Source: Deutsche Nachrichten
Gesundheitsdaten: das sensibelste Ziel – und ein Risiko von innen
Kein anderer Sektor verwaltet derart sensible personenbezogene Daten wie das Gesundheitswesen: Diagnosen, Medikationspläne, psychische Erkrankungen oder genetische Informationen. Genau das macht Kliniken, Pflegeeinrichtungen und Gesundheitsdienstleister zu einem besonders lohnenden Ziel – nicht nur für externe Angreifer, sondern auch für Risiken, die von innen entstehen: durch Mitarbeitende, externe Dienstleister oder Abrechnungsstellen mit Zugriff auf Patientendaten.
Aktuelle Zahlen: Der Faktor Mensch bleibt zentral
Der aktuelle „Data Breach Investigations Report 2026″ von Verizon bestätigt das Ausmaß für die Gesundheitsbranche weltweit: Von 1.492 untersuchten Sicherheitsvorfällen im Gesundheitswesen führten 1.438 zu einer bestätigten Offenlegung von Daten. Interne Akteure waren an 19 Prozent dieser Vorfälle beteiligt, der menschliche Faktor – etwa Fehlversand von Daten, Verlust von Geräten oder Fehlkonfigurationen – spielte bei 54 Prozent aller Vorfälle eine Rolle. Dritte, etwa externe Dienstleister, waren zusätzlich an rund 32 Prozent der Datenschutzverletzungen im Gesundheitswesen beteiligt.
Deutschland: Wenn der Zugriff über Dritte zum Risiko wird
Auch in Deutschland zeigt sich, wie real dieses Risiko ist. Laut einer Analyse der Stiftung Wissenschaft und Politik (SWP) wurden zwischen 2022 und 2025 weltweit 351 schwerwiegende Cyberangriffe auf Gesundheitseinrichtungen registriert, wobei Datendiebstahl den größten Anteil der Fälle ausmacht. Ein aktuelles Beispiel: Im April 2026 wurde der Abrechnungsdienstleister Unimed Ziel eines Ransomware-Angriffs; die Verschlüsselung der Systeme konnte verhindert werden, Daten wurden jedoch zuvor entwendet. Ab Mai 2026 informierten zahlreiche deutsche Universitätskliniken – darunter Freiburg, Köln, Heidelberg, Düsseldorf und Mainz – ihre Privatpatientinnen und -patienten sowie Selbstzahler; Medienberichten zufolge sind inzwischen mehr als 100.000 Personen betroffen, eine offizielle Gesamtzahl liegt bislang nicht vor. Der Fall zeigt, dass nicht nur die eigene Belegschaft, sondern auch externe Dienstleister mit Datenzugriff ein zentraler Risikofaktor sind.
Validatos Antwort: Human Risk Management für das Gesundheitswesen
Validato empfiehlt Kliniken, Pflegeeinrichtungen und Gesundheitsdienstleistern in Deutschland ein rollenbasiertes Human Risk Framework: mit einem Pre-Employment-Screening für klinisches und administratives Personal vor dem ersten Zugriff auf Patientendaten, anlassbezogenen Prüfungen bei Rollen- und Zugriffswechseln sowie einer systematischen Überprüfung externer Dienstleister und Abrechnungsstellen, die Zugang zu sensiblen Systemen erhalten. Validato bietet dafür mehr als 18 einzeln wählbare Prüfmodule, liefert für die meisten Module Ergebnisse innerhalb von Minuten und ist nach ISO 27001 zertifiziert sowie durchgängig DSGVO-konform.
„Patientendaten gehören zu den sensibelsten Informationen überhaupt – umso wichtiger ist es, genau zu wissen, wer Zugriff darauf hat. Das gilt für die eigene Belegschaft genauso wie für externe Dienstleister und Abrechnungsstellen, die oft denselben Zugang erhalten, aber seltener überprüft werden.”
— Reto Marti, Managing Partner, Validato
Regulatorischer Druck wächst: NIS2 und KRITIS im Gesundheitswesen
Seit Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes im Dezember 2025 müssen auch Kliniken, Pflegeeinrichtungen und medizinische Versorgungszentren in Deutschland als Teil des Sektors Gesundheit Cybersicherheitsvorfälle innerhalb von 24 Stunden an das BSI melden. Ein systematisches Human Risk Management – von der Einstellung bis zum Austritt und einschließlich externer Dienstleister – wird damit vom Kür- zum Pflichtthema für Gesundheitseinrichtungen in Deutschland.