IT-Sicherheit · Analyse
Die Notfallpläne haben gegriffen: Der Cyberangriff auf die Kreiskliniken Kassel
Am Donnerstagabend, dem 8. Oktober 2026, machen die Kreiskliniken Kassel einen kriminellen Cyberangriff öffentlich. Festgestellt wurde er drei Tage zuvor, am 5. Oktober. Betriebsleiter Silvan Uick sagt der Hessischen/Niedersächsischen Allgemeinen, der Angriff sei frühzeitig erkannt worden, die Notfallpläne hätten gegriffen, Sicherheitsmaßnahmen seien sofort ergriffen worden. An beiden Standorten, Hofgeismar und Wolfhagen, bleibt die Patientenversorgung vollständig arbeitsfähig. Aufnahme, Behandlung und geplante Termine finden statt. Telefon und E-Mail funktionieren weiter.
Zwei Wochen später ist die Lage differenzierter, ohne dass die Versorgung zusammengebrochen wäre. Im FAQ der Kliniken, Stand 21. Oktober 2026, heißt es: Nach bisherigem Kenntnisstand haben die Angreifer Dateien erlangt, die personenbezogene Daten von Patientinnen und Patienten sowie von Mitarbeitenden und Bewerberinnen und Bewerbern enthalten können. Die Angreifer drohen damit, diese Daten zu veröffentlichen. Mögliche Betroffene werden nach Artikel 34 der Datenschutz-Grundverordnung schriftlich informiert. Hinweise auf eine Veröffentlichung im Internet oder im Darknet liegen den Kliniken zu diesem Zeitpunkt nicht vor. Die IT-forensischen Untersuchungen dauern an.
Der Fall ist ein Lehrstück über den Unterschied zwischen einem Klinikausfall und einem Datenschutzvorfall. Viele Krankenhausangriffe der vergangenen Jahre haben sich zuerst in der Notaufnahme gezeigt: Stift und Papier, verschobene Operationen, Verlegungen. In Kassel bleibt die Versorgung stehen – und trotzdem kann es um Behandlungs- und Pflegedokumentation, Medikationsdaten sowie Versicherungs- und Abrechnungsdaten gehen. Genau das solltest du dir merken, wenn in deinem Unternehmen der Betrieb weiterläuft und die eigentliche Frage erst danach kommt: Welche Dateien haben die Angreifer bereits kopiert?
Früh erkannt – und trotzdem eine offene Datenfrage
Die erste öffentliche Darstellung am 8. Oktober steht unter dem Eindruck einer geglückten Abwehr im laufenden Betrieb. Uick beschreibt eine frühe Erkennung und greifende Notfallpläne. Externe Cyber-Security-Spezialisten analysieren den Hergang. Der Vorfall ist dem Hessischen Datenschutzbeauftragten und dem BSI „unverzüglich“ gemeldet, das Landeskriminalamt informiert, Anzeige erstattet. Zur Frage, ob personenbezogene Daten gestohlen wurden und wie die Attacke möglich war, sagt die Klinik an diesem Tag nur: Das werde geprüft. Uick dämpft die Erwartung an schnelle Antworten:
„Wir haben den Angriff frühzeitig erkannt, unsere Notfallpläne haben gegriffen und wir haben sofort Sicherheitsmaßnahmen ergriffen.“
Dieser Satz ist die zentrale betriebliche Einordnung – und er ist kein Schlussstrich. In demselben Gespräch betont Uick, eine abschließende Auskunft zum Datenabfluss sei „leider noch nicht möglich“. Sobald belastbare Erkenntnisse vorlägen, würden Betroffene proaktiv und unverzüglich informiert. Parallel seien Erstmaßnahmen ergriffen worden, um die IT weiter zu härten.
Das FAQ vom 21. Oktober löst diese offene Stelle teilweise auf, ohne sie zu schließen. Aus „ob Daten abgeflossen sind, ist ungeklärt“ wird: Die Angreifer haben Dateien erlangt, die personenbezogene Daten enthalten können, und drohen mit Veröffentlichung. Die Forensik läuft weiter. Mögliche Betroffene bekommen vorsorglich ein Schreiben. Das ist der Übergang vom IT-Notfall zur datenschutzrechtlichen Benachrichtigung – und genau der Schritt, den viele Organisationen unterschätzen, weil der Betrieb optisch „normal“ aussieht.
Welche Systeme kompromittiert wurden, haben die Kliniken öffentlich nicht genannt. Der Umstand, dass Aufnahme, Versorgung, Telefon und E-Mail weiterlaufen, erlaubt keine sichere technische Schlussfolgerung. Es kann bedeuten, dass klinische Kernsysteme getrennt oder schnell isoliert wurden. Es kann auch bedeuten, dass die Angreifer ihr Ziel in Dateibeständen suchten, nicht im klinischen Echtzeitbetrieb. Beides ist aus den öffentlichen Angaben nicht zu entscheiden.
Welche Daten in den Schreiben stehen – und was das nicht beweist
Das FAQ ist hier ungewöhnlich klar, und es bleibt vorsichtig. Ein Schreiben zu erhalten heißt: Die Daten können nach derzeitigem Kenntnisstand in den betroffenen Beständen enthalten sein. Es heißt nicht, dass sie missbraucht oder veröffentlicht wurden. Die Auswertung ist nicht abgeschlossen; ergeben sich weitere Betroffene, sollen auch sie benachrichtigt werden. Wer unsicher ist und kein Schreiben hat, kann über die Kontaktstelle Auskunft nach Artikel 15 DSGVO verlangen.
Der angesprochene Zeitraum für Patientinnen und Patienten beginnt am 1. Januar 2026. Erfasst sind stationäre und ambulante Behandlungen, sofern die Daten in den betroffenen Beständen liegen können. Dazu kommen aktuelle und ehemalige Beschäftigte sowie Bewerbende. Mehrere Schreiben an dieselbe Person sind möglich, wenn jemand mehrfach behandelt wurde oder zugleich als Patientin oder Patient und als Mitarbeitende erfasst ist; der Inhalt sei dann derselbe. Schreiben können auch an bereits verstorbene Personen gehen: Wegen der großen Zahl und der unverzüglichen Benachrichtigung konnten die Kliniken vor dem Versand nicht in jedem Einzelfall feststellen, ob die angeschriebene Person noch lebt. Auch Daten Verstorbener, so das FAQ, können für Identitätsmissbrauch oder Betrug, etwa im Zusammenhang mit Angehörigen oder dem Nachlass, genutzt werden.
Zu den möglichen Datenarten nennt das FAQ eine beispielhafte, nicht abschließende Liste. Bei Patientinnen und Patienten können Stamm- und Kontaktdaten, Behandlungs- und Pflegedokumentation, Medikationsdaten sowie Versicherungs- und Abrechnungsdaten betroffen sein. Bei Mitarbeitenden und Bewerbenden können Personal- und Bewerbungsunterlagen hinzukommen. Der Einzelfall sei noch nicht abschließend feststellbar. Eine Gesamtzahl der angeschriebenen Personen veröffentlichen die Kliniken nicht.
Diese Kategorien solltest du nicht zu einem nachgewiesenen Abfluss vollständiger Krankenakten verkürzen. Die Kliniken selbst wählen das Wort „können“. Gleichzeitig gehört Behandlungs- und Pflegedokumentation zu den besonders geschützten Gesundheitsdaten. Allein die Möglichkeit reicht für die vorsorgliche Information nach Artikel 34 – und für das Risiko glaubwürdiger Betrugsversuche. Das FAQ warnt genau davor: Daten könnten für E-Mails, Anrufe oder Briefe genutzt werden, die persönlich wirken, etwa im Namen der Kliniken, der Krankenkasse oder einer Bank. Möglich seien auch Identitätsmissbrauch und Erpressungsversuche. Diese Folgen müssten nicht eintreten.
Die Kliniken sagen zugleich, sie würden im Zusammenhang mit dem Vorfall weder telefonisch noch per E-Mail nach Passwörtern, Bankdaten, Gesundheitsdaten oder Zahlungen fragen und keine Links zur „Überprüfung“ der Daten versenden. Wer erpresst wird oder eine verdächtige Nachricht erhält, soll die Nachricht sichern und sich an die örtliche Polizei wenden.
Zeitstrahl des Ablaufs
5. Oktober 2026:
Die Kreiskliniken stellen nach eigener Angabe einen kriminellen Cyberangriff auf ihre IT-Systeme fest. Quelle: FAQ, Stand 21.10.2026.Donnerstag, 8. Oktober 2026, Abend:
Öffentliche Mitteilung des Eigenbetriebs. Uick beschreibt frühe Erkennung und greifende Notfallpläne. Versorgung an beiden Standorten vollständig arbeitsfähig, Telefon und E-Mail gewährleistet. Datenabfluss und Einfallsweg noch offen. Meldungen an HBDI, BSI und HLKA, Strafanzeige. Quelle: HNA und die inhaltsgleiche Meldung der WLZ, 8.10.2026, 17:45 Uhr. Am 9. Oktober greifen Fachmedien den Bericht auf, darunter derimeter und mydrg.21. Oktober 2026:
Aktualisiertes FAQ für Betroffene. Die Kliniken gehen nun davon aus, dass Angreifer Dateien mit möglichen personenbezogenen Daten erlangt haben und mit Veröffentlichung drohen. Forensik läuft. Schriftliche Information nach Art. 34 DSGVO, Beschreibung möglicher Datenarten und des Adressatenkreises, keine Hinweise auf eine bereits erfolgte Veröffentlichung. Quelle: FAQ der Kreiskliniken, Stand 21.10.2026. Derselbe Text steht auch auf anderen Seiten des Klinik-Auftritts, etwa auf der Startseite.12. November 2026:
Eine spätere öffentliche Aktualisierung des FAQ über den Stand 21. Oktober hinaus liegt bei dieser Recherche nicht vor. Ob die Forensik abgeschlossen ist, wie viele Schreiben versandt wurden und ob sich an der Bewertung der Daten etwas geändert hat, ist öffentlich nicht belegt.
Was heißt das für dein Unternehmen?
Der Fall spielt in zwei kommunalen Krankenhäusern, das Muster gilt weit darüber hinaus: Ein Angriff kann den Betrieb verschonen und trotzdem ein schwerer Datenschutzvorfall sein.
- 1.
Notfallpläne müssen vor dem Angriff existieren – und geübt sein.
Uick kann sagen, die Pläne hätten gegriffen, weil es sie gab. In deinem Unternehmen sollte festliegen, wer über eine Netztrennung entscheidet, wie der Kerngeschäftsbetrieb ohne die übliche IT weiterläuft, wer BSI, Datenschutzaufsicht und Polizei informiert und welcher externe Forensikpartner schon vertraglich gebunden ist. Ein Plan, der nur auf dem Server liegt, der gerade ausfällt, ist keiner. - 2.
Früherkennung ist der Unterschied zwischen einem Vorfall und einem Ausfall.
Die Kliniken führen die laufende Versorgung auch auf die frühe Entdeckung zurück. Wer Angreifer erst bemerkt, wenn Systeme verschlüsselt sind, hat die Phase verpasst, in der sich noch etwas isolieren lässt. Überwache ungewöhnliche Datenkopien, privilegierte Zugänge und ungewöhnliche Anmeldungen – nicht nur den Moment, in dem Dateien unlesbar werden. - 3.
„Der Betrieb läuft“ ist nicht dasselbe wie „keine Daten betroffen“.
Am 8. Oktober stand die arbeitsfähige Versorgung im Vordergrund, die Datenfrage blieb offen. Am 21. Oktober sind mögliche Behandlungsdaten und eine Veröffentlichungsdrohung das eigentliche Thema, während Aufnahme und Termine weitergehen. Plane beides getrennt: den Notbetrieb und die Auswertung, welche Bestände die Angreifer erreicht haben. - 4.
Die Benachrichtigung nach Artikel 34 muss vorbereitet sein.
Die Kliniken schreiben vorsorglich, auch an Verstorbene, auch mehrfach, und erklären, warum. Das setzt Adressen, eine klare Absenderzeile und einen Text voraus, der keine Passwörter und keine Links verlangt. Ohne diese Vorbereitung bleibt nach einem Fund in Dateibeständen nur eine pauschale Website-Meldung. - 5.
Gesundheits- und Bewerbungsdaten machen glaubwürdiges Phishing besonders gefährlich.
Wer Behandlungszeitraum, Medikation oder eine Bewerbung kennt, klingt wie das Krankenhaus oder die Krankenkasse. Lege fest, dass ihr im Vorfall niemals ungefragt per Telefon oder Mail nach Kennwörtern, Kontodaten oder Gesundheitsdaten fragt – und schreib das den Betroffenen auch. Die Kreiskliniken tun genau das. - 6.
Den Einfallsweg später nachziehen, aber die Härtmittel nicht aufschieben.
Die Kliniken nennen den Weg der Angreifer öffentlich nicht und haben nach eigener Aussage bereits Erstmaßnahmen zur Härtung ergriffen. In deinem Unternehmen sollten privilegierte Konten, Fernwartung, Backups und Netztrennung nicht warten, bis die Forensik jeden Schritt rekonstruieren kann.
Wenn du prüfen willst, wie gut in deinem Unternehmen Erkennung, Notfallpläne und die Trennung zwischen Betrieb und schutzbedürftigen Daten wirklich aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der Kreiskliniken Kassel zeigt vor allem eines: Ein Angriff, den Patientinnen und Patienten kaum merken, kann trotzdem genau die Daten treffen, um derentwillen ein Krankenhaus besonders geschützt werden muss.
Häufige Fragen
Quellen
- Kreiskliniken Kassel: Cyber-Angriff auf die Kreiskliniken Kassel – Fragen und Antworten für Betroffene, Stand 21.10.2026. Offizielle Darstellung zu Feststellung am 5. Oktober, möglichen Daten, Veröffentlichungsdrohung, Art.-34-Schreiben, Adressatenkreis und Kontaktstelle. Derselbe Text erscheint auch auf der Startseite und weiteren Unterseiten.
- Hessische/Niedersächsische Allgemeine: Kreiskliniken Kassel von kriminellem Cyber-Angriff getroffen, 8.10.2026, 17:45 Uhr. Erste öffentliche Berichterstattung mit Aussagen von Betriebsleiter Silvan Uick.
- WLZ: Kreiskliniken Kassel von kriminellem Cyber-Angriff getroffen, 8.10.2026, 17:45 Uhr. Inhaltsgleiche Fassung derselben Meldung (Ippen-Netzwerk).
- derimeter: Cyberangriff auf Kreiskliniken Kassel: Versorgung läuft weiter, 9.10.2026, 8:07 Uhr. Einordnung der Erstmitteilung, bevor das FAQ vom 21. Oktober die Datenlage präzisierte.
- mydrg: Kreiskliniken Kassel von Cyberangriff getroffen, 9.10.2026. Kurzer Hinweis auf die HNA-Berichterstattung.
