Cyberangriff bei Unimed betrifft über 9.000 UKSH-Patienten
Abrechnungsdienstleister meldet detaillierte Auswertung der Datenpanne
Nach einem Cyberangriff auf den Abrechnungsdienstleister Unimed liegen nun detaillierte Ergebnisse für das Universitätsklinikum Schleswig-Holstein (UKSH) und seine Tochterunternehmen vor. Insgesamt sind 9.110 Patientinnen und Patienten betroffen. Nach Angaben des Klinikums wurden ausschließlich Daten beim externen Dienstleister entwendet, nicht jedoch aus den IT-Systemen des UKSH selbst.
Der Cyberangriff ereignete sich am 14. April 2026 bei Unimed, einem Unternehmen, das für zahlreiche Kliniken in Deutschland die Abrechnung von Privatpatienten, Zusatzversicherten und Selbstzahlern übernimmt. Nach Angaben des UKSH war ausschließlich der externe Dienstleister betroffen. Die klinikeigenen IT-Strukturen sowie die Patientenversorgung seien zu keinem Zeitpunkt beeinträchtigt gewesen. Gesetzlich versicherte Behandlungen sind von dem Vorfall nicht betroffen, da diese nicht über Unimed abgerechnet werden.
Nach der nun vorgelegten Auswertung wurden bei dem Angriff vor allem Stammdaten wie Name und Adresse entwendet. In einem Teil der Fälle waren auch Inhalte von Schriftverkehr zu Rechnungsbeanstandungen betroffen, die teilweise Gesundheits- oder Behandlungsinformationen enthalten konnten.
Nach Angaben des UKSH wurden jedoch keine vollständigen Patientenakten und keine sensiblen Finanzdaten wie IBAN-Informationen entwendet. Zudem gehen die beauftragten Cyberexperten davon aus, dass die Daten nicht weiterverwendet wurden.
9.110 Betroffene in mehreren Einrichtungen
Die betroffenen Datensätze verteilen sich auf verschiedene Standorte und Einrichtungen des UKSH sowie Tochterunternehmen:
Am Standort Kiel wurden 4.789 Datensätze erfasst, davon 1.381 mit Gesundheitsbezug und 1.662 mit allgemeinen Finanzinformationen. In Lübeck sind 4.117 Datensätze betroffen, darunter 446 mit Gesundheits- und 2.330 mit Finanzbezug.
Weitere kleinere Fallzahlen betreffen unter anderem das Zentrum für Integrative Psychiatrie sowie mehrere medizinische Versorgungszentren und Ambulanzstandorte, darunter Kiel, Lübeck und Friedrichsort. Die Zahl der betroffenen Datensätze in diesen Einrichtungen liegt jeweils im niedrigen bis mittleren zweistelligen Bereich.
Benachrichtigung der Betroffenen geplant
Das UKSH bereitet derzeit in Abstimmung mit der zuständigen Datenschutzaufsicht individuelle Informationsschreiben für betroffene Patientinnen und Patienten vor. Diese sollen ab der kommenden Woche versendet werden. Adressiert werden dabei insbesondere Fälle, bei denen die Daten jünger als zehn Jahre sind und zusätzlich Gesundheitsinformationen enthalten. Aufgrund der erforderlichen manuellen Prüfung der Einzelfälle kann sich der Versand zeitlich staffeln.
