Aktuelles

Es war ein Kontaktformular... Hacker erbeuten bei der Charité rund 140.000 Datensätze

Man hätte gewarnt sein können, ja gewarnt sein müssen: wieder Berlin, wieder die Charité, die vor kurzem schon einmal schlechte Presse bzgl. IT-Sicherheit hatte. Was ist da passiert?

Freitagvormittag, in Zehntausenden Postfächern landet dieselbe E-Mail der Charité. Sinngemäß steht darin: Jemand war auf unserem Server, und Ihre Daten waren auch dabei. Betroffen sind Beschäftigte, Studierende und Menschen, die über die Website einfach nur mal einen Termin anfragen wollten. Die Krankenversorgung läuft weiter, der Krankenhausbetrieb ist nicht betroffen. Die eigentliche Frage aber lautet: Warum lagen all diese Daten überhaupt auf dem Webserver?

Eine Rundmail, die niemand bekommen möchte

Am 30. Oktober macht Europas bekanntestes Universitätsklinikum öffentlich, was intern wohl schon seit Tagen klar ist: Unbekannte haben sich Zugriff auf den Webserver der Charité verschafft, also genau auf den Rechner, auf dem auch die öffentliche Website läuft. Dabei flossen personenbezogene Kontaktdaten ab. „Dabei war leider auch eine Datei betroffen, die Angaben zu Ihrer Person enthalten“, heißt es laut Tagesspiegel in der Mail an die Betroffenen.

Die Dimension nannte ein Sprecher auf Anfrage des Deutschen Ärzteblatts. Die Charité geht von folgenden Gruppen aus:

Betroffene Gruppe	Anzahl (ca.)
Mitarbeitende und Studierende	46.000
Empfänger des Presse- und Newsletterverteilers	1.500
Personen, die das Kontaktformular genutzt haben	90.000
Gesamt	knapp 140.000

Die größte Gruppe sind also nicht die eigenen Leute, sondern Externe. Darunter Patientinnen und Patienten, die über das Webformular Kontakt aufgenommen hatten, etwa um einen Termin zu vereinbaren. Daher rührt auch die Schlagzeile, Hacker hätten Patientendaten erbeutet.

Was weg ist und was nicht

Hier lohnt sich Präzision, denn „Patientendaten“ klingt nach Diagnosen, Befunden und Urinproben. Nach Darstellung der Charité ist genau das nicht passiert. Sensible Gesundheitsdaten seien ausdrücklich nicht betroffen. Laut Tagesspiegel nennt die Klinik für die abgeflossenen Datensätze Namen und die Zugehörigkeit zu einer Organisation. Anhaltspunkte, dass die Daten bereits veröffentlicht oder missbraucht wurden, gibt es nach Angaben der Charité bislang nicht.

Die Klinik hat die betroffenen Server nach eigenen Angaben sofort isoliert und vom Netz genommen. Deshalb war die Website am Dienstag zeitweise nicht erreichbar. Der Zugangsweg sei zügig gefunden und geschlossen worden, die Schutzmaßnahmen habe man verstärkt. Die Charité hat Strafanzeige erstattet und steht nach eigenen Worten im engen Austausch mit Aufsichts- und Ermittlungsbehörden. Und sie bedauert den Vorfall, was man ihr glauben darf.

Offen bleibt bislang, wie die Angreifer hineingekommen sind, wer dahintersteckt und ob es eine Erpressung gibt. Dazu hat sich die Charité nicht geäußert.

PHP2Shell? Nein, sagt die Charité

Wer in den letzten Wochen die Technik-Nachrichten verfolgt hat, denkt sofort an einen Namen: PHP2Shell. Am 21. Oktober wurden zwei kritische Lücken im Kern der Programmiersprache PHP bekannt, mit der ein Großteil aller Websites betrieben wird, von WordPress bis TYPO3. Beide Schwachstellen sind mit 9,2 von 10 Punkten bewertet und erlauben es Angreifern, aus der Ferne eigenen Code auf Servern auszuführen. Das BSI rief Warnstufe Orange aus. Dazu kam ein Missgeschick: Technische Details sickerten vorab durch, bevor überall Updates eingespielt waren.

Die Folge war ein in dieser Form seltenes Bild. Städte, Ministerien und Universitätskliniken nahmen ihre Websites freiwillig vom Netz. Auch die Charité schaltete ihre Seiten komplett ab, als Vorsichtsmaßnahme, wie Sprecher Markus Heggen damals der dpa sagte. Inzwischen hat die US-Cyberbehörde CISA bestätigt, dass die Lücken tatsächlich aktiv ausgenutzt werden.

Ein Zusammenhang drängt sich also auf. Die Charité widerspricht jedoch ausdrücklich: Der Angriff habe nichts mit der weltweiten PHP-Lücke zu tun. Das ist eine klare Aussage, die man so stehen lassen muss, solange keine gegenteiligen Fakten auftauchen. Sie macht die Sache allerdings nicht beruhigender. Denn dann gab es eben noch einen zweiten Weg auf diesen Server.

Da ist der Wurm drin

Der Fall steht nicht allein. Die Charité selbst ordnet ihn in ihrer Mail in die aktuelle Welle von Cyberangriffen auf Institutionen in Deutschland und Europa ein. Ein Blick auf die letzten Wochen zeigt, warum:

Datum	Ereignis
August 2026	Hacker dringen in das Datennetz der Berliner Verwaltung ein. Die Gruppe Rhysida fordert Lösegeld, Berlin lehnt ab. Anfang September landen rund 1,44 Millionen Dateien mit 5,8 Terabyte im Darknet.
21. Oktober 2026	PHP2Shell wird bekannt. Die Charité nimmt ihre Website vorsorglich offline.
27. Oktober 2026	Die Charité isoliert nach dem Angriff die betroffenen Server, die Website ist zeitweise nicht erreichbar.
28. Oktober 2026	Die Universität Leipzig schaltet nach einem Hackerangriff alle mit dem Internet verbundenen Server ab.
30. Oktober 2026	Die Charité macht den Datenabfluss öffentlich.

Wieder Berlin, wieder eine große öffentliche Einrichtung. Und wieder die Erkenntnis, dass nicht die spektakulären Systeme fallen, sondern die vermeintlich banalen.

Name plus Terminanfrage: das perfekte Phishing-Paket

„Nur Name und Organisation“ klingt harmlos. Ist es aber nicht. Für Betrüger ist so eine Liste Gold wert, weil sie Kontext liefert. Eine Mail mit dem Betreff „Ihre Terminanfrage an der Charité“ wirkt nun einmal glaubwürdig, wenn man tatsächlich eine Terminanfrage gestellt hat. Genau das macht gezieltes Phishing so erfolgreich: Es knüpft an etwas Echtes an.

Wer betroffen ist oder die Charité in der Vergangenheit über die Website kontaktiert hat, sollte in den kommenden Wochen besonders skeptisch sein:

• Bei Mails mit Charité-Bezug genau hinschauen: Absenderadresse prüfen, nicht auf Links klicken, sondern die Website selbst aufrufen.
• Keine Daten nachreichen: Aufforderungen, Versichertennummer, Bankdaten oder Passwörter zu „bestätigen“, sind ein Alarmsignal.
• Im Zweifel anrufen: Über eine selbst recherchierte Telefonnummer, nicht über die aus der verdächtigen Mail.

Warum liegen 90.000 Anfragen auf einem Webserver?

Jetzt kommt der Teil, der jeden Website-Betreiber angeht, vom Klinikum bis zum Handwerksbetrieb. Die Angreifer haben den Server erwischt, auf dem die öffentliche Website läuft. Und auf diesem Server lagen offenbar die Daten von rund 90.000 Menschen, die irgendwann einmal das Kontaktformular benutzt hatten.

Wie lange diese Anfragen dort gespeichert waren und warum, hat die Charité nicht gesagt. Das Muster kennen wir aber aus dem eigenen Agenturalltag zur Genüge. Formular-Plugins, die jede einzelne Anfrage brav in die Datenbank schreiben und dort jahrelang aufbewahren. Niemand hat das bewusst so entschieden, es war einfach die Standardeinstellung. So wächst auf dem exponiertesten Rechner des ganzen Unternehmens still und leise ein beachtliches Datengrab, was für Hacker dennoch einen ziemlichen Wert hat.

Dabei ist der Webserver genau der Ort, an dem man am wenigsten Daten haben möchte. Er hängt direkt am Internet, er wird täglich von Bots abgeklopft, und wenn eine Lücke wie PHP2Shell auftaucht, streckt der als Erstes alle Viere von sich. Ein paar Grundsätze, die sich daraus ableiten:

• Durchreichen statt sammeln: Formularanfragen gehören ins Ticketsystem oder Postfach, nicht dauerhaft in die Datenbank der Website.
• Löschfristen setzen: Was gespeichert werden muss, wird nach einer festen Frist automatisch entfernt. Die DSGVO verlangt Datenminimierung ohnehin.
• Webserver und interne Daten trennen: Mitarbeiter- und Studierendenlisten haben auf dem Rechner der öffentlichen Website nichts verloren. Gar nichts!
• Die Laufzeitumgebung mitdenken: Ein WordPress-Update ersetzt kein PHP-Update. Beides muss aktuell sein, beim eigenen Server ebenso wie beim Hoster.
• Regelmäßig nachsehen: Einmal im Jahr prüfen, welche Daten auf dem Webserver eigentlich liegen. Die Antwort überrascht erstaunlich oft.

Forschen, Lehren, Heilen, Helfen und Löschen

„Forschen, Lehren, Heilen, Helfen“ lautet das Motto der Charité. Vier gute Verben für ein Klinikum mit über 300 Jahren Geschichte. Der aktuelle Fall legt nahe, dass ein fünftes fehlt: Löschen.

Denn den besten Schutz für Daten gibt es nicht in Form einer Firewall, sondern einer Entscheidung. Was nicht gespeichert ist, kann auch niemand stehlen. Das gilt für 90.000 Terminanfragen in Berlin genauso wie für die 300 Kontaktanfragen im Formular-Plugin Ihrer eigenen Website. Wann haben Sie dort zuletzt nachgesehen?

30.10.2026