Rund fünf Monate nach dem Cyberangriff auf den Abrechnungsdienstleister Unimed zieht das Städtische Krankenhaus Pirmasens Konsequenzen: Die Klinik verlangt von ihrem ehemaligen IT-Dienstleister Schadenersatz. Bei der Attacke Mitte April waren sensible Daten von Zehntausenden Patienten in ganz Deutschland gestohlen worden – darunter auch von knapp 1500 Patienten aus Pirmasens und der Region.
Das Städtische Krankenhaus Pirmasens macht nach dem Cyberangriff auf den Abrechnungsdienstleister Unimed Schadenersatzansprüche gegen das Unternehmen geltend. Das bestätigte die Klinik gegenüber der „Rheinpfalz“ [1]. Unimed, ein Dienstleister für die Abrechnung von Privatpatienten-Leistungen vieler deutscher Kliniken, war Mitte April Ziel eines Hackerangriffs geworden. Dabei gelangten Kriminelle an sensible Gesundheitsdaten von Zehntausenden Patienten – darunter auch von rund 1500 Patienten des Pirmasenser Krankenhauses und der Region [1] [2].
Die Forderung der Klinik
Wie hoch die Schadenersatzforderung des Krankenhauses konkret ausfällt, ist bislang nicht öffentlich bekannt. Die Klinik hat die genaue Summe nicht kommuniziert; auch Unimed äußerte sich dazu bislang nicht. Klar ist jedoch, dass das Haus die Angelegenheit nicht auf sich beruhen lassen will. Bereits im Juli hatte Geschäftsführer Christian Koob gegenüber der „Rheinpfalz“ bestätigt, dass Schadenersatzforderungen geprüft würden [3]. Inzwischen ist daraus eine konkrete Forderung an den ehemaligen Dienstleister geworden [1].
Die Klinik sieht sich nicht nur als Vermittlerin betroffener Patientendaten, sondern als selbst Geschädigte. Der Angriff traf Unimed als zentralen Abrechnungspartner, über den das Krankenhaus Leistungen für Privatpatienten und Selbstzahler abwickelt. Welche konkreten Schäden das Haus geltend macht – etwa Aufwendungen für die Benachrichtigung Betroffener, IT-Prüfungen oder Reputationsschäden –, ist aus den öffentlich zugänglichen Angaben nicht im Detail ersichtlich.
Was der Angriff für die Patienten bedeutete
Der Cyberangriff auf Unimed vom 14. April 2026 hatte bundesweit erhebliche Auswirkungen. Nach Angaben des Unternehmens und von Behörden wurden sensible Gesundheitsdaten von mehr als 72.000 Patienten gestohlen [4]. Betroffen waren ausschließlich Privatpatienten und Selbstzahler, deren Abrechnungen Unimed abwickelt; Kassenpatienten waren nach Unternehmensangaben nicht betroffen [5]. Zu den gestohlenen Daten zählen Namen, Adressen, Gesundheitsdaten und teils Kontoverbindungen [4].
Das Städtische Krankenhaus Pirmasens erfuhr nach eigenen Angaben erst am 20. Mai – mehr als einen Monat nach dem Angriff – von dem Vorfall [2]. Für die rund 1500 betroffenen Patienten aus Pirmasens und der Südwestpfalz bedeutete das eine lange Phase der Ungewissheit. Verbraucherschützer rieten Betroffenen, angesichts der sensiblen Datenlage wachsam zu sein und etwa auf ungewöhnliche Kontobewegungen oder betrügerische Kontaktversuche zu achten [2].
Wie Unimed reagiert
Unimed selbst hat den Vorfall eingeräumt und auf seiner Website eine Informationsseite zum Sicherheitsvorfall eingerichtet [6]. Das Unternehmen erklärte, die Kliniken bei der Benachrichtigung betroffener Patienten zu unterstützen und von einem begrenzten Datenabfluss auszugehen [6]. Zugleich wiesen IT-Experten darauf hin, dass die späte Information der Betroffenen kritisch zu bewerten sei, da gestohlene Gesundheitsdaten über lange Zeit missbraucht werden könnten [5].
Ob Unimed auf die Schadenersatzforderung des Pirmasenser Krankenhauses eingehen wird, ist offen. Das Unternehmen hat sich zu den Ansprüchen bislang nicht öffentlich geäußert. Sollte es zu keiner Einigung kommen, dürfte der Fall vor Gericht landen – ein Präzedenzfall, der für die Branche Signalwirkung hätte.
Ein wachsendes Risiko für den Gesundheitssektor
Der Fall Pirmasens steht exemplarisch für ein strukturelles Problem: Viele Krankenhäuser lagern sensible Abrechnungs- und Patientendaten an externe Dienstleister aus, deren IT-Sicherheit sie nur begrenzt kontrollieren können. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte nach dem Unimed-Vorfall darauf hingewiesen, dass die Zahl der Angriffe auf Dienstleister in den vergangenen Jahren merklich gestiegen sei [4].
Für die Kliniken stellt sich damit zunehmend die Frage nach Haftung und Verantwortung entlang der Lieferkette. Die NIS-2-Richtlinie der EU, die strengere Anforderungen an die Cybersicherheit kritischer Infrastrukturen stellt, dürfte den Druck auf Krankenhäuser und ihre Dienstleister weiter erhöhen [7]. Der Streit zwischen dem Pirmasenser Krankenhaus und Unimed könnte dabei zu einem Referenzfall werden, wie Kliniken Schäden aus Angriffen auf externe Partner künftig geltend machen.