Ein Cyberangriff auf die Charité hat Ende Oktober 2026 Kontaktdaten von Mitarbeitenden, Studierenden und externen Personen betroffen, während die Krankenversorgung ungestört weiterlief. Daraus folgt eine Frage, die jedes Unternehmen betrifft: Ein laufender Betrieb belegt nicht, dass die Daten hinter der eigenen Website geschützt geblieben sind.
Auch Ihre Kanzlei, Arztpraxis, Pflegeeinrichtung oder Ihr Unternehmen kann von einem solchen Vorfall betroffen sein. Wer Kontaktformulare oder Onlineanfragen anbietet, sollte deren Absicherung prüfen lassen, bevor Daten verloren gehen. Wir unterstützen Sie dabei, Schwachstellen zu erkennen und notwendige Schutzmaßnahmen umzusetzen.
Was über den Cyberangriff auf die Charité bekannt ist
Am 30. Oktober 2026 berichteten Medien unter Berufung auf die Charité über einen Angriff auf ihren Webserver. Betroffen waren Kontaktdaten von Mitarbeitenden, Studierenden und externen Personen, die das Webkontaktformular genutzt hatten, etwa für Terminanfragen. Nach den veröffentlichten Angaben handelt es sich um Vor- und Nachnamen, E-Mail-Adressen und teilweise die Organisationszugehörigkeit.
Die betroffenen Server wurden isoliert und vom Netz genommen; die Website war zeitweise nicht erreichbar. Sensible Gesundheitsdaten waren nach den veröffentlichten Angaben nicht betroffen. Die Charité hat Anzeige erstattet, stand mit den Aufsichts- und Ermittlungsbehörden in Verbindung und kündigte eine individuelle Information der Betroffenen an. Zum Berichtszeitpunkt gab es keine Hinweise darauf, dass die entwendeten Daten veröffentlicht oder missbraucht wurden. Diese Aussagen beschreiben den damaligen Erkenntnisstand, keine abgeschlossene technische Untersuchung.
Keine belegte Verbindung zur vorherigen PHP-Sicherheitslücke
Bereits in der Vorwoche hatte die Charité ihre Website vorsorglich wegen einer PHP-Sicherheitslücke abgeschaltet. PHP ist eine Softwarebasis vieler Internetanwendungen. Nach Angaben der Klinik bestand kein Zusammenhang zwischen dieser Schwachstelle und dem gemeldeten Angriff. Ein konkreter Angriffsweg oder eine zugehörige CVE-Kennung, also die eindeutige Nummer einer bekannten Sicherheitslücke, wird in den hier verwendeten Berichten nicht genannt. Wie eine solche Lücke technisch wirkt und wie Sie Ihre eigene Installation prüfen, haben wir in unserem Beitrag zu PHP-Sicherheitslücken in Webanwendungen beschrieben.
Warum auch kleinere Unternehmen gefährdet sein können
Die Unternehmensgröße schützt nicht vor Cyberangriffen. Entscheidend ist unter anderem, welche Dienste aus dem Internet erreichbar sind und welche Daten sie verarbeiten. Zur Website gehören häufig ein Redaktionssystem, Erweiterungen, eine Datenbank und Verwaltungszugänge. Auch ältere Unterseiten oder vergessene Testinstallationen sollten in die Prüfung einbezogen werden.
Ein Kontaktformular kann Anfragen per E-Mail weiterleiten und zugleich Kopien auf dem Webserver speichern. Welche Variante tatsächlich eingesetzt wird, muss am eigenen System geprüft werden. Eine verschlüsselte HTTPS-Verbindung schützt die Übertragung; sie belegt nicht, dass die Anwendung oder die gespeicherten Informationen ausreichend abgesichert sind.
Bei externem Hosting sollten Sie konkret klären, wer Betriebssystem, Website und Erweiterungen aktualisiert. Ein Hostingvertrag allein beantwortet diese Frage nicht. Lassen Sie sich Zuständigkeiten und den vereinbarten Wartungsumfang nachvollziehbar bestätigen.
Welche Folgen ein Verlust von Kontaktdaten haben kann
Gestohlene Kontaktdaten können gezielte Täuschungsversuche erleichtern. Angreifer könnten sich als Mitarbeitende einer vertrauten Einrichtung ausgeben und zur Anmeldung auf einer gefälschten Website auffordern. Das ist ein mögliches Folgerisiko, kein hier belegter Missbrauch der bei der Charité entwendeten Daten.
Ein hypothetisches Beispiel: Ein Mandant erhält nach einer Kanzleianfrage eine vermeintliche Nachricht seines Anwalts mit einem Link zum Dokumentenabruf. Kennt der Absender Namen und Kontaktbezug, wirkt die Nachricht plausibler. Mitarbeitende und Kunden sollten ungewöhnliche Zahlungs- oder Anmeldeaufforderungen über einen bereits bekannten Kontaktweg überprüfen.
Daneben entstehen Aufwand für die Untersuchung, Rückfragen und gegebenenfalls Benachrichtigungen. Fällt das Anfrageformular aus, müssen Termine oder Kundenanfragen telefonisch bearbeitet werden. Solche organisatorischen Folgen können auch dann auftreten, wenn die interne Fachsoftware weiterläuft.
Welche Maßnahmen jetzt sinnvoll sind
Zeitnah prüfen und erkannte Lücken schließen
Lassen Sie eine Bestandsaufnahme der öffentlich erreichbaren Systeme erstellen. Dazu gehören Hauptwebsite, Unterdomains, Verwaltungsoberflächen und angebundene Dienste. Prüfen Sie anschließend, welche Komponenten noch Sicherheitsupdates erhalten und ob verfügbare Updates tatsächlich installiert wurden. Nicht mehr benötigte Zugänge und Anwendungen sollten entfernt werden. Das BSI stellt für kleine und mittlere Unternehmen dazu kostenfreie Handreichungen bereit.
Dringender Handlungsbedarf besteht bei bestätigten Angriffsspuren oder einer auf dem eigenen System ausnutzbaren kritischen Schwachstelle. Dann sollten IT-Verantwortliche umgehend Schutzmaßnahmen festlegen. Allein die Meldung über die Charité ist dagegen kein Nachweis, dass Ihre Website ebenfalls kompromittiert ist.
Zugänge und gespeicherte Anfragen absichern
Verwaltungszugänge sollten individuelle Konten, starke Passwörter und möglichst eine Mehrfaktor-Authentisierung erhalten. Dabei wird zusätzlich zum Passwort ein weiterer Nachweis verlangt. Berechtigungen sollten auf die tatsächlich benötigten Aufgaben begrenzt bleiben. Öffentliche Websysteme sollten technisch von internen Fachanwendungen getrennt sein.
Prüfen Sie außerdem, welche Angaben Formulare wirklich benötigen, wo Kopien entstehen und wie lange diese aufbewahrt werden müssen. Für vertrauliche Unterlagen empfiehlt sich ein dafür vorgesehenes, abgesichertes Übermittlungsverfahren. Ein allgemeines Kontaktformular sollte keine unnötigen sensiblen Angaben abfragen.
Angriffe erkennen und den Betrieb vorbereiten
Sicherheitsrelevante Ereignisse wie fehlgeschlagene Anmeldungen und Änderungen an Berechtigungen sollten protokolliert und ausgewertet werden. Legen Sie fest, wer Warnungen erhält und darauf reagiert. Passwörter, Zugangsschlüssel oder vollständige vertrauliche Formularinhalte gehören nicht in gewöhnliche Protokolle. Auch die Protokolldaten benötigen Zugriffsschutz.
Ergänzend sind getrennte Sicherungen und getestete Wiederherstellungen wichtig. Ein Backup kann den Betrieb wieder ermöglichen, macht einen bereits erfolgten Datendiebstahl aber nicht rückgängig. Halten Sie Ansprechpartner und Ersatzwege für wichtige Abläufe in einem kurzen Notfallplan fest.
Bei einem Verdacht strukturiert reagieren
Informieren Sie sofort Ihren IT-Verantwortlichen oder IT-Dienstleister. Betroffene Systeme sollten fachgerecht isoliert und relevante Spuren gesichert werden. Unkoordinierte Löschungen oder Neuinstallationen können die Aufklärung erschweren. Binden Sie den Datenschutzverantwortlichen frühzeitig ein.
Bei einer Verletzung des Schutzes personenbezogener Daten ist die zuständige Aufsichtsbehörde grundsätzlich unverzüglich zu informieren, möglichst binnen 72 Stunden nach Bekanntwerden. Diese Pflicht greift, sofern voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Bei voraussichtlich hohem Risiko müssen grundsätzlich auch die Betroffenen unverzüglich informiert werden. Die Bewertung gehört in fachkundige Hände; die vollständige technische Aufklärung darf eine erforderliche Erstmeldung nicht verzögern.
Was der Cyberangriff auf die Charité für Ihre Website bedeutet
Drei Punkte lassen sich aus dem Vorfall unmittelbar auf eigene Systeme übertragen. Erstens: Der Webserver ist ein eigenes Angriffsziel, auch wenn die Fachanwendungen davon getrennt laufen. Zweitens: Kontaktdaten sind schützenswert, selbst wenn keine Gesundheits- oder Finanzdaten betroffen sind. Drittens: Ein vorsorgliches Abschalten kann richtig sein, ersetzt aber keine Prüfung der Anwendung.
Für die Umsetzung braucht es keine aufwendige Zertifizierung. Ein strukturierter Durchgang durch erreichbare Systeme, Zugänge und Datenwege genügt als Einstieg. Unsere IT-Sicherheitsleistungen umfassen genau diese Bestandsaufnahme. Für eine standardisierte Erstbewertung bietet das BSI mit dem CyberRisikoCheck nach DIN SPEC 27076 ein auf kleine Unternehmen zugeschnittenes Verfahren an.
Häufige Fragen zur Sicherheit von Unternehmenswebsites
Sind bei der Charité Patientenakten entwendet worden?
Nein, das ist durch die verwendeten Quellen nicht belegt. Gemeldet wurde der Abfluss von Kontaktdaten wie Namen und E-Mail-Adressen; sensible Gesundheitsdaten waren nach den veröffentlichten Angaben nicht betroffen. Die Krankenversorgung lief ungestört weiter.
Sind kleine Praxen und Kanzleien ebenfalls gefährdet?
Ja. Auch kleine Organisationen betreiben erreichbare Websites und verarbeiten personenbezogene Daten. Der Schutzbedarf hängt nicht von der Mitarbeiterzahl ab, sondern von den eingesetzten Systemen und den verarbeiteten Informationen.
Reichen eine Firewall und ein Virenschutz aus?
Nein. Beide sind sinnvolle Bausteine, ersetzen aber keine gepflegten Anwendungen, abgesicherten Zugänge und überprüften Berechtigungen. Der Schutz muss das gesamte System umfassen, einschließlich Redaktionssystem, Erweiterungen und Datenbank.
Sollte ein Kontaktformular vorsorglich abgeschaltet werden?
Nicht pauschal. Bei einer konkreten Gefährdung kann eine vorübergehende Abschaltung sinnvoll sein. Ohne entsprechende Hinweise sind eine gezielte Prüfung und Absicherung angemessen, damit Anfragen weiterhin entgegengenommen werden können.
Was sollte ein IT-Sicherheitscheck liefern?
Eine nachvollziehbare Übersicht der geprüften Systeme, der festgestellten Risiken und der empfohlenen Maßnahmen. Zu jeder wesentlichen Maßnahme sollten Priorität, Zuständigkeit und ein Umsetzungstermin feststehen, damit die Ergebnisse auch umgesetzt werden.
Wie schnell muss ein Datenabfluss gemeldet werden?
Besteht voraussichtlich ein Risiko für betroffene Personen, ist die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu informieren. Bei voraussichtlich hohem Risiko sind grundsätzlich auch die Betroffenen zu benachrichtigen.
Fazit und Unterstützung vor einem Vorfall
Der Vorfall zeigt, dass Kontaktdaten auch bei weiterlaufendem Betrieb abfließen können. Unternehmen sollten ihre Website deshalb in die regelmäßige Sicherheitsprüfung einbeziehen. Als IT-Dienstleister in Düsseldorf begleitet Stüber Computer Kanzleien, Praxen und Mittelständler seit 1992 bei genau solchen Fragen: Wir prüfen mit Ihnen die vorhandenen Systeme, Zugänge und Datenwege und unterstützen bei der Absicherung.
Sprechen Sie uns an, um den Prüfungsumfang für Ihre Einrichtung festzulegen, bevor ein Vorfall den Handlungsdruck bestimmt. Sie erreichen uns telefonisch unter 0211 9779958, montags bis freitags von 08:00 bis 18:00 Uhr, oder über unser Kontaktformular.
Quellen
Alle Quellen eingesehen am 30. Oktober 2026.
- it-daily: Charité meldet Cyberangriff – Kontaktdaten erbeutet, 30.10.2026
- kma Online: Charité Berlin – Cyberangriff auf Webserver, 30.10.2026
- BSI: Informationen und Empfehlungen für kleine und mittlere Unternehmen
- BSI: CyberRisikoCheck nach DIN SPEC 27076
- OWASP: Attack Surface Analysis Cheat Sheet
- OWASP: Logging Cheat Sheet
- BSI: IT-Notfallkarte als Einstieg ins Notfallmanagement
Über den Autor
Klaus Stüber – Geschäftsführer & IT-Sicherheitsexperte. Er leitet das IT-Systemhaus Stüber Computer in Düsseldorf seit 1992. Schwerpunkte: IT-Sicherheit, DATEV-Systembetreuung und Netzwerktechnik. Fragen? Kontakt aufnehmen.
