IT-Sicherheit · Analyse
Knapp 140.000 Kontaktdaten: Der Cyberangriff auf den Webserver der Charité
Am 30. Oktober 2026 informiert die Charité – Universitätsmedizin Berlin öffentlich über einen Cyberangriff auf ihren Webserver, auf dem auch die Website gehostet wird. Abgegriffen wurden personenbezogene Kontaktdaten von Mitarbeitenden und Studierenden sowie von externen Personen, die sich über das Webkontaktformular an die Klinik gewendet haben – etwa zur Vereinbarung eines Termins. Sämtliche Betroffenen sollen sehr zeitnah individuell informiert werden. Die Krankenversorgung war und ist nach Angaben der Charité nicht beeinträchtigt.
Ein Sprecher nennt dem Deutschen Ärzteblatt die Größenordnung: circa 46.000 Mitarbeitende und Studierende, circa 1.500 Empfängerinnen und Empfänger des Presse- und Newsletterverteilers sowie 90.000 Personen, die das Kontaktformular genutzt haben. Die drei Gruppen addieren sich auf rund 137.500 Datensätze; das Ärzteblatt fasst den Vorgang als „knapp 140.000 Kontaktdaten“ zusammen. Es handle sich um den „aktuellen Datensatz“. Einen Zeitraum, aus dem die Daten stammen, nannte die Charité nicht.
Der Fall ist ein Lehrstück über eine oft unterschätzte Flanke: nicht das Klinikinformationssystem, sondern der öffentliche Webserver. Die Charité betont in Benachrichtigungsmails, sensible Gesundheitsdaten nach Art. 9 der Datenschutz-Grundverordnung seien ausdrücklich nicht betroffen. Zugleich konnten Patientinnen und Patienten in Terminanfragen ein Freitextfeld nutzen – und genau diese Nutzenden werden individuell informiert. Genau das solltest du dir merken, wenn in deinem Unternehmen Kontaktformulare, Newsletterlisten und Beschäftigtenverzeichnisse auf demselben Webserver liegen wie die öffentliche Website.
Was abgegriffen wurde – und wo ein Freitextfeld unsicher macht
Die Charité trennt in ihrer Darstellung klar zwischen Kontaktdaten und besonders schützenswerten Gesundheitsdaten. Abgegriffen wurden demnach Vor- und Nachnamen sowie die E-Mail-Adresse, gegebenenfalls auch die Zugehörigkeit zu einer Organisation. Das betrifft drei Kreise: die eigene Belegschaft und die Studierenden, den vergleichsweise kleinen Presse- und Newsletterverteiler und die deutlich größere Gruppe jener, die das Kontaktformular genutzt haben – also auch Menschen, die mit der Charité nur über eine Terminanfrage in Berührung gekommen sind.
„Sensible (Gesundheits-) Daten gemäß Art. 9 DS-GVO sind ausdrücklich nicht betroffen.“
Diesen Satz solltest du nicht isoliert lesen. Das Ärzteblatt weist darauf hin, dass Patientinnen und Patienten bei Terminanfragen ein Freifeld nutzen konnten. Es liege nahe, dass darin teils Angaben zum konkreten Anliegen oder zur medizinischen Vorgeschichte gemacht wurden. Der Sprecher der Charité sagte dem Blatt: „Die Nutzenden dieses Freifelds werden individuell informiert.“ Wie viele Menschen in diesem Feld geschrieben haben und welche Inhalte dort standen, ist öffentlich nicht beziffert. Die Charité selbst hat das Feld in ihrer kurzen Website-Mitteilung nicht erwähnt.
Für die Bewertung heißt das: Ein bestätigter Diebstahl von Stammdaten ist nicht dasselbe wie ein bestätigter Diebstahl von Krankenakten. Gleichzeitig kann ein Freitextfeld auf einem öffentlichen Formular genau die Angaben enthalten, die formal nicht als „Gesundheitsdaten im System“ geführt werden – und trotzdem viel über eine Person verraten. Genau deshalb ist die individuelle Information der Nutzenden dieses Felds der vorsichtige Teil der Darstellung, nicht ein Widerspruch zum Art.-9-Satz, aber auch keine vollständige Entwarnung.
Die Zahl „knapp 140.000“ stammt aus der Berichterstattung des Ärzteblatts, das die drei vom Sprecher genannten Gruppen zusammenfasst. Die Charité selbst veröffentlicht in ihrer Mitteilung keine Gesamtzahl. Der Sprecher spricht vom „aktuellen Datensatz“ und macht keine Angabe zum Zeitraum. Weitere Analysen liefen, dazu äußere man sich derzeit nicht. Was tatsächlich in fremde Hände gelangt ist, solltest du deshalb als die vom Sprecher genannte Größenordnung des aktuellen Bestands lesen, nicht als eine abgeschlossene, von der Charité selbst veröffentlichte Opferliste.
Der Webserver, die Website – und die PHP-Lücke, die es nicht war
Die Charité beschreibt das Ziel des Angriffs eindeutig: den Webserver, auf dem auch die öffentliche Website liegt. Das ist eine andere Angriffsfläche als ein Klinikinformationssystem oder eine medizinische Geräteflotte. Dass die Krankenversorgung nach ihrer Darstellung nicht beeinträchtigt war, passt zu dieser Trennung – und ist zugleich die Mindestforderung an jede Klinik-IT: Der öffentliche Auftritt darf nicht die Tür zur Versorgung sein.
Unverzüglich nach Bekanntwerden habe die Charité die betroffenen Server isoliert und vom Netz genommen, berichtet das Ärzteblatt unter Berufung auf die Klinik. In der Folge war die Website am 27. Oktober 2026 zeitweise nicht erreichbar. Die öffentliche Mitteilung folgte drei Tage später, am 30. Oktober, zusammen mit den ersten Benachrichtigungsmails. Ein Sprecher sagte der Berliner Zeitung, die von den Angreifern genutzte Zugangsmöglichkeit sei gefunden und geschlossen worden. Den konkreten Einfallsweg – etwa eine bestimmte Softwarelücke oder ein kompromittiertes Konto – hat die Charité öffentlich nicht benannt.
Wichtig ist die Abgrenzung, die die Klinik selbst vornimmt. In der Vorwoche hatte sie ihre Website bereits zeitweise offline genommen, ausdrücklich vorsorglich, wegen einer PHP-Sicherheitslücke. kma Online datiert das auf den 21. Oktober und stellt es in den Zusammenhang einer BSI-Warnung vor kritischen Schwachstellen in der Programmiersprache PHP; neben der Charité hätten auch die Universitätskliniken in Köln, Düsseldorf, Freiburg, Heidelberg und Mannheim ihre Internetauftritte vorübergehend abgeschaltet. Die Charité betont nun ausdrücklich, der Cyberangriff stehe nicht im Zusammenhang mit dieser Lücke.
Diese Unterscheidung solltest du nicht als Fußnote abtun. Wer beide Abschaltungen in einen Topf wirft, versteht den 30. Oktober falsch: Die eine Maßnahme war eine vorsorgliche Reaktion auf eine öffentlich bekannte Schwachstelle, die andere die Folge eines bestätigten Angriffs mit Datenabfluss. Genau deshalb gehört in eine transparente Kommunikation beides – was passiert ist, und was ausdrücklich nicht die Ursache war.
In den Benachrichtigungsmails stellt die Charité den Vorgang in den Kontext vieler Cyberangriffe auf „unterschiedlichste Institutionen in Deutschland und Europa“. Bisher gebe es keine Anhaltspunkte für eine Veröffentlichung oder missbräuchliche Verwendung. Den Betroffenen rät sie zur Wachsamkeit, falls Unbekannte Kontakt aufnehmen, insbesondere wenn dabei auf eine Tätigkeit an der Charité Bezug genommen wird. Wörtlich heißt es in den Mails laut Ärzteblatt: „Die Charité wird Sie grundsätzlich nicht telefonisch kontaktieren, um Passwörter abzufragen oder andere rechtlich relevanten Schritte zu initiieren.“
Zeitstrahl des Ablaufs
21. Oktober 2026:
Nach kma Online nimmt die Charité ihre Website vorsorglich offline, wegen einer PHP-Sicherheitslücke und einer entsprechenden BSI-Warnung. Weitere Universitätskliniken schalten ihre Auftritte zeitweise ab. Das ist nach späterer Darstellung der Charité nicht die Ursache des hier beschriebenen Angriffs. Quelle: kma Online.27. Oktober 2026:
Die Website der Charité ist zeitweise nicht erreichbar, nachdem die Klinik nach eigenen Angaben unverzüglich nach Bekanntwerden des Cyberangriffs die betroffenen Server isoliert und vom Netz genommen hat. Eine genaue Uhrzeit der Entdeckung nennt sie öffentlich nicht. Quelle: Ärzteblatt unter Berufung auf die Charité.30. Oktober 2026, Vormittag:
Benachrichtigungsmails an Betroffene, die dem Ärzteblatt vorliegen: Datenkategorien, Art.-9-Satz, Hinweis auf Strafanzeige, keine bekannten Anhaltspunkte für Veröffentlichung oder Missbrauch, Warnung vor Betrugsversuchen.30. Oktober 2026:
Öffentliche Mitteilung auf der Charité-Website: Angriff auf den Webserver, Abgriff von Kontaktdaten der Beschäftigten, Studierenden und externer Formularnutzer, keine Beeinträchtigung der Krankenversorgung, kein Zusammenhang mit der PHP-Lücke, Information der Betroffenen, Austausch mit Aufsicht und Ermittlungsbehörden. Ein Sprecher ergänzt gegenüber dem Ärzteblatt die drei Größenordnungen und den Hinweis auf das Freitextfeld, gegenüber der Berliner Zeitung die geschlossene Zugangsmöglichkeit. Quellen: Charité, Ärzteblatt, Berliner Zeitung, t-online.
Was heißt das für dein Unternehmen?
Der Fall ist kein reines Klinikthema. Die Muster kennst du aus der Praxis: Die öffentliche Website, das Kontaktformular und der Newsletterverteiler gelten als „nur Kommunikation“, liegen aber oft auf demselben Server und enthalten genau die Daten, mit denen sich später glaubwürdige Phishing-Mails bauen lassen.
- 1.
Den Webserver als eigene Angriffsfläche behandeln.
Ein öffentlicher Auftritt ist kein neutrales Schaufenster, wenn darauf Formulare, Mitarbeiterverzeichnisse und Verteiler liegen. Segmentiere ihn von internen Systemen, härte ihn wie ein produktives System und überwache, welche Daten er überhaupt speichert. Dass die Krankenversorgung der Charité nach eigener Darstellung nicht betroffen war, ist die richtige Architektur – und kein Zufall, den du dir in deinem Unternehmen erhoffen solltest. - 2.
Kontaktformulare und Freitextfelder aufräumen.
Menschen schreiben in offene Felder, was sie für nötig halten: Beschwerden, Diagnosen, Aktenzeichen, manchmal auch Ausweise und Versicherungsnummern. Frag dich, ob du dieses Feld brauchst, wie lange du die Inhalte speicherst und ob du die Absender später einzeln erreichen kannst. Die Charité muss genau diese Nutzenden jetzt gesondert informieren, weil der Inhalt des Felds über bloße Kontaktdaten hinausgehen kann. - 3.
Beschäftigtendaten und Kundendaten nicht auf dem Webserver stapeln.
Im aktuellen Datensatz der Charité liegen laut Sprecher Beschäftigte und Studierende neben Newsletter-Empfängern und Formularnutzern. Wenn ein Webserver kompromittiert wird, ist der Schaden größer, sobald mehrere dieser Bestände an derselben Stelle liegen. Minimiere, was der Server kennen muss, und trenne interne Verzeichnisse von öffentlichen Formularen. - 4.
Vorsorge und Vorfall nicht in einem Satz vermischen.
Die Charité hat innerhalb von zwei Wochen ihre Website zweimal vom Netz genommen: einmal vorsorglich wegen einer bekannten PHP-Lücke, einmal nach einem bestätigten Angriff. In der Kommunikation solltest du das ebenso klar trennen. Sonst entsteht entweder falsche Entwarnung oder unnötige Panik – und beides kostet Vertrauen. - 5.
Nach einem Abfluss von Namen und Dienststellen mit gezieltem Phishing rechnen.
Die Charité warnt selbst davor, dass Unbekannte auf eine Tätigkeit an der Klinik Bezug nehmen könnten. Dieselbe Logik gilt für dein Unternehmen: Mit echtem Namen, echter Mailadresse und der Information, dass jemand bei dir arbeitet oder einen Termin wollte, wirken Anrufe und Mails plötzlich glaubwürdig. Lege fest, dass ihr niemals ungefragt telefonisch nach Passwörtern fragt – und sag das den Betroffenen auch. - 6.
Eine Betroffenenliste bauen, bevor du sie brauchst.
Die Charité spricht vom aktuellen Datensatz und kündigt individuelle Information an, inklusive der Freitext-Nutzenden. Das setzt voraus, dass Formularinhalte, Verteiler und Beschäftigtendaten zuordenbar und erreichbar sind. Ohne diese Grundlage bleibt nach einem Vorfall nur eine pauschale öffentliche Warnung.
Wenn du prüfen willst, wie gut in deinem Unternehmen Webserver, Formulare und die Trennung zur internen IT wirklich aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der Charité zeigt vor allem eines: Der sichtbare Schaden entsteht oft nicht in der Kernanwendung, sondern an dem Server, den du für die Außendarstellung hältst.
Häufige Fragen
Quellen
- Charité – Universitätsmedizin Berlin: Cyberangriff auf Charité-Webserver, 30.10.2026.
- Deutsches Ärzteblatt: Charité: Knapp 140.000 Kontaktdaten bei Cyberangriff abgeflossen, 30.10.2026. Sprecherangaben zu den drei Betroffenengruppen, zu Freitextfeld und Benachrichtigungsmails.
- Berliner Zeitung / AFP: Charité in Berlin: Daten bei Cyberangriff gestohlen.
- kma Online: Charité Berlin: Cyberangriff auf Webserver – Daten abgegriffen. Darin auch die Datierung der vorsorglichen PHP-Abschaltung auf den 21. Oktober 2026.
- t-online: Cyberangriff auf Charité Berlin: Zahlreiche Daten abgegriffen.
