Wenn eine Praxis oder Klinik digital ausfällt, merken Patientinnen und Patienten das sofort: Termine werden verschoben, Befunde sind nicht erreichbar, Telefonleitungen überlastet, Rezepte verzögern sich. Cybersecurity klingt nach IT-Abteilung, hat aber konkrete Folgen für Versorgung, Datenschutz und Alltag.

Warum das Thema im August 2026 wichtig ist

Was offizielle Stellen dazu sagen

Das BSI veröffentlicht Lageinformationen und Hinweise zur Cyber-Sicherheitslage. Gesundheitseinrichtungen gehören wegen sensibler Daten und Versorgungsabhängigkeit zu besonders schützenswerten Bereichen. Für große Betreiber gelten besondere Anforderungen; kleinere Praxen bleiben trotzdem attraktive Ziele, weil dort Termine, Befunde, Rezepte und Abrechnungsdaten zusammenlaufen.

Was das für den Alltag bedeutet

Patientinnen und Patienten können die Systeme einer Klinik nicht absichern. Sie können aber ihre eigene digitale Spur verringern, Betrugsversuche erkennen und im Störfall vorbereitet sein. Besonders wichtig ist Skepsis bei E-Mails, SMS oder Anrufen, die angeblich wegen eines Datenlecks Zugangsdaten oder Gesundheitskarteninformationen verlangen.

Praktische Checkliste

Nutzen Sie für Krankenkassen-App, ePA und Patientenportale starke, eigene Passwörter.
Aktivieren Sie angebotene zweite Faktoren und speichern Sie Wiederherstellungscodes sicher.
Öffnen Sie Portale über bekannte Adressen, nicht über überraschende Links.
Bewahren Sie wichtige Befunde und Medikamentenlisten zusätzlich offline auf.
Fragen Sie bei Praxis-IT-Ausfall nach Ersatzwegen für dringende Rezepte und Befunde.

Datenschutz und Datensicherheit

Grenzen und typische Missverständnisse

Ein guter persönlicher Datenschutz verhindert keinen Angriff auf eine Einrichtung. Umgekehrt bedeutet eine technische Störung nicht automatisch, dass Daten abgeflossen sind. Wichtig ist, offizielle Informationen abzuwarten und nicht auf Paniknachrichten zu reagieren.

Praxisbeispiel

Ein realistischer Störfall: Das Patientenportal ist nicht erreichbar, kurz darauf kommt eine SMS mit einem Link zur angeblichen Wiederherstellung. Sicherer ist, die Praxis über bekannte Telefonnummer oder Website aufzurufen und keine Zugangsdaten über den Link einzugeben.

Fragen, die Sie vor der Nutzung stellen können

Was bei einem digitalen Ausfall für Patienten zählt

Ein Cyberangriff auf eine Praxis oder Klinik ist für Patientinnen und Patienten oft zuerst als Organisationsproblem sichtbar. Online-Termine verschwinden, Befunde können nicht geladen werden, Kartenterminals funktionieren eingeschränkt oder Mitarbeitende bitten um spätere Rückrufe. In dieser Lage hilft es, medizinische Dringlichkeit von Verwaltungsproblemen zu trennen. Akute Beschwerden gehören nicht in eine Warteschleife.

Vorbereitung beginnt mit Kopien der wichtigsten Informationen. Eine aktuelle Medikamentenliste, relevante Allergien, Implantate, letzte Krankenhausentlassung und Kontaktdaten behandelnder Praxen sollten nicht nur in einem Portal liegen. Ein sicher abgelegter Ausdruck oder eine lokal gespeicherte Datei kann im Störfall wertvoll sein. Es geht nicht um komplette Aktenordner, sondern um handlungsrelevante Mindestinformationen.

Betrugsversuche nutzen häufig echte Störungen aus. Nach Meldungen über Ausfälle können gefälschte SMS, E-Mails oder Anrufe folgen. Typisch sind Aufforderungen, Zugangsdaten zu bestätigen, Gesundheitskartendaten einzugeben oder angebliche Sicherheitsapps zu installieren. Seriöse Stellen werden solche Schritte nicht über überraschende Links erzwingen. Besser ist der Kontakt über bekannte Telefonnummern und Websites.

Patientenportale sollten wie Bankzugänge behandelt werden. Ein eigenes Passwort, ein zweiter Faktor und ein aktuelles Smartphone sind keine übertriebene Vorsicht. Wer dasselbe Passwort für Shopping, E-Mail und Krankenkassen-App nutzt, macht es Angreifern leichter. Besonders riskant sind gemeinsam genutzte Familiengeräte ohne getrennte Nutzerprofile.

Wenn eine Einrichtung einen Datenvorfall meldet, sollten Betroffene auf konkrete Hinweise achten: Welche Daten sind betroffen, welche Zeiträume, welche Schutzmaßnahmen, welche Kontaktstelle? Allgemeine Panik hilft nicht. Sinnvoll ist, Passwörter zu ändern, verdächtige Nachrichten zu sammeln und bei finanziellen oder Identitätsrisiken weitere Stellen einzuschalten. Gesundheitsdaten selbst lassen sich nicht einfach wie eine Kreditkarte sperren.

Für laufende Behandlungen ist die Frage nach Ersatzprozessen entscheidend. Wie werden dringende Rezepte ausgestellt? Wo können Laborwerte abgefragt werden? Gibt es Papierformulare? Welche Termine bleiben bestehen? Eine Praxis, die digital gestört ist, kann trotzdem medizinisch erreichbar sein. Umgekehrt ist ein funktionierendes Portal kein Ersatz für Notfallversorgung.

Pflegeheime und Angehörige sollten besonders auf Informationsketten achten. Wenn eine Klinik nicht digital senden kann, muss klar sein, wer Entlassinformationen erhält und an die Hausarztpraxis weitergibt. Ein fehlender Entlassbrief kann Auswirkungen auf Medikamente und Nachsorge haben. In solchen Situationen ist eine kurze telefonische Bestätigung oft wichtiger als das Warten auf ein Portal.

Auch nach Ende eines Vorfalls bleibt Nacharbeit. Prüfen Sie, ob neue Zugangsdaten eingerichtet wurden, alte Links noch funktionieren und gespeicherte Dokumente vollständig sind. Wenn Sie falsche oder fehlende Befunde entdecken, melden Sie diese sachlich. Cybersecurity ist nicht nur Abwehr, sondern auch Wiederherstellung verlässlicher Informationen.

Persönliche Notfallmappe als Gegenstück zum Portal

Eine persönliche Notfallmappe muss nicht umfangreich sein. Sie sollte auf einer Seite die wichtigsten Medikamente, Allergien, relevante Erkrankungen, Implantate, behandelnde Praxen und Kontaktpersonen nennen. Diese Mappe kann ausgedruckt oder sicher lokal gespeichert werden. Sie ist kein Ersatz für digitale Systeme, sondern eine Ausfallreserve, wenn Portale, Praxissoftware oder Kommunikationswege vorübergehend nicht funktionieren.

Für Menschen mit häufiger Behandlung sollte die Mappe regelmäßig aktualisiert werden. Ein veralteter Ausdruck kann im Störfall selbst zum Risiko werden. Ein guter Rhythmus ist nach Krankenhausentlassungen, Medikamentenänderungen oder neuen Diagnosen. Wer Angehörige einbindet, sollte ihnen sagen, wo die aktuelle Version liegt und welche alte Version vernichtet werden kann.

Bei verdächtigen Nachrichten nach einem Gesundheitsvorfall ist Beweissicherung sinnvoll. Löschen Sie die Nachricht nicht sofort, sondern speichern Sie Absender, Zeitpunkt, Linkziel und Inhalt, ohne auf den Link zu klicken. Diese Informationen können für Krankenkasse, Praxis, Polizei oder Verbraucherberatung hilfreich sein. Zugangsdaten sollten unabhängig davon sofort über offizielle Wege geändert werden.

Kinder und ältere Angehörige brauchen besondere Schutzregeln. Sie reagieren vielleicht schneller auf angebliche Praxisnachrichten oder geben Codes am Telefon weiter. Familien können vorher vereinbaren: Codes werden nie vorgelesen, Links werden nicht direkt geöffnet, und ungewöhnliche Nachrichten werden erst gemeinsam geprüft. Solche Regeln wirken simpel, verhindern aber viele Angriffe.

Wenn ein Krankenhaus nach einem Angriff nur eingeschränkt arbeitet, sollten Patienten Termine nicht eigenmächtig absagen, ohne nachzufragen. Manche Ambulanzen laufen weiter, andere werden verschoben. Die offizielle Website, bekannte Telefonnummern oder regionale Informationen sind zuverlässiger als Gerüchte in sozialen Netzwerken. Bei akuter Verschlechterung gelten Notfallwege unabhängig vom IT-Status.

Nach einem bekannt gewordenen Datenabfluss können Betroffene länger wachsam bleiben. Gesundheitsdaten können für Erpressung, Betrug oder gezielte Phishing-Mails genutzt werden. Ungewöhnliche Anrufe, angebliche Rechnungen, gefälschte Laborportale oder Drohungen sollten dokumentiert und gemeldet werden. Nicht jede Nachricht ist ein Angriff, aber ungewöhnliche Kombinationen aus echten Gesundheitsdetails und Zahlungsdruck sind verdächtig.

Welche Daten nach einem Vorfall besonders missbraucht werden können

Gesundheitsdaten sind für Angreifer nicht nur wegen Diagnosen interessant. Auch Geburtsdatum, Versichertennummer, Adresse, Praxisbezug, Terminzeiten und Medikamentennamen können für glaubwürdige Betrugsversuche genutzt werden. Eine Nachricht wirkt überzeugender, wenn sie echte Details enthält. Genau deshalb sollten Betroffene nach einem Vorfall ungewöhnliche Kontakte besonders sorgfältig prüfen.

Missbrauch muss nicht sofort passieren. Daten können Monate später in Phishing-Mails, falschen Rechnungen oder Drohungen auftauchen. Wer von einem Vorfall betroffen ist, sollte nicht dauerhaft in Angst leben, aber eine Phase erhöhter Aufmerksamkeit einplanen. Verdächtige Nachrichten gehören über offizielle Wege geprüft, nicht über die Antwortfunktion der Nachricht selbst.

Vertiefung: Was Patienten bei einem Ausfall zuerst klären sollten

Wenn Praxis oder Klinik digital gestört sind, sollte zuerst die medizinische Dringlichkeit geklärt werden. Ein nicht erreichbares Portal ist ärgerlich, aber akute Beschwerden gehören nicht in eine Warteschleife. Fragen Sie über bekannte Wege, welche Termine stattfinden, wie dringende Rezepte organisiert werden und welcher Ersatzweg für Befunde gilt.

Viele Einrichtungen arbeiten bei IT-Störungen mit Papier, Telefon und eingeschränkten Systemen weiter. Das kann langsam sein, bedeutet aber nicht automatisch, dass keine Versorgung möglich ist. Patientinnen und Patienten sollten offizielle Informationen nutzen und Gerüchte in sozialen Netzwerken meiden. Bei akuter Verschlechterung gelten Notfallnummern unabhängig vom IT-Status.

Welche eigenen Daten besonders geschützt werden sollten

Gesundheitsdaten bestehen nicht nur aus Diagnosen. Geburtsdatum, Adresse, Versicherungsnummer, Praxisbezug, Terminzeiten und Medikamentennamen können Betrugsversuche glaubwürdig machen. Eine gefälschte Nachricht wirkt überzeugender, wenn sie echte Details enthält. Deshalb sollten Betroffene nach einem Vorfall ungewöhnliche Kontakte besonders sorgfältig prüfen.

Passwörter für Krankenkassen-App, Patientenportal und E-Mail sollten unterschiedlich sein. Wer dasselbe Passwort überall nutzt, macht Folgeangriffe leichter. Ein zweiter Faktor schützt zusätzlich, besonders wenn Zugangsdaten aus einem anderen Dienst bekannt geworden sind. Wiederherstellungscodes gehören nicht als Foto in die allgemeine Galerie.

Phishing nach echten Gesundheitsereignissen erkennen

Nach bekannten Ausfällen kommen manchmal Nachrichten, die angeblich eine Wiederherstellung, Terminbestätigung oder Datenauskunft anbieten. Typisch sind Links, Zeitdruck und die Bitte um Codes oder Ausweiskopien. Sicherer ist der Weg über bekannte Adressen, gespeicherte Telefonnummern oder die offizielle Website der Einrichtung.

Verdächtige Nachrichten sollten dokumentiert werden, ohne Links zu öffnen. Absender, Zeitpunkt, Text und Linkziel können für Krankenkasse, Praxis, Polizei oder Verbraucherberatung hilfreich sein. Wer die Nachricht sofort löscht, verliert Hinweise. Zugangsdaten sollten trotzdem unabhängig davon über offizielle Kanäle geändert werden.

Notfallmappe als Ausfallreserve

Eine persönliche Notfallmappe muss nicht umfangreich sein. Eine Seite mit Medikamenten, Allergien, relevanten Erkrankungen, Implantaten, behandelnden Praxen und Kontaktpersonen kann reichen. Sie sollte aktuell gehalten und sicher abgelegt werden. Diese Mappe ersetzt keine ePA, hilft aber, wenn digitale Systeme vorübergehend nicht erreichbar sind.

Für Pflegehaushalte ist eine solche Reserve besonders wichtig. Wenn Klinik, Hausarztpraxis und Pflegedienst digital nicht kommunizieren können, muss klar sein, wer Entlassinformationen weitergibt und welche Medikation aktuell ist. Eine kurze, aktuelle Übersicht verhindert, dass wichtige Nachsorge an einem Portalausfall scheitert.

Nach einem Datenvorfall wachsam bleiben

Missbrauch passiert nicht immer sofort. Daten können Monate später für gefälschte Rechnungen, Drohungen oder zielgenaue Phishing-Mails genutzt werden. Betroffene sollten nicht in dauerhafte Angst geraten, aber eine Phase erhöhter Aufmerksamkeit einplanen. Ungewöhnliche Kombinationen aus echten Gesundheitsdetails und Zahlungsdruck sind verdächtig.

Wenn eine Einrichtung konkrete Betroffeneninformationen veröffentlicht, sollten diese sorgfältig gelesen werden: Welche Datenarten, welcher Zeitraum, welche Kontaktstelle, welche empfohlenen Schritte? Allgemeine Panik hilft wenig. Sachliches Nachverfolgen, Passwortwechsel und Meldung verdächtiger Kontakte sind wirksamer.

Was tun, wenn ein Portal nach einem Vorfall wieder online ist?

Wenn ein Patientenportal wieder funktioniert, sollten Nutzer nicht einfach zum Alltag übergehen. Prüfen Sie, ob neue Zugangsdaten nötig sind, ob bekannte Dokumente noch vorhanden sind und ob ungewöhnliche Nachrichten im Konto liegen. Wenn etwas fehlt oder verändert wirkt, sollte die Einrichtung sachlich informiert werden.

Nach einem Vorfall ist es sinnvoll, die eigenen Geräte ebenfalls zu prüfen. Das Portal kann wieder sicher sein, während ein altes Passwort im Browser gespeichert bleibt oder ein Familiengerät von mehreren Personen genutzt wird. Passwortwechsel, Updates und Abmeldung auf nicht mehr genutzten Geräten sind einfache Schutzschritte.

Wie man Angehörige informiert, ohne Panik zu verbreiten

Wenn eine Familie betroffen ist, sollte eine klare Nachricht genügen: Welche Einrichtung ist betroffen, welche offiziellen Informationen gibt es, welche Links sollen nicht genutzt werden, und wer kümmert sich um Rückfragen? Lange Spekulationen in Chats erzeugen Unsicherheit. Besser sind wenige, geprüfte Hinweise.

Ältere Angehörige sollten ausdrücklich wissen, dass sie keine Codes am Telefon nennen sollen. Betrüger nutzen Autorität und Zeitdruck. Eine Familienregel kann lauten: Gesundheits- und Zugangsdaten werden nur über bekannte Wege geklärt, nie über überraschende Anrufe oder SMS.

Welche Unterlagen offline wirklich nötig sind

Nicht jeder Befund muss ausgedruckt werden. Für eine Ausfallreserve reichen meistens aktuelle Medikation, Allergien, wichtige Diagnosen, Implantate, letzte Entlassung und Kontaktstellen. Zu viele Unterlagen machen die Mappe unübersichtlich. Entscheidend ist, was in einer Störung schnell handlungsrelevant ist.

Die Offline-Mappe sollte nicht offen herumliegen. Gesundheitsdaten bleiben sensibel, auch auf Papier. Ein sicherer Ort und eine informierte Vertrauensperson reichen oft. Nach Änderungen sollte die alte Version entsorgt werden, damit im Notfall nicht zwei widersprüchliche Listen auftauchen.

Alltagstest für digitale Krisenfestigkeit

Eine gute Frage lautet: Was brauche ich, wenn morgen das Portal meiner Praxis nicht funktioniert? Für viele Menschen sind das aktuelle Medikamente, wichtige Befunde, Kontaktdaten und ein Weg für dringende Rezepte. Wer diese Mindestinformationen unabhängig vom Portal verfügbar hat, ist in einer Störung ruhiger. Das bedeutet nicht, digitale Angebote abzulehnen, sondern sie durch eine kleine Reserve abzusichern.

Bei Verdacht auf Phishing sollte man langsam werden. Angreifer erzeugen Zeitdruck: Konto sofort bestätigen, Termin sonst verloren, Datenleck nur über diesen Link prüfen. Genau dann hilft eine feste Regel: nicht klicken, offizielle Adresse selbst öffnen, bekannte Telefonnummer nutzen. Diese Routine schützt besser als technisches Spezialwissen, weil sie den häufigsten Angriffspunkt unterbricht.

Nach einem Vorfall sollten Betroffene nicht nur Passwörter ändern, sondern auch Benachrichtigungen beobachten. Kommen plötzlich neue Login-Hinweise, unbekannte Terminbestätigungen oder angebliche Rechnungen? Solche Signale können auf Missbrauch hindeuten. Sie sollten dokumentiert und über offizielle Wege gemeldet werden. Gesundheitsdaten lassen sich nicht sperren wie eine Bankkarte, daher zählt frühe Aufmerksamkeit.

Für Familien ist eine kurze Notfallabsprache sinnvoll. Wer kümmert sich um die Krankenkassen-App der Großmutter, wer prüft verdächtige Nachrichten, wo liegt die Medikamentenliste? Diese Absprache sollte nicht erst nach einem Angriff entstehen. Wenn jeder glaubt, jemand anderes kümmere sich, bleiben die verletzlichsten Personen oft ungeschützt.

Wenn nach einem Angriff Termine verschoben werden, sollten Patienten nach medizinischer Priorisierung fragen. Ein Kontrolltermin kann vielleicht warten, eine dringende Nachsorge nicht. Die Einrichtung sollte erklären, welche Fälle zuerst behandelt werden und wie Betroffene informiert werden.

Auch E-Mail-Konten sind Teil der Gesundheitskommunikation. Wer Befunde, Portalbenachrichtigungen oder Krankenkassenpost per Mail erhält, sollte sein E-Mail-Konto besonders schützen. Ein kompromittiertes Postfach kann viele Gesundheitszugänge indirekt gefährden.

Bei Kindern sollten Eltern besonders vorsichtig mit Schul- oder Vereinsinformationen nach einem Gesundheitsdatenvorfall sein. Betrüger können echte Gesundheitsdetails mit anderen öffentlichen Informationen kombinieren. Weniger öffentliche Zusatzdaten erschweren solche glaubwürdigen Täuschungen und schützt die Familie über den medizinischen Kontext hinaus.

Wer beruflich mit Gesundheitsdaten arbeitet und zugleich Patient ist, sollte private und berufliche Konten besonders strikt trennen. Ein privates Passwort darf nicht in Praxissoftware, Vereinslisten oder Familiengeräten wieder auftauchen. Diese Trennung begrenzt Schäden, wenn ein einzelner Zugang kompromittiert wird.

Wenn eine Praxis neue Kommunikationswege einführt, sollten Patienten alte Lesezeichen und gespeicherte Links prüfen. Gefälschte Seiten nutzen häufig ähnliche Namen. Ein einmal sauber gespeicherter offizieller Zugang ist sicherer als jedes Mal eine Suche über E-Mail-Links oder Suchmaschinenanzeigen.

Auch kleine Gewohnheiten zählen: keine fremden USB-Sticks, keine geteilten Portalpasswörter, keine schnellen Klicks unter Stress.

Quellen und weiterführende Informationen

Häufige Fragen

Ist Cyberangriffe Gesundheitswesen für alle Versicherten automatisch sinnvoll?

Nicht automatisch. Entscheidend sind Anlass, vorhandene Daten, eigene Datenschutzwünsche und die Frage, ob die beteiligten Stellen die Funktion tatsächlich anbieten und erklären können.

Kann ich digitale Gesundheitsfunktionen auch ohne Smartphone nutzen?

Teilweise ja, aber nicht jede Komfortfunktion steht ohne App zur Verfügung. Krankenkassen, Praxen und Apotheken können je nach Thema alternative Wege, Ausdrucke oder Beratung anbieten.

Ersetzt die digitale Anzeige ein Gespräch mit Fachleuten?

Nein. Digitale Daten können Gespräche vorbereiten und Informationen auffindbar machen. Medizinische Einordnung, Diagnose, Therapieentscheidung und Aufklärung bleiben fachliche Aufgaben.

Was mache ich, wenn Daten fehlen oder falsch wirken?

Notieren Sie die Auffälligkeit und wenden Sie sich an die Stelle, die die Information erstellt oder verarbeitet hat. Bei ePA-Fragen kann auch die Krankenkasse helfen.

Sind offizielle digitale Gesundheitssysteme risikofrei?

Nein. Offizielle Systeme haben Schutzanforderungen, aber kein digitales Verfahren ist risikofrei. Prüfen Sie Berechtigungen und geben Sie keine Codes oder Passwörter weiter.

Gilt dieser Stand dauerhaft?

Nein. Viele Regeln und Funktionen werden weiterentwickelt. Prüfen Sie bei wichtigen Entscheidungen aktuelle Informationen der zuständigen offiziellen Stellen oder Ihrer Krankenkasse.

Cyberangriffe auf Praxen und Kliniken: Was Patienten selbst absichern können