IT-Sicherheit · Analyse
Mit Block, Papier und Stift: Der Datenvorfall in der Klinik im Kurpark
Am Montag, dem 2. November 2026, informiert ein IT-Mitarbeiter den Geschäftsführer der Klinik im Kurpark in Bad Rothenfelde über einen Datenvorfall. Einen Tag später, am 3. November, meldet die Klinik den Vorgang der Datenschutzbehörde in Niedersachsen. Das bestätigt Klinik-Geschäftsführer Ulrich Kruthaup dem NDR Niedersachsen. Am Donnerstag, dem 5. November, berichtet der NDR öffentlich: Die Computersysteme sind heruntergefahren, die Patientinnen und Patienten werden weiter versorgt, die Mitarbeitenden arbeiten mit Block, Papier und Stift. Die Klinik ist weder telefonisch noch per E-Mail erreichbar. Kruthaup hofft, dass spätestens am Freitag wieder alles funktioniert.
Der NDR wählt in der Überschrift bewusst ein Fragezeichen: „Cyberangriff?“ Ein Datenvorfall bedeutet nach der Erläuterung des Senders, dass sensible, vertrauliche oder geschützte Daten gestohlen, eingesehen, verändert oder gelöscht worden sein könnten; meistens sei das das Ergebnis einer Cyberattacke. Ob in Bad Rothenfelde ein Cyberangriff vorliegt und ob persönliche Daten von Patientinnen und Patienten betroffen sind, ist nach dem öffentlich bekannten Stand offen. Der Vorsitzende des Verbands der Privatkliniken Niedersachsen und Bremen, Hans-Heinrich Aldag, steht mit der Klinik im Austausch und sagt, es müsse erst untersucht werden, ob und welche Informationen betroffen sind.
Die niedersächsische Datenschutzbehörde bestätigt dem NDR, dass die Meldung fristgerecht eingegangen ist. Die Untersuchungen könnten Wochen oder sogar Monate dauern. Sollten Patientinnen und Patienten von einer Datenschutzverletzung betroffen sein, werden sie nach Angaben der Behörde von der Klinik informiert. Am 6. November schreibt das Lokalradio os|radio, die Klinik laufe inzwischen wieder im Normalbetrieb; welche Folgen der Vorfall habe und ob Kriminelle auf persönliche Daten zugreifen konnten, sei weiterhin unklar. Der Fall ist ein Lehrstück für jede Einrichtung, die ohne digitale Systeme weiterversorgen muss – und für den Unterschied zwischen einem gemeldeten Datenvorfall und einem bereits aufgeklärten Angriff. Genau das solltest du dir merken, wenn in deinem Haus die IT ausfällt und gleichzeitig die Frage im Raum steht, was mit den Daten geschehen ist.
Erst versorgen, dann aufklären
Eine Rehaklinik kann ihre IT herunterfahren und trotzdem weiterbehandeln, wenn die Versorgung auf Papier vorbereitet ist. Genau das beschreibt der NDR für Bad Rothenfelde. Die Patientinnen und Patienten werden weiter versorgt. Die Mitarbeitenden greifen zu Block, Stift und Papier. Das ist unangenehm und langsam, aber es ist der Unterschied zwischen einem IT-Vorfall und einem Versorgungsbruch. In einem Akuthaus wäre diese Schwelle oft höher; in einer Rehabilitationseinrichtung, in der viele Abläufe planbarer sind, kann der Analogbetrieb tragen – vorausgesetzt, Medikation, Diagnosen und Anordnungen sind auf Papier oder aus einem getrennten System heraus noch verfügbar. Wie weit dieser Fallback in Bad Rothenfelde im Einzelnen reichte, sagt die Klinik öffentlich nicht.
Gleichzeitig fällt die äußere Erreichbarkeit aus. Weder Telefon noch E-Mail funktionierten nach dem NDR-Bericht vom 5. November. Für Angehörige, zuweisende Ärztinnen und Kostenträger ist das ein eigenes Problem, unabhängig von der Frage, was mit den Daten geschehen ist. Eine Klinik, die weiterbehandelt, aber nicht erreichbar ist, braucht einen vorher festgelegten zweiten Kanal: eine Durchwahl, die nicht an derselben Infrastruktur hängt, eine Ansage auf der Website, eine Information an zuweisende Praxen. Ob die Klinik im Kurpark einen solchen Kanal öffentlich gemacht hat, geht aus den vorliegenden Berichten nicht hervor.
Der Datenvorfall selbst bleibt in der öffentlichen Lage eine offene Kategorie. Geschäftsführer Kruthaup bestätigt dem NDR den Ablauf der Entdeckung und der Meldung, nicht öffentlich einen abgeschlossenen Tathergang. Der Sender erklärt den Begriff und stellt fest, ein Datenvorfall sei meist das Ergebnis einer Cyberattacke – und lässt offen, ob das hier zutrifft. Diese Vorsicht ist richtig. Ein heruntergefahrenes System kann die Folge eines Angriffs sein, einer verdächtigen Aktivität, eines Fehlers oder einer vorsorglichen Entscheidung, die sich später als weniger schwer erweist. Solange die Untersuchung läuft, ist „Datenvorfall“ die ehrlichere Bezeichnung als ein festgestellter „Hackerangriff“.
Die Datenschutzseite des Falls ist klarer als die technische. Die Klinik hat innerhalb der gesetzlichen Frist gemeldet. Die Aufsicht bestätigt den Eingang. Die Untersuchung darf Wochen oder Monate dauern, und die Behörde sagt, Betroffene würden von der Klinik informiert, falls eine Datenschutzverletzung sie trifft. Das ist der gesetzliche Weg nach den Artikeln 33 und 34 der DSGVO: zuerst die Aufsicht, dann – bei hohem Risiko – die betroffenen Personen. Dass dieser Weg beschritten wird, ist bestätigt. Dass bereits feststeht, ob Patientendaten betroffen sind, ist es nicht.
„Sollten Patienten von der Datenschutzverletzung betroffen sein, werden sie nach Angaben der Behörde von der Klinik informiert.“
Dieser Satz ist eine Verfahrenszusage, keine Entwarnung. Er setzt voraus, dass die Untersuchung zu einem Ergebnis kommt und dass die Klinik Betroffene dann tatsächlich erreicht – auch jene, die während des Ausfalls telefonisch und per E-Mail nicht zu erreichen waren.
Was eine Klinik aus einem offenen Vorfall schon jetzt ableiten kann
Der öffentlich bekannte Kenntnisstand ist schmal, die Lehre trotzdem deutlich. Erstens: Ein Notfallplan für die Versorgung ohne IT muss existieren, bevor der IT-Mitarbeiter den Geschäftsführer anruft. Papier, Stift und weiterlaufende Behandlung sind kein Zufall, sondern das Ergebnis davon, dass jemand diesen Weg vorgesehen hat – oder das Ergebnis eines Improvisierens, das in einer Klinik gefährlich werden kann. Aus den vorliegenden Quellen weiß man nur, dass der Weg gewählt wurde und die Versorgung weiterging, nicht, wie lange er geübt war.
Zweitens: Die Meldepflicht an die Aufsicht ist kein Anhang, den man aufschiebt, bis die Forensik fertig ist. Die Klinik hat einen Tag nach der Information an die Geschäftsführung gemeldet, die Behörde bestätigt den fristgerechten Eingang. Das ist die richtige Reihenfolge, auch wenn die Datenfrage noch offen ist.
Drittens: Öffentliche Kommunikation darf die offene Frage offen lassen. Der NDR tut das, die Klinik lässt sich mit einer abgeschlossenen Angriffsgeschichte nicht zitieren, os|radio hält am 6. November fest, dass Folgen und möglicher Datenzugriff unklar bleiben, auch wenn der Betrieb wieder läuft. „Wieder im Normalbetrieb“ und „keine betroffenen Patientendaten“ sind zwei verschiedene Sätze. Nur der erste ist bisher öffentlich gestützt.
Viertens fehlt, was man in anderen Klinikfällen dieses Herbstes – etwa bei den Kreiskliniken Kassel – inzwischen nachlesen kann: ein FAQ zu möglichen Datenarten, ein Hinweis, wer ein Schreiben erhält, eine klare Absenderadresse gegen Phishing. Das kann nachkommen, wenn die Untersuchung Ergebnisse hat. Bis dahin sollten Patientinnen und Angehörige offizielle Wege der Klinik nutzen und unaufgeforderten Mails, die in dieser Lage Zugangsdaten oder Zahlungen verlangen, nicht folgen.
Zeitstrahl des Ablaufs
Montag, 2. November 2026:
Ein IT-Mitarbeiter informiert Geschäftsführer Ulrich Kruthaup über den Datenvorfall. Quelle: NDR, 5.11.2026, 20:38 Uhr, nach Angaben Kruthaups.Dienstag, 3. November 2026:
Die Klinik meldet den Vorfall der Datenschutzbehörde in Niedersachsen. Die Behörde bestätigt dem NDR später den fristgerechten Eingang. Quelle: NDR, ebenda.Donnerstag, 5. November 2026, 15:00 Uhr:
NDR 1 Niedersachsen berichtet im Regionalprogramm Osnabrück unter der Überschrift „Hacker-Angriff trifft Kur-Klinik“. Quelle: NDR, Audiodokumentation.Donnerstag, 5. November 2026, 20:38 Uhr:
Der NDR-Textbericht erscheint. Systeme heruntergefahren, Versorgung läuft, Arbeit mit Papier, keine telefonische oder E-Mail-Erreichbarkeit, Datenfrage offen, Hoffnung auf den Freitag. Fachportale wie mydrg und medconweb greifen den Bericht auf. Die Neue Osnabrücker Zeitung veröffentlicht einen eigenen, hinter einer Bezahlschranke liegenden Artikel unter der Überschrift zu einem Cyberangriff; der Wortlaut wurde für diese Recherche nicht vollständig ausgewertet.Freitag, 6. November 2026:
os|radio berichtet, die Klinik laufe wieder im Normalbetrieb; Folgen und ein möglicher Zugriff auf persönliche Daten seien weiterhin offen. Quelle: os|radio 104,8.Stand 12. November 2026:
Eine spätere öffentliche Konkretisierung der Klinik zu Einfallsweg, betroffenen Daten oder abgeschlossener Untersuchung liegt bei dieser Recherche nicht vor. Die Aufsicht hat angekündigt, dass die Klärung Wochen oder Monate dauern kann.
Was heißt das für dein Unternehmen?
Der Fall ist kleiner in der öffentlichen Aktenlage als manch anderer Klinikvorfall dieses Herbstes. Gerade deshalb zeigt er die Grundpflichten, die schon greifen, bevor die Forensik fertig ist.
- 1.
Den Analogbetrieb für die Versorgung vorher festlegen.
Papier und Stift sind nur dann eine Antwort, wenn Medikation, Anordnungen und Dokumentation ohne das primäre System weitergeführt werden können. Übe das, und prüfe, welche Geräte und Drucker unabhängig bleiben müssen. In einer Klinik ist das keine Komfortfrage. - 2.
Einen Kommunikationsweg behalten, der nicht mit der IT fällt.
In Bad Rothenfelde waren Telefon und E-Mail zugleich weg. Lege fest, wie Angehörige, Zuweiser und Aufsicht dich dann erreichen – und wie du sie erreichst, falls du Betroffene später informieren musst. - 3.
Die Aufsicht fristgerecht informieren, auch wenn die Ursache offen ist.
Die Klinik hat am Tag nach der Information an die Geschäftsführung gemeldet, die Behörde bestätigt den fristgerechten Eingang. Warte nicht auf die abgeschlossene Tätergeschichte, bevor du Artikel 33 erfüllst. Die Datenfrage und die Meldepflicht laufen parallel. - 4.
Öffentlich genau die Wörter verwenden, die schon feststehen.
„Datenvorfall“ und „Systeme heruntergefahren“ sind bestätigt. „Cyberangriff“ und „gestohlene Patientenakten“ sind es in den vorliegenden Quellen nicht. Diese Unterscheidung schützt dich vor falscher Entwarnung und vor falscher Dramatisierung – und sie lässt Raum, später nachzulegen. - 5.
Den Wiedereinstieg nicht mit dem Ende der Datenfrage verwechseln.
Wenn os|radio am 6. November vom Normalbetrieb schreibt, ist das eine Aussage zur Versorgung und zur IT-Verfügbarkeit, nicht zur Frage, ob Daten betroffen sind. Die Aufsicht spricht von Wochen oder Monaten. Plane die Untersuchung über den Tag hinaus, an dem die Systeme wieder laufen. - 6.
Ein FAQ und einen Anti-Phishing-Hinweis vorbereiten, bevor Ergebnisse da sind.
Solange unklar ist, ob Patientendaten betroffen sind, ist das ein Einladungsfenster für Betrug. Sage früh, über welchen Kanal ihr jemals informiert, dass ihr keine Passwörter per Mail verlangt, und wo sich Betroffene später authentisch gemeldete Schreiben prüfen können.
Wenn du prüfen willst, wie gut dein Haus ohne primäre IT versorgen, die Aufsicht fristgerecht informieren und unter Unsicherheit klar kommunizieren kann, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Vorfall in Bad Rothenfelde zeigt vor allem eines: Die Versorgung kann auf Papier weitergehen. Die Datenfrage endet dadurch nicht, und sie darf öffentlich nicht als beantwortet gelten, solange sie es nicht ist.
Häufige Fragen
Quellen
- NDR Niedersachsen: Cyberangriff? Datenvorfall bei Klinik im Kurpark in Bad Rothenfelde, 5.11.2026, 20:38 Uhr. Primärquelle mit Angaben von Geschäftsführer Ulrich Kruthaup, Hans-Heinrich Aldag und der niedersächsischen Datenschutzbehörde.
- NDR 1 Niedersachsen: Hacker-Angriff trifft Kur-Klinik in Bad Rothenfelde, Regional Osnabrück, 5.11.2026, 15:00 Uhr.
- os|radio 104,8: NDR-Bericht: Hackerangriff auf Klinik in Bad Rothenfelde?, 6.11.2026. Kurzmeldung, unter anderem zum wieder aufgenommenen Normalbetrieb.
- mydrg: Klinik im Kurpark Bad Rothenfelde: IT-Systeme heruntergefahren, 5.11.2026. Fachliche Kurzmeldung mit Verweis auf den NDR.
- medconweb über LinkedIn: Klinik Bad Rothenfelde schaltet nach Datenvorfall IT ab, 6.11.2026. Zusammenfassung des Kenntnisstands, einschließlich der offenen Frage nach einem Cyberangriff.
- Neue Osnabrücker Zeitung: Cyberangriff auf Klinik im Kurpark Bad Rothenfelde: die Folgen. Eigener Lokalartikel, zum Recherchestand hinter einer Bezahlschranke; hier nur mit Titel und Existenz belegt, nicht aus dem vollen Wortlaut zitiert.
