verlagert Geschäftsprozesse – und damit häufig auch sensible Daten – in die Infrastruktur eines Drittanbieters.

Third-Party Risk Management sollte deshalb nicht nur prüfen, ob der Dienstleister vertrauenswürdig und abgesichert ist, sondern auch, wie stark die eigenen Daten von dessen Sicherheit abhängig sind.

Die Lektion aus CASE FILE #05: Outsourcing des Prozesses muss nicht Outsourcing der Kontrolle über die Daten bedeuten.

The eperi Lesson: Assume Breach. Protect the Data.