Am 21. Mai 2026 wurde öffentlich, was viele Geschäftsführer bislang als theoretisches Risiko abgetan hatten: Die fünf Uniklinken Freiburg, Heidelberg, Tübingen, Ulm und Mannheim mussten ihren Patienten mitteilen, dass deren Stammdaten, Adressen und in vielen Fällen Diagnosen und Rechnungsdaten gestohlen wurden — bei einem externen Dienstleister, der die wahlärztlichen Leistungen abrechnet (Ärzteblatt, 21.05.2026).
Allein in Freiburg sind 54.000 Patienten betroffen, in Heidelberg 11.000, in Tübingen 5.000 (davon 1.200 mit konkreten Gesundheitsdaten), in Ulm 1.600. Die Kliniken haben den Datenfluss sofort gestoppt — der Schaden ist trotzdem da.
Und hier kommt der unbequeme Teil für jeden Geschäftsführer: Die Patienten halten sich nicht an den Dienstleister. Sie halten sich an die Klinik. Genau das passiert jedem Unternehmen, dessen Auftragsverarbeiter gehackt wird.
Die DSGVO unterscheidet sauber zwischen Verantwortlichem (Sie, das Unternehmen, das die Daten erhebt) und Auftragsverarbeiter (Ihr Dienstleister, der die Daten in Ihrem Auftrag verarbeitet). Klingt nach Lastenteilung — ist aber keine. Nach Art. 24 DSGVO ist und bleibt der Verantwortliche derjenige, der gegenüber den Betroffenen und der Aufsichtsbehörde geradesteht.
Konkret heißt das bei einem Hack beim Dienstleister:
Sie als Auftraggeber tragen damit drei Risiken gleichzeitig: die Meldung an die Behörde, die Information der betroffenen Personen (Art. 34 DSGVO, sobald hohes Risiko besteht — bei Gesundheitsdaten praktisch immer) und die zivilrechtliche Haftung bei Schadenersatzklagen. Der gehackte Dienstleister haftet zwar mit (Art. 82 Abs. 2 DSGVO), aber im Außenverhältnis stehen Sie zuerst da.
Die 72-Stunden-Frist beginnt nicht erst, wenn Sie sicher wissen, dass Sie betroffen sind. Sie beginnt, sobald Sie Kenntnis vom Vorfall erlangen. Das hat die Hamburgische Datenschutzbehörde im Leitfaden 2024 klargestellt — und prüft das in jüngeren Verfahren strikt.
Wenn Sie jetzt denken "Wir sind keine Uniklinik" — der typische Mittelständler hat im Schnitt 10 bis 25 aktive Auftragsverarbeiter. Die meisten Geschäftsführer kennen davon vier:
Was dazu kommt, wird gerne vergessen: Telefonanlage in der Cloud (Gespräche, Rufnummern), Recruiting-Plattform (Bewerberdaten), Webdesign-Agentur mit Backend-Zugriff, externer Newsletter-Texter mit Liste, das Tool für die Mitarbeiterbefragung, das KI-Transkriptionstool für Meetings.
Wir sehen das bei unseren Mandanten regelmäßig: Die ersten 10 Dienstleister sind schnell genannt. Ab Nummer 15 fängt das Nachdenken an. Bei 22 sagt der Geschäftsführer "Stopp, das kann ich allein nicht mehr". Genau dort beginnt das Risiko — bei dem Dienstleister, an den niemand mehr denkt, weil er irgendwann vor drei Jahren mal eingerichtet wurde.
Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner — trotzdem war es ein Angriff. Genau dieses Muster sehen wir jetzt bei den Unikliniken: Es trifft die Dienstleister, weil die in der Regel weniger gut abgesichert sind als die großen Auftraggeber.
Nils OehmichenDatenschutzberater bei frag.hugo
Wir haben den Plan aus zwei Dutzend Vorfällen destilliert, die wir in den letzten 24 Monaten begleitet haben. Er ist kein Allheilmittel — aber wer ihn diese Woche abarbeitet, ist im Ernstfall handlungsfähig und nicht in Panik.
Bei einem Hamburger Mandanten (Steuerberater-Kanzlei, 28 Mitarbeiter) haben wir genau diese Übung im März 2026 gemacht. Ergebnis: 23 Dienstleister, davon 7 ohne aktuellen AVV, 3 mit Zugang in die Steuer-Akten ohne MFA. Die Lücken waren in zwei Wochen geschlossen. Sechs Wochen später wurde tatsächlich einer der Dienstleister angegriffen — die Kanzlei wusste innerhalb von zwei Stunden, was zu tun ist.
Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand" (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →
Was viele unterschätzen: Mit dem NIS2UmsuCG (Umsetzung der EU-Richtlinie 2022/2555, im Bundestag verabschiedet) wird die Sicherheit der Lieferkette zur gesetzlichen Pflicht für eine ganze Klasse von Unternehmen. Wer als KMU an einen NIS2-pflichtigen Auftraggeber liefert (typisch: Gesundheitswesen, Energie, Banken, Logistik, IT-Dienstleister), wird vom Kunden über Audits dazu gezwungen, das eigene Sicherheitsniveau nachzuweisen.
| Pflicht | Wer ist direkt verpflichtet? | Wer wird indirekt gezwungen? |
|---|---|---|
| Risikomanagement Lieferkette | Wesentliche & wichtige Einrichtungen (NIS2 Anhang I+II) | Alle Zulieferer dieser Einrichtungen |
| Meldepflicht 24h / 72h | Wesentliche & wichtige Einrichtungen | Zulieferer per Vertrag |
| Geschäftsleitungs-Haftung | NIS2-pflichtige Unternehmen | Über Vertragsstrafen weitergereicht |
| Audit-Nachweise | NIS2-pflichtige Unternehmen | Per Audit-Pflicht im AVV/Lieferantenvertrag |
Mit anderen Worten: Auch wenn Ihr 40-Mann-IT-Dienstleister selbst nicht NIS2-pflichtig ist — sobald er einen Kunden aus dem Bankensektor oder dem Gesundheitswesen bedient, wird der Kunde von ihm Sicherheits-Nachweise einfordern. Hugo Shield wurde genau dafür gebaut: damit kleinere Zulieferer den großen Kunden in 4 Wochen statt 4 Monaten überzeugen können.
Die Klinik-Datenschutzbehörde Baden-Württemberg untersucht den Fall. Die Kliniken haben Anzeige erstattet. Die betroffenen Patienten werden persönlich informiert. Was in den nächsten Monaten kommt: Klagen einzelner Patienten, behördliche Verfahren, Vertragsanpassungen. Der Dienstleister wird in jedem Fall ausgetauscht.
Und das wird teuer. Nicht für den Hacker. Nicht für den Dienstleister. Für die Kliniken.
Sie können diese Geschichte als reine Nachricht abhaken — oder als Aufforderung verstehen, das eigene Lieferketten-Risiko zu kennen, bevor es Ihnen passiert. Ein erster Schritt sind 15 Minuten Telefonat mit einem unserer Datenschutz-Experten: Sie schildern Ihre Situation, wir sagen Ihnen, wo Sie stehen und was die nächsten drei Schritte sind. Keine Folie, kein Verkaufstermin.
Sie wollen wissen, wo Ihre Lieferketten-Risiken liegen?
15 Minuten kostenloses Erstgespräch mit Nils Oehmichen. Wir gehen Ihre Top-5-Dienstleister durch und sagen Ihnen, was DSGVO-konform abgesichert ist — und was nicht. Konkret. Ohne Floskeln.
Erstgespräch buchen →Im Außenverhältnis zuerst Sie als Verantwortlicher (Art. 24 DSGVO). Gegenüber der Aufsichtsbehörde sind Sie meldepflichtig, gegenüber den Betroffenen informationspflichtig (Art. 33, 34 DSGVO). Im Innenverhältnis können Sie den Dienstleister in Regress nehmen — sofern Ihr Auftragsverarbeitungsvertrag das sauber regelt.
Nein. Der Auftragsverarbeiter informiert ausschließlich Sie als Verantwortlichen (Art. 33 Abs. 2 DSGVO). Die Meldung an die Behörde und die Information der Betroffenen müssen Sie selbst veranlassen — und zwar in der 72-Stunden-Frist ab Ihrer Kenntnisnahme.
Pflichtinhalte regelt Art. 28 Abs. 3 DSGVO: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Pflichten des Auftragsverarbeiters (TOM, Unterauftragsverarbeiter, Mitwirkungspflichten, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung am Ende). Eine ausführliche Anleitung mit Muster finden Sie hier.
Sobald der Dienstleister Sie informiert, läuft Ihre 72-Stunden-Frist. Praktisch heißt das: Innerhalb von 24 Stunden den Notfallstab aktivieren, innerhalb von 48 Stunden Behördenmeldung vorbereitet, innerhalb von 72 Stunden gemeldet. Mit einem vorbereiteten Notfallplan ist das machbar, ohne wird es panisch.
Pflicht ist ein DSB ab 20 Mitarbeitern mit automatisierter Datenverarbeitung (§ 38 BDSG) oder bei besonderer Datenkategorie (Art. 37 DSGVO). Sinnvoll ist die externe Lösung für die meisten KMU schon viel früher — weil ein Vorfall wie der Uniklinik-Hack ohne erfahrene Begleitung in den ersten 72 Stunden gerne zu Folgefehlern führt, die teurer sind als drei Jahre DSB-Honorar.
Der Hugo Check ist ein kostenloser Website-Scanner, der die offensichtlichen DSGVO-Lücken auf Ihrer Website findet (Cookies, Tracker, Drittland-Tools). Die Hugo DSB-Plattform verwaltet Ihre Auftragsverarbeiter, AVVs, TOMs, Datenpannen-Dokumentation und 72-Stunden-Meldung an einem Ort — mit echtem Datenschutzbeauftragten im Hintergrund.
Inhaltsverzeichnis
Mitarbeiter hat Phishing-Mail geöffnet? Die 7 Sofortmaßnahmen für Hamburger Unternehmen – plus Meldepflicht-Check und Präventionstipps.
Weiterlesen
Incident Response für Unternehmen: So reagieren Sie richtig auf Cyberangriffe und IT-Sicherheitsvorfälle. Notfallplan mit 6 Schritten + Checkliste.
Weiterlesen
Einleitung Liebe Leserinnen und Leser, in der heutigen digitalen Geschäftswelt, die sich stetig weiterentwickelt, sind Datenschutz und IT-Sicherheit...
WeiterlesenÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
