Wenn ein IT-Sicherheitsvorfall den klinischen Betrieb lahmlegt 

Am Montag, dem 26. Oktober 2026, gegen 11:30 Uhr Mountain Time, erschien auf den Bildschirmen im gesamten Health Sciences Center der University of New Mexico plötzlich eine unmissverständliche Meldung: „You have been compromised.“ Über die Lautsprecher der Systeme forderte eine synthetische Stimme zur Kontaktaufnahme über den verschlüsselten Session-Messenger auf und behauptete, im Besitz von personenbezogenen Daten, Sozialversicherungsnummern, vertraulichen Dokumenten und E-Mails von Beschäftigten sowie Studierenden zu sein. Innerhalb einer Stunde traf UNM Health eine Entscheidung, die kein Krankenhaus leichtfertig trifft: Sämtliche Rettungswagen der Region wurden angewiesen, andere Kliniken anzufahren. 

Rund zwei Stunden lang verfügte New Mexico – ein Bundesstaat mit über zwei Millionen Einwohnern – über kein aufnahmebereites überregionales Traumazentrum (Level-I-Traumazentrum). Sämtliche Termine in mehr als 30 Ambulanzen und Fachkliniken wurden storniert. Ambulante Operationen wurden ausgesetzt. Der gesamte Klinikverbund, der jährlich rund 900.000 ambulante Behandlungen und 100.000 Notfallpatienten versorgt, musste den Notbetrieb aufnehmen und auf papierbasierte Dokumentation umstellen.  

Gegen 14:30 Uhr begann UNM Health mit der schrittweisen Wiederinbetriebnahme der Systeme, „sobald dies sicher möglich war“. Am Dienstagmorgen waren die Krankenhäuser wieder geöffnet, die Ambulanzen arbeiteten im Regelbetrieb und das Traumazentrum war wieder einsatzbereit. Die Erpressergruppe, die sich zu dem Angriff bekennt – eine bislang kaum in Erscheinung getretene Gruppierung namens BYOD –, behauptet jedoch, 36.000 Systeme kompromittiert zu haben und im Besitz sämtlicher Daten von Oracle-Gehaltsabrechnungsdatenbanken bis hin zu Dienstplänen des Cerner-Krankenhausinformationssystems (KIS/EHR) zu sein. UNM hat hiervon bisher nichts bestätigt. 

Für CISOs im Gesundheitswesen, Verantwortliche für OT-Sicherheit sowie medizintechnische Abteilungen liefert der Vorfall bei UNM Health eine kompakte Fallstudie: Er verdeutlicht, warum im Gesundheitssektor nicht die Vertraulichkeit, sondern die Verfügbarkeit das sicherheitskritische Schutzziel darstellt – und warum Identitätsmanagement, Netzwerksegmentierung und Notfallkonzepte für den IT-Ausfall dieselbe Stringenz erfordern wie in industriellen Steuerungsumgebungen (ICS). 

Was geschah bei UNM Health? Eine verifizierte Zusammenfassung der Ereignisse 

Nach offiziellen Lageberichten des UNM Health Sciences Center (HSC) betraf der Sicherheitsvorfall das gesamte Health Sciences Center – einschließlich der klinischen Versorgungseinheiten von UNM Health –, nicht jedoch den Hauptcampus oder die Außenstellen der UNM.  

Die betrieblichen Auswirkungen am 26. Oktober traten unmittelbar und mit voller Härte ein: 

• Vollständige Abmeldung von der Notfallversorgung (Ambulance Diversion); Rettungswagen wurden an andere Kliniken im Großraum Albuquerque umgeleitet. 

• Absage sämtlicher Ambulanztermine; Patienten wurden angewiesen, Einrichtungen von UNM nicht aufzusuchen. 

• Aussetzung ambulanter Operationen und Eingriffe für den restlichen Tag. 

• Eingeschränkte Neuaufnahme von Patienten zwischen 12:30 und 14:30 Uhr. 

• Absage aller Lehrveranstaltungen im Bereich Health Sciences (Medizinische Fakultät, Pharmazie, Pflege, Public Health); Studierende und nicht zwingend erforderliches Personal wurden nach Hause geschickt. 

• Gegen 12:07 Uhr erging die Anweisung an die Belegschaft, Rechner herunterzufahren, die Netzkabel zu ziehen, WLAN auf Mobilgeräten zu deaktivieren und auf papierbasierte Prozesse umzustellen.  

Die Koordination der Gegenmaßnahmen erfolgte über einen einberufenen Krisenstab (Emergency Operations Center). UNM informierte die staatlichen und bundesweiten Strafverfolgungsbehörden und zog externe Incident-Response-Dienstleister hinzu. Die FBI-Außenstelle Albuquerque bestätigte ihre Unterstützung im Rahmen der laufenden Ermittlungen. UNM bedankte sich öffentlich bei den umliegenden Klinikbetreibern in Albuquerque und Santa Fe – darunter Presbyterian Healthcare Services und Lovelace Health System, die zusätzliche Patienten übernahmen –, für ihren Beitrag zur Sicherstellung der Versorgungskontinuität.  

Gemäß der letzten verifizierten Meldung (27. Oktober, 05:52 Uhr MDT) sind das UNM Hospital und das Sandoval Regional Medical Center wieder geöffnet. Die Ambulanzen haben den Regelbetrieb wiederaufgenommen, das Traumazentrum steht wieder uneingeschränkt für alle Versorgungsstufen bereit. Die akademischen und forschenden Einheiten des HSC blieben geschlossen; das betroffene Personal arbeitete im Homeoffice. Einzelne zentrale Dienste über das HSC waren möglicherweise weiterhin beeinträchtigt. 

Chronologie des Cyberangriffs auf UNM Health: Von der Störung bis zur Wiederherstellung 

Alle Zeitangaben in MDT, 26. Oktober 2026, sofern nicht anders angegeben. 

Ein zentraler Aspekt sticht hervor: Die Zeitspanne von der bestätigten Erkennung bis zur Wiederaufnahme der Patientenaufnahme betrug lediglich rund drei Stunden. Dies stellt eine bemerkenswert schnelle operative Wiederherstellung dar – insbesondere im Vergleich zum University of Mississippi Medical Center, ebenfalls das einzige Level-I-Traumazentrum eines Bundesstaates, das nach einem Ransomware-Angriff im Februar 2026 neun Tage benötigte. Branchenanalysen beziffern die durchschnittliche Ausfallzeit im Gesundheitswesen auf 17 Tage.  

Wer steckt hinter dem Cyberangriff auf UNM Health? 

Eine Erpressergruppe namens BYOD beansprucht den Angriff für sich. Auf ihrer Leak-Site im Tor-Netzwerk behauptet die Gruppe, 36.000 Systeme auf dem UNM-Hauptcampus sowie in den Klinikumgebungen kompromittiert zu haben. Dies umfasse „zwei Oracle-Datenbanken, sämtliche PII von Studierenden und Beschäftigten (inkl. Sozialversicherungsnummern), Forschungsdaten, den gesamten Entra-Tenant, Oracle HR + Payroll + Banner-Studierendendaten, interne E-Mails sowie Cerner-EHR-Dienstpläne.“  

Diese Aussagen sind jedoch mit Vorsicht zu bewerten: 

• Die Attribution ist eine Behauptung, kein forensischer Befund. Zwar wird der Eintrag von ransomware.live indexiert und in Fachmedien zitiert, UNM hat eine Beteiligung dieser Gruppe jedoch nicht bestätigt. Auch unabhängige forensische Nachweise fehlen bislang.  

• Die Angaben weisen Widersprüche auf. Während BYOD von einer Kompromittierung des Hauptcampus spricht, bestätigen offizielle Stellungnahmen der Universität, dass Haupt- und Zweigcampus unberührt blieben. Entweder übertreibt die Gruppe maßlos oder ihr Verständnis von „Kompromittierung“ ist sehr weit gefasst. 

• Die Zahl von 36.000 Endgeräten ist nicht verifiziert, ebenso wenig wie der angebliche Abfluss der genannten Datenkategorien. Bemerkenswert ist, dass die über die Systeme abgespielte Audiobotschaft zwar Daten von Studierenden und Personal nannte, in den von KRQE dokumentierten Mitschnitten jedoch keine Patientendaten erwähnte. 

• Die Gruppe agiert primär als Erpresser, nicht als klassischer Ransomware-Akteur. Berichten zufolge ist unklar, ob BYOD überhaupt Verschlüsselungsmechanismen einsetzt; das Geschäftsmodell scheint auf Datendiebstahl, Veröffentlichungsdrohungen und anschließenden Verhandlungen zu basieren.  

Lösegeldforderungen, Fristen oder Zahlungsmodalitäten wurden bislang in keinem verlässlichen Bericht dokumentiert. Stichprobendaten (Proof of Concept), Screenshots oder Verzeichnisse aus dem angeblichen Datenabfluss wurden bis zum Redaktionsschluss nicht unabhängig verifiziert. Sollte BYOD Belege veröffentlichen, wird ein Abgleich mit den realen Datenstrukturen der UNM Klarheit bringen – nicht die Behauptungen der Angreifer. 

Handelte es sich um Ransomware? Was die öffentlich zugängliche Faktenlage zeigt 

Die ehrliche Antwort lautet: Wir wissen es derzeit nicht – und diese Differenzierung ist betrieblich wie auch rechtlich hochrelevant. 

In der frühen Berichterstattung über Sicherheitsvorfälle werden vier Dimensionen häufig vermengt: 

1. Systembeeinträchtigung – bestätigt am UNM HSC. Rechner wurden manipuliert, Dienste unterbrochen, Betriebsabläufe gestoppt. 

2. Erpressung – die Aufforderung zur Kontaktaufnahme unter Androhung von Datenvernichtung deutet auf einen Erpressungsversuch hin; monetäre Forderungen sind bislang unbestätigt. 

3. Datenabfluss – von den Angreifern behauptet; von UNM oder den Ermittlungsbehörden nicht bestätigt. 

4. Ransomware-Verschlüsselung – es liegen keinerlei öffentliche Beweise für eine flächendeckende Verschlüsselung vor. Die schnelle Wiederaufnahme der Notfallversorgung binnen weniger Stunden spricht eher dafür, dass klinische Kernsysteme unverschlüsselt blieben oder Endpunkte neu aufgesetzt anstatt langwierig entschlüsselt wurden. 

Die Nutzung synthetischer Audioansagen über die Endgeräte ist ungewöhnlich. Josephine Wolff, Professorin für Cybersicherheitspolitik an der Tufts University, betonte gegenüber der Associated Press, dass „das Eindringen in Systeme, um Audiobotschaften abzuspielen, sehr unüblich ist“ – ein Zeichen dafür, „wie viel Nachholbedarf wir bei der wirksamen Cyberabwehr nach wie vor haben.“ Vom Verhaltensmuster her ähnelt der Vorfall eher einer Erpressungs- und Einschüchterungsaktion mit Sabotagewirkung – möglicherweise unter Einsatz von Wiper-Komponenten oder Mass-Messaging-Tools – als einer klassischen Double-Extortion-Ransomware. Forensiker werden prüfen müssen, ob Verschlüsselung stattgefunden hat, wie der Erstzugriff (Initial Access) gelang (Phishing, kompromittierte Remote-Access-Dienste, gestohlene Zugangsdaten oder Dienstleisterpfade sind typische Vektoren) und welche Verweildauer die Angreifer vor dem 26. Oktober hatten. 

Bis offizielle Berichte der UNM, des FBI oder beteiligter Incident-Response-Dienstleister vorliegen, ist die Einstufung als „Cyberangriff mit Erpressungskomponente“ die sachlich präziseste. 

Betroffene Systeme – und verbleibende Unklarheiten 

Verifiziert beeinträchtigt: Die IT-Infrastruktur des UNM HSC insgesamt (Personal sollte Geräte vom Strom trennen), Workflows zur Terminvergabe und Patientenaufnahme (Absage aller Termine), die Notfall- und Rettungsdienstaufnahme, der ambulante OP-Betrieb, Forschungs- und Lehrsysteme sowie Teile übergeordneter Campus-Dienste, die über das HSC angebunden sind. 

Gemeldet, aber nicht bestätigt: Zentrale Unternehmensdatenbanken (Oracle HR/Payroll, Banner), der Microsoft Entra ID Tenant, E-Mail-Speicher sowie Cerner-EHR-Daten – allesamt Angaben aus dem unbestätigten Bekennerbeitrag von BYOD. 

Unbekannt: Der genaue Vektor des Erstzugriffs; ob Endpunkt-Verschlüsselungen stattfanden; ob Patientendaten (Protected Health Information / PHI) abgeflossen sind; ob Medizingeräte (Biomed), bildgebende Systeme (PACS), Laborsysteme oder Gebäudeleittechnik (GLT) betroffen waren; das tatsächliche Ausmaß von Patientenschäden sowie der finanzielle Gesamtschaden. 

Ein verifiziertes Detail hat hohe analytische Relevanz: Die Anweisung, Rechner vom Stromnetz zu trennen, stellt eine rein präventive Eindämmungsmaßnahme (Containment) dar, keinen forensischen Befund. Sie belegt, dass das Incident-Response-Team ad hoc nicht zwischen kompromittierten und integren Systemen unterscheiden konnte – ein rationales Vorgehen bei Zweifeln an der Integrität des Identity Managements und der Netzwerksegmentierung. Daraus lässt sich weder ableiten, dass Medizingeräte und OT betroffen waren, noch dass sie unberührt blieben. 

Wie IT-Sicherheitsvorfälle die klinische Versorgung gefährden 

Das UNM Hospital betreibt das einzige Level-I-Traumazentrum in New Mexico – die zentrale Anlaufstelle für Schwerstverletzte, etwa bei Schuss-, Stich- oder neurochirurgischen Notfällen.  

Die mehrstündige Abmeldung von der Rettungsdienstversorgung verlagerte die Notfalllast schlagartig auf andere Träger (Presbyterian, Lovelace sowie Kliniken in Santa Fe). Ein Augenzeuge in einer benachbarten Notaufnahme berichtete von „erheblicher Überlastung und massiv verlängerten Wartezeiten.“  

Hier zeigt sich das fundamentale Risiko moderner Gesundheitseinrichtungen: Die digitale Abhängigkeit führt dazu, dass IT-Störungen unmittelbar in physische Versorgungsausfälle umschlagen. Die verifizierten Unterbrechungen verdeutlichen dies eindringlich: 

• Notfallaufnahme und Schockraumversorgung setzen funktionierende Notaufnahmesysteme, Bettenmanagement und verlässliche Kommunikation voraus. Ist die Integrität dieser Systeme nicht garantiert, ist die temporäre Abmeldung die einzig vertretbare klinische Entscheidung – selbst für einen Maximalversorger. 

• Terminierung und Patientenaufnahme bilden das Rückgrat ambulanter Prozesse. Ihr Ausfall führte zur sofortigen Stornierung eines gesamten Behandlungstages in über 30 Fachabteilungen. 

• Geübte Notfallbetriebskonzepte (Papierdokumentation) verhinderten einen vollständigen Stillstand – der Wechsel erfolgte binnen rund 40 Minuten nach der Erkennung. Eine solche Reaktionszeit ist kein Zufall, sondern das Ergebnis regelmäßiger Notfallübungen. 

• Regionale Versorgungsabsprachen funktionierten: Umliegende Kliniken fingen Versorgungsspitzen auf, wofür sich UNM öffentlich bedankte. Gegenseitige Hilfepläne greifen im Ernstfall nur, wenn Schnittstellen und Verfahren im Vorfeld verbindlich definiert wurden. 

Bemerkenswert ist: Kein einziges Medizingerät musste dafür direkt kompromittiert werden. Die Störung ging rein von der IT-Infrastruktur und gemeinsamen Diensten aus – die in einer modernen Klinik de facto das Rückgrat der Patientenversorgung bilden. 

Die Schnittstelle zur OT-Sicherheit im Krankenhaus 

Krankenhäuser sind hochkomplexe Einrichtungen mit industrieller Gebäude- und Anlagentechnik. Neben dem Krankenhausinformationssystem (KIS) existiert eine weitverzweigte Schicht an Operational Technology (OT) und Medizintechnik (Biomed): vernetzte Infusionspumpen, Patientenmonitore, Laborautomaten, bildgebende Großgeräte und PACS, automatische Medikamentenausgabesysteme, Raumlufttechnische Anlagen (RLT), Schwesternrufanlagen, Rohrpostsysteme sowie die Gebäudeleittechnik (GLT) für medizinische Gase und Notstromversorgung. Diese Systeme teilen sich zunehmend zentrale Verzeichnisdienste, Netzwerkkomponenten und Management-Ebenen mit der klassischen Enterprise-IT. 

Aus genau dieser Konvergenz leiten sich die Lehren des UNM-Vorfalls für die OT-Sicherheit ab – auch ohne dass eine direkte Kompromittierung der OT nachgewiesen wurde: 

Identity Management als Single Point of Failure. Die angebliche Kompromittierung des gesamten Entra-Tenants wäre – sofern zutreffend – das gravierendste Ausfallszenario in einer konvergenten Umgebung. Verzeichnisdienste steuern den Zugriff auf KIS, klinische Fachanwendungen, VPN- und Fernwartungszugänge von Herstellern, E-Mail-Dienste sowie Verwaltungsoberflächen medizintechnischer Systeme. Ist der Verzeichnisdienst kompromittiert, ist keine Authentifizierung mehr vertrauenswürdig. In genau dieser Lage bleibt dem Krisenstab oft nur das Ziehen der Netzstecker. Sowohl NIST SP 800-82 als auch das Zonen- und Conduits-Modell der IEC 62443 basieren auf dem Grundsatz, dass Sicherheitszonen nur so resilient sind wie die Identitäts- und Fernzugriffspfade, die in sie hineinführen. 

Netzwerksegmentierung limitiert den Schadensradius. Eine Sicherheitsarchitektur, die medizintechnische Netze und Gebäude-OT über definierte Conduits isoliert – ohne direkte Kommunikationsbeziehungen zu Office-Clients oder dem Internet –, verhindert, dass ein kompromittiertes Benutzerkonto bis in klinische Netze durchgreift. Die zügige stufenweise Wiederherstellung bei UNM deutet darauf hin, dass zwischen Office-IT und klinischen Kernplattformen eine funktionierende Segmentierung bestand. Das pauschale Herunterfahren aller Rechner zeigt jedoch, dass die Trennung zwischen Endgeräten und zentralen Diensten unzureichend oder nicht ausreichend verifizierbar war. 

Passive Netzwerkerkennung als unverzichtbare Schutzmaßnahme. Aktive Schwachstellenscans können ältere Medizinprodukte zum Absturz bringen; ein rein passives Monitoring des Netzwerkverkehrs ist im klinischen Umfeld die einzig sichere Methode, um ein lückenloses Asset-Inventar zu pflegen und Anomalien zu detektieren. Betreiber, die den Datenverkehr ihrer Infusionssysteme oder PACS-Modalitäten nicht überwachen, können im Ernstfall nicht sicher feststellen, ob diese Pfade unberührt geblieben sind. 

Ganzheitliche Erkennung über IT- und OT-Telemetrie. Ungewöhnliche Authentifizierungen, sogenannte „Impossible-Travel“-Muster bei administrativen Konten, neue Remote-Access-Sitzungen, unerwarteter East-West-Traffic in Richtung klinischer VLANs und massenhafte Dateizugriffe sind die typischen Frühindikatoren solcher Angriffe. Die zentrale Korrelation von Identitäts-Logs, EDR-Meldungen und passiver OT-Netzwerküberwachung in einer gemeinsamen Detection-Ebene ist der Hebel, um die Reaktionszeit zwischen Erkennung und Isolierung drastisch zu verkürzen – und unkontrollierte Komplettabschaltungen zu vermeiden. 

Dies bedeutet nicht zwingend, dass Medizintechnik oder OT bei UNM direkt angegriffen wurden. Es zeigt vielmehr: Die operativen Konsequenzen für die Patientenversorgung sind identisch. Wenn die digitale Infrastruktur versagt, steht die Versorgungsqualität auf dem Spiel. Daher müssen Risikoanalysen im Rahmen des Business Continuity Managements (BCM) Medizintechnik und Gebäude-OT stets als kritische Assets einbeziehen – selbst wenn ein Angriff primär auf der IT-Ebene stattfindet. 

Bewertung des Cyberangriffs: Betriebliche, forensische und regulatorische Dimensionen  

Historischer Kontext: Für UNM Health ist dies nicht der erste schwerwiegende Sicherheitsvorfall. Bereits 2021 drang die Hive-Ransomware-Gruppe in das Netzwerk ein (Erstzugriff im Mai; Entdeckung am 4. Juni), wobei Daten von 637.252 Patienten kompromittiert wurden – wenngleich das KIS damals intakt blieb.  

Ein erneuter Großvorfall nach fünf Jahren erhöht den aufsichtsrechtlichen, juristischen und öffentlichen Erklärungsdruck massiv. 

Handlungsempfehlungen für CISOs und OT-Sicherheitsverantwortliche im Gesundheitswesen 

1. Verfügbarkeit ist das primäre Schutzziel für die Patientensicherheit. Datenabflüsse dominieren die Medienberichte, doch die gravierendste Folge bei UNM war die Abmeldung von der Notfallversorgung. Im Krankenhausbetrieb führen Ausfälle von Verfügbarkeit und Integrität binnen Minuten zu Risiken für Leib und Leben. Risikomanagement und Management-Reporting müssen die klinische Verfügbarkeit als höchste Priorität abbilden. 

2. Wiederanlaufzeiten sind ein Resultat wirksamer Segmentierung. Ein Zeitfenster von drei Stunden bis zur Wiederaufnahme der Akutversorgung ist für diesen Sektor außergewöhnlich. Dies deutet technisch darauf hin, dass klinische Kernsysteme von den kompromittierten Office-Netzen getrennt betrieben wurden – ob geplant oder situativ bedingt. Segmentierung muss stets so konzipiert sein, dass dieser Schutz planbar und reproduzierbar greift. 

3. Isolierungsmaßnahmen haben unmittelbare klinische Konsequenzen. Werden Arbeitsplatzrechner vom Netz getrennt, stoppt dies die elektronische Kurvenführung, das Barcode-Medikationsmanagement und die Dokumentation. Der Wechsel auf Papierdokumentation innerhalb von 40 Minuten belegt, dass Notfallprozesse regelmäßig geübt wurden. Die entscheidende Metrik im BCM lautet: Wie lange kann jede Station im Notbetrieb arbeiten und beherrschen die Mitarbeitenden die Abläufe fehlerfrei? 

4. Kompromittierte Identitäten hebeln herkömmliche Eindämmungskonzepte aus. Wenn der zentrale Verzeichnisdienst kompromittiert ist, gilt kein Endgerät mehr als sicher. Phishing-resistente MFA, Privileged Access Management (PAM), gestaffelte Administrationsmodelle (Tiering) und definierte Notfall-Reset-Verfahren für Konten entscheiden darüber, ob ein Vorfall isoliert eingedämmt werden kann oder eine manuelle Trennung aller Geräte erfordert. Sollten sich die BYOD-Behauptungen zum Entra-Tenant bestätigen, steht die Härtung des Identitätsmanagements an erster Stelle. 

5. Lageunsicherheit muss als Steuerungsfaktor institutionalisiert werden. In den ersten 24 Stunden agierte die Führung von UNM unter erheblicher Informationsunsicherheit bezüglich Schadensausmaß, Akteur und Datenabfluss. Dennoch wurden folgerichtige operative Entscheidungen getroffen (Abmeldung, Terminabsagen, Netztrennung, stufenweiser Wiederanlauf). Vorab autorisierte Standard-Betriebsverfahren (SOPs) für Versorgungsunterbrechungen und Notbetriebe ermöglichen schnelles und rechtssicheres Handeln trotz unklarer Lage. 

6. Regionale Vernetzung ist integraler Bestandteil der Cyber-Resilienz. Resilienz endet nicht an der eigenen Grundstücksgrenze. Kooperationsabkommen mit umliegenden Betreibern, abgestimmte Leitstellenprotokolle und planbare Pufferkapazitäten sind essenzielle Resilienz-Maßnahmen, nicht bloße Formsache im Katastrophenschutz. 

Praxisleitfaden: Cyber-Resilienz und Incident Response für Krankenhäuser 

Phase 1 – Sofortmaßnahmen (0–24 Stunden) 

• Aktivierung des Krisenstabs unter obligatorischer Einbindung der ärztlichen und pflegerischen Leitung auf Augenhöhe mit der IT-Leitung. 

• Inbetriebnahme eines verifizierten Out-of-Band-Kommunikationskanals (die Erpresserforderung via Session unterstreicht, dass reguläre Kommunikationskanäle kompromittiert sein können). 

• Festlegung präziser Schwellenwerte für Versorgungsabmeldungen vor Vorliegen des vollen Lagebilds; klare Zuweisung von Entscheidungsbefugnissen. 

• Sicherung flüchtiger digitaler Beweise vor pauschalen Systemabschaltungen, sofern zeitlich vertretbar – unter der Prämisse: Patientensicherheit bricht Forensik. 

• Segmentbezogene Netzwerktrennung anstelle von unkontrolliertem Ziehen der Netzstecker, wo immer Netzwerk- und EDR-Telemetrie eine fundierte Eingrenzung erlauben. 

• Inkraftsetzen erprobter Papier-Notfallprozesse pro Organisationseinheit; Benennung von Dokumentationsverantwortlichen für den Ausfallbetrieb. 

Phase 2 – Stabilisierung und Wiederanlauf (24–72 Stunden) 

• Wiederanlauf nach klinischer Priorisierung: Vitalbedrohliche Systeme und Akutversorgung zuerst, administrative Systeme zuletzt. 

• Verifikation der Integrität des Identitätsmanagements vor Freigabe für Benutzerkonten – Rücksetzen privilegierter Konten, Validierung von Richtlinien für bedingten Zugriff (Conditional Access), Prüfung auf Persistenzmechanismen. 

• Gezielte Funktionsprüfungen von Medizingeräten und Gebäude-OT: Infusionspumpen-Medikationsdatenbanken, Bildübertragungsketten, Laborschnittstellen, HLK- und Notfallmeldesysteme. 

• Konsolidierung und nachträgliche Übertragung der Papierdokumentation in das KIS nach dem Vier-Augen-Prinzip. 

• Verstärktes Monitoring auf Re-Infektionen – die Wiederanlaufphase wird von Angreifern häufig genutzt, um verbliebene Persistenzen zu reaktivieren. 

• Forensische Klärung möglicher Datenabflüsse, bevor öffentliche Aussagen getroffen werden. 

Die reine Netzwerkverfügbarkeit bedeutet noch keine Wiederherstellung. Der Vorfall ist erst bewältigt, wenn die medizinische Leitung den sicheren Regelbetrieb unter Volllast freigibt – das Kriterium ist die Versorgungsqualität, nicht bloß ein erfolgreicher „Ping“. 

Phase 3 – Nachbereitung und Härtung (7–30 Tage) 

• Beauftragung einer detaillierten Ursachenanalyse (Root Cause Analysis); lückenlose Rekonstruktion des Angriffspfads. 

• Schließen identifizierter Schwachstellen; Überprüfung vergleichbarer Systeme auf identische Risiken. 

• Nachsegmentierung an Schnittstellen, die sich als Schwachpunkte erwiesen haben; Härtung von Dienstleister-Fernzugriffen über zeitlich limitierte, auditierte Sitzungen via Jump-Hosts. 

• Validierung der Backup-Systeme hinsichtlich Datenintegrität, Unveränderbarkeit (Immutability) und logischer Isolation vom primären Directory Service. 

• Durchführung einer Krisenstabsübung (Tabletop) auf Basis der angepassten Notfallpläne unter Einbindung externer Rettungsdienste und regionaler Nachbarkliniken. 

Phase 4 – Strategische Cyber-Resilienz (30–90 Tage und fortlaufend) 

• Etablierung einer kontinuierlichen Asset-Sichtbarkeit über IT, Medizintechnik und Gebäude-OT – Einsatz passiver Discovery-Verfahren für scankritische Systeme. 

• Ausrichtung der Netzwerkarchitektur an den BSI-Standards, IEC 62443 (Zonen/Conduits) und B3S Krankenhaus; regelmäßiges Benchmarking. 

• Verknüpfung technischer Sicherheitsmetriken mit dem operativen Risikomanagement: Übergangszeit in den gesicherten Notbetrieb, Wiederanlaufzeiten klinischer Kernprozesse, Abdeckungsgrad passiver Überwachung in klinischen VLANs. 

• Feste Verankerung von IT- und OT-Sicherheitsrisiken auf der Vorstandsebene mit gleichem Stellenwert wie finanzielle oder medizinische Risiken. 

Checkliste für CISOs: Ist Ihre Einrichtung auf ein solches Szenario vorbereitet? 

1. Kann der Notaufnahme- und Intensivbetrieb bei einem totalen IT-Ausfall nachweisbar aufrechterhalten werden? (Verlangen Sie Übungsnachweise, keine reinen Richtlinienpapiere.) 

2. Wie lange dauert die Umstellung auf den papierbasierten Notbetrieb in den kritischen Versorgungsbereichen? 

3. Liegt ein aktuelles, automatisiert gepflegtes Inventar aller vernetzten Medizinprodukte und OT-Systeme inklusive ihrer Kommunikationsbeziehungen vor? 

4. Könnten Sie bei einer Kompromittierung des Verzeichnisdienstes klinische Systeme netzwerkseitig isolieren, ohne physisch alle Netzkabel ziehen zu müssen? 

5. Sind Enterprise-IT, Medizintechnik, Gebäudeautomation und Rechenzentren über überwachte Schnittstellen segmentiert – und wann wurde dies zuletzt geprüft? 

6. Ist Ihre Sicherheitsüberwachung in der Lage, unberechtigte Fernzugriffe und auffällige Seitwärtsbewegungen (East-West-Traffic) in Richtung klinischer VLANs frühzeitig zu erkennen? 

7. Unterliegen privilegierte Administratorenkonten und Herstellerfernzugriffe durchgängig einer strikten Mehrfaktor-Authentisierung, Sitzungsaufzeichnung und Zeitbegrenzung? 

8. Entsprechen die Wiederanlauf-Zeitvorgaben (RTO) den klinischen Notwendigkeiten – und liegt die Freigabe des Wiederanlaufs bei der medizinischen Leitung? 

9. Sind Datensicherungen gegen Manipulation geschützt, vom primären Identitätsmanagementsystem isoliert und wurde der Wiederanlauf klinischer Kernsysteme daraus real getestet? 

10. Existieren verbindliche SOPs für die Abmeldung von der Notfallversorgung und für die regionale Lastverteilung mit Rettungsleitstellen? 

11. Sind die regulatorischen Meldeprozesse (Meldepflichten gemäß BSI-Gesetz / KRITIS-Vorgaben, DSGVO) klar geregelt und juristisch freigegeben? 

12. Wird der Geschäftsführung ein nachvollziehbares operatives Cyber-Risikoprofil vorgelegt, anstatt rein formaler Auditberichte? 

Lautet die Antwort auf eine dieser Fragen „Nein“ oder „Nicht sicher“, zeigt der Fall UNM Health sehr deutlich, welche betrieblichen und versorgungskritischen Konsequenzen diese Lücken im Ernstfall nach sich ziehen. 

Fazit: Cyber-Resilienz sichert die Kontinuität der Patientenversorgung 

Der Cyberangriff auf UNM Health wird in Erinnerung bleiben: Ein überregionales Traumazentrum der höchsten Versorgungsstufe musste Notfallpatienten aufgrund eines IT-Problems abweisen. Unabhängig davon, ob der Vorfall letztlich auf Ransomware, reinen Datendiebstahl oder Sabotage zurückzuführen ist, stehen die Kernlehren fest: Die Verfügbarkeit klinischer Systeme ist unmittelbar patientensicherheitsrelevant; Identitätsinfrastrukturen sind die Achillesferse moderner Kliniken; durchdachte Segmentierung und regelmäßig geübte Notfallprozesse verhindern eine medizinische Katastrophe; und kein Krankenhaus bewältigt eine solche Krise isoliert. 

Verantwortliche Einrichtungen fragen sich daher nicht: „Sind wir ein potenzielles Ziel?“, sondern: „Wie stellen wir die lückenlose Patientensicherheit sicher, wenn der Vorfall eintritt?“ – und untermauern diese Antwort mit messbaren Prozessen.