Charité bestätigt Datenabfluss nach Angriff auf Webserver
Kontaktdaten von Mitarbeitenden, Studierenden und externen Personen wurden entwendet. Die Krankenversorgung läuft laut Klinik ohne Beeinträchtigung weiter.
Bei einem Cyberangriff auf einen Webserver der Berliner Charité sind personenbezogene Kontaktdaten abgeflossen. Betroffen sind Mitarbeitende, Studierende und externe Personen, die sich über das Kontaktformular an die Universitätsmedizin gewendet hatten, etwa für einen Termin. Die Klinik bestätigte den Vorfall am 30. Oktober. Nach ihrer Darstellung war und ist die Krankenversorgung nicht beeinträchtigt.
Die Charité kündigte an, sämtliche Betroffenen individuell zu informieren. Sie habe die Ursache analysiert, ihre Schutzmassnahmen verstärkt und stehe mit Aufsichts- und Ermittlungsbehörden in engem Austausch. Wer hinter dem Angriff steckt und wie der Zugriff technisch gelang, geht aus dieser öffentlichen Mitteilung nicht hervor.
Ein Kontaktformular kann mehr enthalten als eine Adresse
Die Bezeichnung Kontaktdaten klingt nach einem begrenzten Schaden. Bei einer Klinik ist allerdings auch der Anlass einer Kontaktaufnahme relevant. Nach dem Bericht von Medinside vom 2. November konnten Personen im Freitextfeld des Formulars medizinische Probleme schildern. Ob und welche solchen Inhalte tatsächlich abgeflossen sind, wird durch die knappe öffentliche Mitteilung der Charité nicht im Einzelnen aufgeschlüsselt.
Das Fachmedium nennt unter Berufung auf das «Deutsche Ärzteblatt» insgesamt rund 140’000 Betroffene: etwa 46’000 Mitarbeitende und Studierende, 1500 Kontakte für Presse- und Newsletterverteiler sowie 90’000 Nutzende des Kontaktformulars. Die Charité selbst nennt in ihrer veröffentlichten Erklärung keine Gesamtzahl. Die gerundete Grössenordnung aus dem Medienbericht ist deshalb von einer vollständigen, öffentlich überprüfbaren Liste zu unterscheiden.
Ein ungestörter Behandlungsbetrieb beantwortet zudem eine andere Frage als der Schutz persönlicher Angaben. Die Klinik kann Patientinnen und Patienten weiter versorgen, während ein Datenabfluss dennoch Betroffene gefährdet. Aus der Aussage zum Betrieb folgt keine Entwarnung für die Vertraulichkeit der entwendeten Informationen.
Die zuvor gemeldete PHP-Lücke ist ein anderer Vorgang
Die Charité grenzt den Angriff ausdrücklich von einer PHP-Sicherheitslücke ab. Wegen dieser Lücke hatte sie ihre Website bereits in der Vorwoche zeitweise vorsorglich offline genommen. Ein Zusammenhang mit dem jetzt bestätigten Datenabfluss bestehe nicht, erklärt die Klinik.
Damit ist die frühere Abschaltung keine belegte Erklärung des jüngsten Angriffs. Ebenso wenig lässt die öffentliche Mitteilung einen Schluss auf verschlüsselte klinische Systeme oder ausgefallene medizinische Geräte zu. Bestätigt ist ein Angriff auf den Webserver, auf dem auch die Website gehostet wird.
Für eine Klinik sind das getrennte Aufgaben: den Behandlungsbetrieb sichern, den Umfang abgeflossener Daten bestimmen und die Betroffenen informieren. Welche technischen Gegenmassnahmen im konkreten Fall ausgereicht haben, lässt sich aus einer allgemeinen Mitteilung über verstärkte Schutzvorkehrungen noch nicht beurteilen.
In der Schweiz bestehen zwei unterschiedliche Meldewege
Schweizer Einrichtungen, die unter die Meldepflicht für kritische Infrastrukturen fallen, müssen relevante Cyberangriffe dem Bundesamt für Cybersicherheit (BACS) innerhalb von 24 Stunden nach der Entdeckung melden. Die Regel gilt seit dem 1. April 2025. Fehlen bei der ersten Meldung noch Angaben, können diese innerhalb von 14 Tagen vervollständigt werden.
Für die Meldepflicht ist ein Betriebsstillstand nicht zwingend. Das BACS nennt ausdrücklich auch Angriffe, die Informationen abfliessen lassen oder manipulieren, sowie Erpressung, Drohung oder Nötigung. Ein Datenabfluss kann deshalb relevant sein, obwohl die Versorgung weiterläuft. Ob eine bestimmte Einrichtung unter die Pflicht fällt, richtet sich nach dem Informationssicherheitsgesetz und den Ausnahmen der Cybersicherheitsverordnung.
Daneben steht die datenschutzrechtliche Meldung. Nach dem eidgenössischen Datenschutzrecht müssen Verantwortliche eine Datensicherheitsverletzung so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten melden, wenn voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte Betroffener entsteht. Eine Meldung ans BACS ersetzt diese Prüfung nicht.
Die zuständige Datenschutzaufsicht ist bei Spitälern nicht überall dieselbe. Der EDÖB hält fest, dass für Krankengeschichten privater Kliniken das Bundesrecht gilt, für solche von Spitälern mit kantonalem Leistungsauftrag dagegen das jeweilige kantonale Datenschutzrecht. Eine einheitliche Meldeadresse für sämtliche Schweizer Kliniken wäre daher irreführend.
Betroffene brauchen eine konkrete Auskunft
Für Personen, deren Angaben abgeflossen sind, zählt insbesondere, welche Informationen betroffen sind und welche Schutzschritte nötig werden. Im Anwendungsbereich des Bundesdatenschutzrechts müssen Verantwortliche sie informieren, wenn dies zu ihrem Schutz erforderlich ist oder die Aufsicht es verlangt. Die Charité hat eine individuelle Benachrichtigung angekündigt. Diese muss nun die allgemeinen Angaben zum Webserver-Vorfall für die einzelnen Betroffenen konkretisieren.
Quellen
- Charité: Mitteilung zum Webserver-Angriff, 30. Oktober 2026
- BACS: Meldepflicht für kritische Infrastrukturen
- BACS: Welche Angriffe gemeldet werden müssen
- BACS: Geltungsbereich der Meldepflicht
- EDÖB: Meldung von Datensicherheitsverletzungen
- EDÖB: Datenschutzfragen zu Krankengeschichten und Spitälern
- Medinside: Datenabfluss bei der Charité, 2. November 2026
- Titelbild: Vysotsky, Bearbeitung Lear 21, Charité 2022, Wikimedia Commons
- Titelbild-Lizenz: CC BY-SA 4.0
- Artikelbild: Derrick Coetzee, Server bei NERSC, Wikimedia Commons
- Artikelbild-Lizenz: CC0 1.0
