IT-Sicherheit · Analyse
Wenn schon der Name die Diagnose verrät: Der Cyberangriff auf SINOVO und mylife
Am 3. September 2026 wird die SINOVO health solutions GmbH in Bad Vilbel Ziel eines Cyberangriffs. SINOVO betreibt nach Angaben von mylife Diabetes Care den Server, auf dem die Benutzerkonten für die mylife App und die mylife Cloud verwaltet werden. Der Dienstleister bestätigt, dass auf Kontodaten zugegriffen und diese teilweise kopiert wurden. Der Angreifer hat mit der Veröffentlichung der Daten gedroht. Der Vorfall wurde den zuständigen Datenschutzbehörden gemeldet.
Diese Darstellung steht nicht auf einer zum Stand dieser Recherche noch erreichbaren Mitteilungsseite von SINOVO oder mylife. Sie stützt sich auf Betroffeneninformationen, die mylife Diabetes Care an Nutzende und an medizinisches Fachpersonal verschickt hat: eine Nutzermitteilung, die Borns IT- und Windows-Blog am 25. September 2026 mit einem Leser-Screenshot dokumentiert, und ein Schreiben an Gesundheitsfachpersonen, das am 10. September vollständig in einem Beitrag im Forum Insulinclub zitiert wird. Die Cyber Security Academy stellt am 2. Oktober fest, eine Primärmitteilung von Ypsomed oder SINOVO sei bei ihrem Redaktionsschluss nicht auffindbar gewesen.
Der Fall ist ein Lehrstück über Gesundheitsdaten, die nicht wie eine Diagnose aussehen – und es trotzdem sind. Schon Name, Geburtsdatum und E-Mail, zusammen mit der Information, dass das Konto zu einer Diabetes-App gehört, können verraten, dass jemand eine Diabetestherapie verwaltet. Genau das schreibt mylife selbst in die möglichen Folgen. Für Praxen, die Patientendaten in die Cloud hochgeladen haben, kommt hinzu, dass mylife keinen direkten Kanal zu diesen Patientinnen und Patienten hat. Genau das solltest du dir merken, wenn ein Dienstleister die Konten deiner Gesundheitsanwendung betreibt.
Zwei Schreiben, ein Dienstleister
mylife Diabetes Care, von Borncity als früher Ypsomed Diabetes Care beschrieben, ist ein in der Schweiz ansässiger Anbieter für Diabetesmanagement. SINOVO health solutions GmbH sitzt nach eigenen Angaben in der Willy-Brandt-Straße 4 in Bad Vilbel und entwickelt unter anderem Software im Gesundheitsbereich. In diesem Fall ist SINOVO der IT-Dienstleister, der den Kontenserver betreibt. Der Angriff trifft also nicht zuerst die nach außen sichtbare App, sondern den Dienstleister dahinter.
Das Fachpersonalschreiben, im Insulinclub am 10. September von einem Nutzer unter der Überschrift „Wichtige Informationen für medizinisches Fachpersonal: Sicherheitsvorfall bei unserem IT-Dienstleister SINOVO“ vollständig zitiert, richtet sich an Gesundheitsfachpersonen. Für deren Organisation betreffe der Vorfall das Mitarbeiterkonto, das mit der E-Mail-Adresse verknüpft sei, sowie möglicherweise Patientendaten. Patientinnen und Patienten mit einem eigenen Konto seien separat informiert worden. Der Forumsnutzer merkt an, er sei kein Fachpersonal und habe die Mail erhalten, weil er sich ein Cloud-Konto eingerichtet habe.
Die Nutzermitteilung, deren Screenshot Borncity vorliegt und die er auf den 10. September datiert, beschreibt denselben Angriff aus der Sicht der Konteninhaberinnen und -inhaber. Sie ergänzt die Kontodaten um die technischen Protokolle. Beide Texte stimmen in den Kernpunkten überein: Datum des Angriffs, Dienstleister SINOVO, teilweise kopierte Kontodaten, Veröffentlichungsdrohung, Meldung an die Aufsicht, was nicht auf dem Server lag, verschlüsselte und nach Kenntnisstand nicht abgerufene Passwörter, weiterhin funktionierende Anwendung, Passwortänderung über den bekannten Weg.
Eine später noch erreichbare Originalseite dieser Mitteilungen auf den Websites von mylife oder SINOVO wurde bei dieser Recherche ebenso wenig gefunden wie in der Auswertung der Cyber Security Academy Anfang Oktober. Die SINOVO-Newesseite führt den Vorfall zum Stand dieser Recherche nicht auf. Das mindert nicht den Aussagewert der verschickten Schreiben, macht aber die unabhängige Dokumentation durch Borncity und das Forum zur maßgeblichen öffentlichen Quelle.
„Sollten die Daten veröffentlicht werden, könnte daraus außerdem hervorgehen, dass betroffene Patienten eine Diabetes-App oder ein Portal zur Verwaltung ihrer Diabetestherapie nutzen.“
Dieser Satz ist die datenschutzrechtliche Mitte des Falls. Schon die Zugehörigkeit zu dieser Anwendung ist eine Gesundheitsinformation. Eine Veröffentlichung von Namen und Geburtsdaten allein wäre ein Problem; zusammen mit dem Kontext der App wird daraus ein Hinweis auf eine Diabetestherapie.
Was kopiert wurde – und was bewusst nicht auf dem Server lag
Die Kontodaten sind klar umrissen: Vor- und Nachname, Geburtsdatum, E-Mail. Für Praxen, die Patientendaten in die Cloud hochgeladen haben, können dieselben Angaben der Patientinnen und Patienten betroffen sein. Das Fachpersonalschreiben nennt nicht die technischen Protokolle; die Nutzermitteilung tut es. Dort heißt es laut Borncity, diese Protokolle könnten begrenzte therapiebezogene Einträge enthalten, zum Beispiel Bolusdaten oder Werte der kontinuierlichen Glukosemessung. Sie seien pseudonymisiert und für Support und Fehlerbehebung bestimmt.
Diese Unterscheidung solltest du nicht zu einer Entwarnung verkürzen und nicht zu einer vollständigen Krankenakte aufblasen. Vollständige Therapietagebücher und vollständige Glukoseaufzeichnungen liegen nach beiden Schreiben nicht auf dem betroffenen Server. Begrenzte Einträge in Support-Protokollen können trotzdem therapiebezogen sein. Ob Pseudonymisierung noch schützt, wenn dieselben Protokolle auf einem Server mit Namen, Geburtsdatum und E-Mail liegen, beantwortet die Mitteilung nicht. Die Cyber Security Academy weist genau auf diese Frage hin: Wenn beides auf einem Server liegt, trage die Pseudonymisierung bei einem Diebstahl meist nicht.
Postadressen und Zahlungsdaten seien ebenfalls nicht auf dem angegriffenen Server gespeichert. Passwörter ausschließlich verschlüsselt, nach derzeitigem Kenntnisstand nicht abgerufen. Die Anwendung selbst blieb erreichbar; der betroffene Server bei SINOVO wurde neu aufgebaut.
Die möglichen Folgen, die mylife selbst nennt, liegen vor allem in der Kommunikation danach. Die abgerufenen Informationen könnten benutzt werden, um betrügerische E-Mails, Nachrichten oder Anrufe zu versenden, die scheinbar von mylife, von der Organisation oder von einem anderen vertrauenswürdigen Absender stammen und sich auf die Nutzung der Dienste oder auf die Therapie beziehen. Genau deshalb lautet die Bitte, das Passwort über die Funktion im System zu ändern und nicht auf Links in unerwarteten Mails zu klicken.
Für Organisationen kommt eine Pflicht hinzu, die mylife ihnen nicht abnimmt. Sie sollen unverzüglich prüfen, ob nach dem anwendbaren Datenschutzrecht eine Melde- oder sonstige Verpflichtung besteht. Angesichts der Art der Informationen und der Veröffentlichungsdrohung empfehle man, das zeitnah zu tun. Und weil mylife zu Patientinnen und Patienten ohne eigenes Konto keinen direkten Kommunikationskanal hat, müsse die Organisation sie gegebenenfalls selbst benachrichtigen.
Zeitstrahl des Ablaufs
3. September 2026:
Nach den Betroffeneninformationen Angriffsdatum bei SINOVO; Zugriff auf Kontodaten, teilweise Kopie. Quellen: Fachpersonalschreiben; Borncity.10. September 2026:
Datum der Nutzermitteilung nach Borncity. Am Abend desselben Tages zitiert ein Nutzer im Insulinclub das Schreiben an medizinisches Fachpersonal vollständig. Quellen: Insulinclub; Borncity.13. September 2026:
Eine Leserin schickt Borncity den Screenshot der Nutzermitteilung. Quelle: Borncity, 25.9.2026.25. September 2026:
Borncity veröffentlicht den Vorfall und die Auswertung der Mitteilung. Quelle: Borncity.2. Oktober 2026:
Die Cyber Security Academy fasst den Fall in ihrem Daily Briefing zusammen, stützt sich auf Borncity und stellt fest, eine Primärmitteilung von Ypsomed oder SINOVO sei bei Redaktionsschluss nicht auffindbar. Quelle: Cyber Security Academy, Daily Briefing, 2.10.2026.
Ob und wo Daten tatsächlich veröffentlicht wurden, ist in den ausgewerteten Quellen nicht belegt. Der Einfallsweg, eine Tätergruppe und eine Zahl der Betroffenen bleiben in den Mitteilungen ungenannt. Eine spätere offizielle Fortschreibung von SINOVO oder mylife wurde bei dieser Recherche nicht gefunden.
Was heißt das für dein Unternehmen?
Der Angriff trifft einen deutschen IT-Dienstleister einer Diabetes-Anwendung, das Muster gilt für jede Organisation, die Gesundheits- oder Kundendaten bei einem Betreiber von Konten und Cloud-Diensten liegen hat.
- 1.
Der Kontenserver ist Teil deines Produkts, auch wenn ein anderer ihn betreibt.
SINOVO verwaltet die Konten, mylife informiert die Betroffenen. In deinem Unternehmen musst du wissen, welcher Dienstleister Stammdaten, Protokolle und Support-Logs hält, und das vertraglich so festlegen, dass du im Vorfall sofort informiert wirst, den Kreis der Betroffenen beschreiben kannst und weißt, was neu aufgesetzt wurde. - 2.
Schon die Zugehörigkeit zu einer Gesundheitsanwendung ist eine sensible Information.
mylife sagt das selbst: Eine Veröffentlichung könnte zeigen, dass jemand eine Diabetes-App nutzt. In deiner Risikoanalyse reicht es nicht, „nur Name und E-Mail“ als unkritisch abzuhaken, wenn der Kontext die Diagnose trägt. Artikel 9 der DSGVO denkt in genau dieser Richtung. - 3.
Pseudonymisierte Protokolle gehören nicht neben die Klarnamen.
Wenn Support-Logs begrenzte Therapiedaten enthalten und auf demselben Server wie Name, Geburtsdatum und E-Mail liegen, wird aus einer Pseudonymisierung leicht eine zuordenbare Information. Trenne diese Bestände, prüfe, welche Einträge ein Log wirklich braucht, und behandle die Kombination als Gesundheitsdatensatz. - 4.
Was nicht auf dem getroffenen Server liegt, musst du vorher entschieden haben.
Vollständige Tagebücher, vollständige Glukoseaufzeichnungen, Postadressen und Zahlungsdaten waren nach der Mitteilung woanders. Das ist die richtige Architektur: Nicht alles, was die Anwendung kennt, gehört auf den Kontenserver. Diese Trennung muss vor dem Vorfall stehen, nicht als Erklärung danach. - 5.
Die Benachrichtigung der Endbetroffenen nicht dem Hersteller allein überlassen.
mylife sagt den Praxen klar, dass es zu Patientinnen und Patienten ohne eigenes Konto keinen direkten Kanal hat. Wenn dein Unternehmen Daten in eine Fachanwendung lädt, brauchst du vorab einen Plan, wie du diese Menschen selbst erreichst, und eine Prüfung deiner eigenen Meldepflichten. Die Meldung des Dienstleisters an die Aufsicht ersetzt das nicht. - 6.
Das Passwort über den bekannten Weg ändern lassen, nicht über einen Link in der Mail.
Genau das empfiehlt mylife. Baue diesen Weg in deine Betroffeneninformation ein, und warne vor gefälschten Mails, die sich auf die Therapie oder den Vorfall beziehen. Wer dieselbe Kombination aus E-Mail und Passwort woanders nutzt, soll sie auch dort ändern.
Wenn du prüfen willst, wie gut in deinem Unternehmen Dienstleister für Gesundheits- oder Kundendaten, die Trennung von Konten und Protokollen und die Benachrichtigung Betroffener aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall SINOVO und mylife zeigt vor allem eines: Ein angegriffener Kontenserver reicht, und schon der Name in der richtigen Anwendung erzählt die Diagnose mit.
Häufige Fragen
Quellen
- Insulinclub-Forum: myLife App&Cloud Nutzerdaten abgeflossen / Dienstleister gehacked, Beitrag vom 10.9.2026, 22:53 Uhr. Vollständiges Zitat des Schreibens von mylife Diabetes Care an medizinisches Fachpersonal.
- Borns IT- und Windows-Blog: Cyberangriff auf mylife App und mylife Cloud (Diabetes-Care), 25.9.2026, Günter Born. Auswertung der Nutzermitteilung vom 10. September auf Grundlage eines Leser-Screenshots.
- Cyber Security Academy: Daily Briefing, 2. Oktober 2026. Zusammenfassung auf Grundlage von Borncity, Hinweis, dass eine Primärmitteilung von Ypsomed oder SINOVO bei Redaktionsschluss nicht auffindbar war.
- SINOVO health solutions GmbH: News von SINOVO und Impressumsangaben der Website (Sitz Willy-Brandt-Straße 4, 61118 Bad Vilbel). Angaben zum Unternehmen, zum Stand dieser Recherche ohne eigene öffentliche Vorfallsmeldung.
- tsecurity.de: Cyberangriff auf mylife App und mylife Cloud (Diabetes-Care), 25.9.2026. Weiterveröffentlichung des Borncity-Beitrags.
- KonBriefing: Cyberangriffe Deutschland aktuell. Eintrag zum Vorfall bei SINOVO / mylife am 3. September 2026.
