Charité: Knapp 140.000 Kontaktdaten bei Cyberangriff abgeflossen

Berlin – Bei einem Cyberangriff auf Server der Charité in Berlin sind Kontaktdaten von Tausenden Mitarbeitenden, Studierenden und externen Kontakten abgegriffen worden. Den Vorfall gab die Universitätsklinik heute auf ihrer Webseite bekannt und kündigte an, dass Betroffene individuell und „sehr zeitnah“ informiert würden.

Die Krankenversorgung sei nicht beeinträchtigt worden, betonte die Charité. Der Angriff wurde demnach auf den Webserver der Klinik verübt, auf dem auch die Webseite gehostet wird. Bei den Daten von Externen handelt es sich um Angaben aus Kontaktformularen auf der Webseite an die Klinik, die etwa zum Vereinbaren von Terminen genutzt werden.

„Es wird davon ausgegangen, dass circa 46.000 Mitarbeitende und Studierende, circa 1.500 Empfänger des Presse- und Newsletterverteilers sowie 90.000 Personen, die das Kontaktformular genutzt haben, betroffen sind“, erklärte ein Sprecher der Universitätsklinik auf Anfrage des Deutschen Ärzteblattes.

Es handle sich „um den aktuellen Datensatz“. Nähere Angaben zum Zeitraum, aus dem die gestohlenen Daten stammen, wurden nicht gemacht. Es liefen noch weitere Analysen, zu denen man sich derzeit nicht äußern könne.

Die Charité gab an, „unmittelbar sämtliche erforderlichen Maßnahmen“ eingeleitet zu haben, um den Vorfall aufzuklären und die Sicherheit weiterer IT-Systeme zu gewährleisten. Die Ursache sei analysiert und Schutzmaßnahmen verstärkt worden. Man stehe mit zuständigen Aufsichts- und Ermittlungsbehörden in engem Austausch.

In E-Mail-Benachrichtigungen der Charité an Betroffene, die heute Vormittag versendet wurden und die dem Deutschen Ärzteblatt vorliegen, heißt es, dass bisher keine Anhaltspunkte für eine Veröffentlichung oder missbräuchliche Verwendung der Daten bekannt seien. Man habe Strafanzeige erstattet.

Namen und E-Mail-Adressen, aber auch Freitextfelder betroffen

Abgegriffen wurden demnach Vor- und Nachnamen sowie die E-Mailadresse, gegebenenfalls auch Organisationszugehörigkeiten. „Sensible (Gesundheits-) Daten gemäß Art. 9 DS-GVO sind ausdrücklich
nicht betroffen.“

Bei Terminanfragen konnten Patienten allerdings auch ein Freifeld nutzen. Es liegt nahe, dass darin teils Angaben zum konkreten Anliegen oder der medizinischen Vorgeschichte gemacht wurden. „Die Nutzenden dieses Freifelds werden individuell informiert“, erläuterte der Sprecher der Charité.

Den Betroffenen wird zu Wachsamkeit geraten, falls es zu einer Kontaktaufnahme durch Unbekannten kommt. Vorsicht sei insbesondere in Fällen geboten, in denen etwa auf eine Tätigkeit an der Charité Bezug genommen wird. „Die Charité wird Sie grundsätzlich nicht telefonisch kontaktieren, um Passwörter abzufragen oder andere rechtlich relevanten Schritte zu initiieren.“

Auch andere Institutionen angegriffen

Die Klinik, die als größte Universitätsklinik Europas gilt, hat nach eigenen Angaben „unverzüglich nach Bekanntwerden des Cyberangriffs die betroffenen Server isoliert und vom Netz genommen“. In der Folge sei unter anderem die Webseite am 27. Oktober 2026 zeitweise nicht erreichbar gewesen.

Ein Zusammenhang mit der PHP-Sicherheitslücke von vergangener Woche bestehe nicht, gab die Charité bekannt. Diese hatte international für größeren Wirbel gesorgt: Die Charité gehörte dabei zu den vielen Institutionen, die ihre Website vorsorglich zeitweise vorsorglich gestellt hatten.

In der E-Mail an Betroffene stellt die Klinik den Angriff in den Kontext der derzeit vielen Cyberangriffe auf „unterschiedlichste Institutionen in Deutschland und Europa“. Nunmehr sei man auch selbst von einem solchen Vorfall betroffen.

Zu den Einrichtungen, die jüngst von Angriffen auf sich berichteten, zählen die Universität Kopenhagen (mehr als 500.000 Datensätze betroffen) und die Universität Leipzig, wo die IT-Systeme daraufhin vom Netz genommen wurden. Vor Kurzem hatte auch die Humboldt-Universität zu Berlin von einem IT-Sicherheitsvorfall berichtet.

Im Frühjahr waren infolge eines Cyberangriffs auf einen externen Dienstleister mehrerer deutscher Universitätskliniken Tausende Datensätze von Patienten abgeflossen.

ggr