Von einem Cyberangriff auf einen externen Dienstleister, der für nahezu alle Universitätsklinika und viele weitere größere Kliniken in Deutschland privat- und wahlärztliche Abrechnungen übernommen hat, sind auch Patientinnen und Patienten des Evangelischen Amalie Sieveking Krankenhauses betroffen. Dieser Cyberangriff betraf dabei ausschließlich den externen Dienstleister und nicht unsere Einrichtung selbst.

Nach Auskunft des Dienstleisters sind nach aktuellem Stand

• insgesamt 250 Datensätze zu Patientinnen und Patienten des Evangelischen Amalie Sieveking Krankenhauses betroffen

Der Datenzeitraum erstreckt sich im Evangelischen Amalie Sieveking Krankenhaus von 2008 bis 2024. Das Vertragsverhältnis zum Abrechnungsdienstleister ist seit April 2024 gekündigt; danach wurden nur noch zeitlich davor liegende Abrechnungsfälle abgewickelt.

Folgende Datenkategorien sind betroffen:

• Namen, Geburtsdaten, Adress- und Kontaktdaten
• Angaben zum behandelnden Arzt
• Sensible Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO in insgesamt 44 Fällen

Vollständige Patientenakten sind nach derzeitigem Kenntnisstand nicht betroffen. Die Datensätze entstammen der wahlärztlichen Abrechnungskorrespondenz; in einem Teil der Fälle sind dabei zwangsläufig auch medizinische Informationen enthalten.

Das von dem Cyberangriff betroffene Unternehmen betont, dass von ihm beauftragte Experten die Gefahr einer Veröffentlichung der entwendeten Daten für nicht wahrscheinlich hielten. Gleichwohl seien umfangreiche Maßnahmen getroffen worden, um die betroffenen Daten durch ein engmaschiges Monitoring zu erkennen, sollten diese wider Erwarten doch im Netz veröffentlicht werden.

Wir werden in den kommenden Tagen die betroffenen Patientinnen und Patienten mit einem persönlichen Schreiben informieren.

Wir haben sofort jegliche noch bestehende Schnittstellen ausgesetzt und die Meldung an den Landesdatenschutzbeauftragten vorgenommen. Selbstverständlich steht Betroffenen unsere Datenschutzbeauftragte zur Verfügung.

Das Bundesamt für Sicherheit in der Informationstechnik gibt Betroffenen Empfehlungen zum weiteren Vorgehen. Bitte informieren Sie sich über die Empfehlungen direkt beim Bundesamt für Sicherheit in der Informationstechnik.

Im Rahmen der internen Analyse zu den Folgen des Cyberangriffs wurde ein weiterer Datenschutzvorfall festgestellt, der unmittelbar im Zusammenhang mit dem ehemals beauftragten Unternehmen steht. So wurden Patientendaten trotz abgelaufener Aufbewahrungsfristen seitens des externen Abrechnungsdienstleisters nicht fristgerecht gelöscht. Hiervon sind 250 Datensätze betroffen. Das Unternehmen ist mit Fristsetzung aufgefordert, die betreffenden Daten zu löschen. Der Vorfall wurde ebenfalls an den Landesdatenschutzbeauftragten gemeldet und alle Betroffenen werden postalisch informiert.

Wir nehmen den Datenschutz unserer Patientinnen und Patienten sehr ernst und bedauern die Vorfälle sehr. Leider war es dem externen Dienstleister erst jetzt möglich, nähere Auskünfte zum Umfang der entwendeten Daten zu geben. Der Cyberangriff fand bereits am 14. April statt. Wir sind sowohl mit dem ehemaligen externen Abrechnungsdienstleister als auch mit der Datenschutzbehörde in einem engen Austausch.

Wenn Sie Fragen haben, wenden Sie sich bitte an unsere Kontaktstelle Datenschutz unter datenschutz-unimed@amalie.de