Der Hackerangriff auf den Abrechnungsdienstleister Unimed ist mehr als ein IT‑Vorfall, meint Christoph Schäfer. Er offenbart ein strukturelles Systemversagen: die riskante Konzentration hochsensibler Patientendaten bei einzelnen Dienstleistern.
1086 ließ Wilhelm der Eroberer England vermessen. Jedes Stück Land, jeder Besitzstand und jede Steuerschuld erfasste er in einem Buch: dem Doomsday Book. Wer das Buch kontrollierte, kontrollierte das Königreich. Wäre es verbrannt, wäre mit ihm das gesamte Wissen über Besitz und Herrschaft verschwunden. Wilhelm hielt es für einen Ausdruck von Stärke, alle Informationen an einem Ort zu bündeln. Eigentlich war es eher eine Sollbruchstelle.
940 Jahre später, Mitte April 2026, drangen Angreifer in die IT-Systeme des Unimed Abrechnungsservices ein. Das Unternehmen rechnet Wahlleistungen und privatärztliche Leistungen für eine Vielzahl von Kliniken ab – ein modernes Doomsday Book des Gesundheitswesens, denn für die Abrechnung benötigt die Unimed Diagnosen, Behandlungsverläufe und IBAN von Patienten der auftraggebenden Kliniken. In der Berichterstattung hieß es indes, „nur“ Privatpatienten und Selbstzahler seien betroffen – letztlich die spannendste Patientengruppe für Hacker.
Von dem digitalen Einbruch sind, wenn man die zugänglichen Informationen der betroffenen Kliniken zusammenzählt, weit über 100.000 Patienten betroffen, wenn auch das ganze Ausmaß noch nicht klar ist. Dies ist der größte Datenschutzvorfall, den das deutsche Gesundheitswesen je erlebt hat. Die Angreifer hatten ein leichtes Spiel. Sie mussten nicht aufwendig in zig Krankenhaus-IT-Infrastrukturen einbrechen. Nein, sie konnten anhand der Referenzen auf der Unimed-Homepage, die sich wie das Who’s Who der deutschen Krankenhauslandschaft las und inzwischen offline ist, ihr lohnendes Angriffsziel ausmachen.
Schuld an dem immensen Schaden trägt nicht allein Unimed, sondern die Struktur, die diesen Schaden überhaupt erst möglich machte. Der ökonomische Druck der vergangenen Jahrzehnte hat Kliniken systematisch dazu getrieben, spezialisierte Leistungen auszulagern, um Skaleneffekte zu nutzen und Kosten zu senken bei Abrechnung, IT-Betrieb, Labordiensten und vielem mehr. Im Ergebnis entstand ein System, in dem ein einziger privater Dienstleister intimstes Wissen über eine Vielzahl von Patienten verwaltet, ohne dass irgendjemand diese Konzentration explizit beschlossen, bewertet oder reguliert hätte.
Wilhelm wusste, was er tat. Das deutsche Gesundheitswesen hat sein Doomsday Book erschaffen, ohne es zu merken. Grund ist ein strukturelles und regulatorisches Systemversagen. Die DSGVO schreibt Auftragsverarbeitungsverträge vor, Datenschutzfolgeabschätzungen, technische und organisatorische Maßnahmen. All das lag natürlich vor. Und trotzdem blieb die entscheidende Frage ungestellt: Was passiert, wenn diese Sollbruchstelle bricht? Konzentrationsrisiken dieser Art werden im Finanzsektor seit 2008 als systemische Risiken reguliert: Wer zu groß ist, um ausfallen zu dürfen, darf nicht so verwundbar sein. Im Gesundheitswesen fehlt diese Denkweise bislang. Datenschutz verlangt unverzügliche Transparenz, damit Betroffene sich schützen können: Konten sperren, sich auf Phishing vorbereiten, wachsam bleiben. Fünf Wochen nach einem Vorfall ist vielleicht etwas zu spät.
Wilhelm der Eroberer glaubte, ein zentrales Register sei ein Zeichen von Kontrolle. Zugleich hätte es jeder, der stark genug war, stehlen können – das passierte allerdings nie. Heute liegt es im britischen Nationalarchiv. So viel Glück hatten die Patientendaten leider nicht.
