Full Report
Wadern, 29. Mai 2026 – Die unimed Abrechnungservice für Kliniken und Chefärzte GmbH arbeitet nach einem Cyberangriff eng mit ihren Kunden zusammen, um die betroffenen Patienten über den Vorfall und die Folgen zu informieren, und stellt der Öffentlichkeit im Folgenden zusätzliche Informationen dazu zur Verfügung: unimed hat bei dem Vorfall seine Informationspflichten eingehalten. Zugleich ist unimed bewusst, dass der Vorfall Kunden vor Herausforderungen stellt. Das Unternehmen arbeitet entschlossen daran, diese partnerschaftlich zu lösen und das Vertrauen von Kliniken und deren Patienten zu wahren. unimed hat nach Erkennen des Cyberangriffs am 14. April 2026 umgehend und umfassend gehandelt, um potentielle Risiken für Kunden und deren Patienten möglichst zu minimieren. Dazu gehörte neben der Meldung des Vorfalls an die zuständige Datenschutzbehörde und die Polizei auch die direkte Kommunikation mit den Kunden und weiteren Stakeholdern. Bereits einen Tag nach Identifizierung des Cyberangriffs hat unimed erste identifizierte Kunden informiert. In der Folge wurden Kunden regelmäßig auf dem jeweils aktuell verfügbaren gesicherten Stand informiert gehalten. Die von unabhängigen externen IT-Forensikern unterstützte Untersuchung des Vorfalls lieferte schnell die Erkenntnis, dass die Angreifer nur einen sehr begrenzten Teil von Datensätzen entwendet hatten, der die Kommunikation zu Abrechnungswidersprüchen von Privatpatienten und Selbstzahlern, die unimed im Auftrag seiner Kunden bearbeitet, enthielt. Welche Kunden in welchem Umfang betroffen sind und welche Patienteninformationen abgeflossen sind, war anfangs unklar. Unklar nicht, weil es sich um „unbekannte“ Daten handelt, sondern unklar, weil die nach Rechnungsnummern und Zahlungsabläufen gegliederten Daten erst einzelnen Kunden und betroffenen Personen zugeordnet werden mussten. Deshalb hat unimed die vom Abfluss betroffenen Daten nach erfolgter Sicherung der IT-Systeme mit der gebotenen Gründlichkeit und Unterstützung durch spezialisierte externe Datenforensiker im Detail analysiert. Erst durch diese zeitaufwändige Datenanalyse konnten die Betroffenen und somit auch die für deren Benachrichtigung jeweils verantwortlichen Kunden identifiziert werden. Eine derartige Analyse ist aufwändig und dauert in der Regel sehr lange, konnte aber durch den Einsatz der Mitarbeiter von unimed, externer Experten sowie technologischer Methoden stark verkürzt werden. Die Ergebnisse dieser Analyse hat unimed Kunden individuell zur Verfügung gestellt, sobald dies ab Mitte Mai möglich wurde. Damit hat unimed Kunden in die Lage versetzt, auf einer belastbaren Faktengrundlage schnellstmöglich ihre jeweils eigene Risikobewertung vornehmen und Betroffene entsprechend informieren zu können. Bei der Analyse der Daten wurde auch festgestellt, dass es sich bei der weit überwiegenden Mehrheit der abgeflossenen Daten nicht um besonders sensible Finanz- oder Gesundheitsdaten handelt. Es liegen unimed keine Hinweise vor, dass abgeflossene Daten veröffentlicht worden sind. Nach aktueller Einschätzung der von unimed beauftragten spezialisierten Experten eines externen Incident-Response-Teams ist eine Veröffentlichung der entwendeten Daten nicht mehr wahrscheinlich. unimed unterhält ein engmaschiges Monitoring einschlägiger Seiten, unter anderem im Clear- und Darknet. Sollte unimed Hinweise auf Datenveröffentlichung erlangen, werden wir unsere Kunden entsprechend informieren. unimed hält seine Leistungsverpflichtungen gegenüber Kunden ein und arbeitet seit abgeschlossener Sicherung seiner IT-Systeme wieder Aufträge im üblichen Volumen regulär ab. Bereits kurz nach dem Vorfall war unimed wieder uneingeschränkt arbeitsfähig und alle Systeme arbeiten seit Wochen im Regelbetrieb. Die überwiegende Mehrheit der Kunden hat die Abrechnungsabwicklung mit uns unmittelbar nach der Absicherung und dem Wiederanlauf der unimed-Systeme wieder gestartet. Für unimed hat der Schutz der Daten ihrer Mitarbeiter, Kunden und deren Patienten höchste Priorität. Daher wird unimed die Sicherheit der eigenen IT-Systeme kontinuierlich nach aktuellem Stand der Technik auf die sich dynamisch weiterentwickelnden Sicherheitsanforderungen anpassen. Darüber hinaus werden die Systeme engmaschig durch ein externes Security Operations Center überwacht. unimed bedauert diesen Vorfall zutiefst, nimmt ihn sehr ernst, und hat alles in seiner Macht Stehende getan, um mögliche Auswirkungen auf Kunden und deren Patienten zu minimieren.
Analysis Summary