Vorfall-Lagebild: Charité-Webserver gehackt: Kontaktdaten abgeflossen

Von Max Gilg · 30.10.2026 · 5 Min. Lesezeit

Vorfall-Lagebild · Erstmeldung · Stand 30.10.2026 14:37

So viel ist belegt: rund 45 % der Fragen lassen sich mit Quellen beantworten, 21 % nur mit Vermutungen, 34 % sind offen.

Unbekannte sind in einen Webserver der Charité eingedrungen und haben Kontaktdaten von Beschäftigten, Studierenden und externen Personen abgegriffen, die das Kontaktformular der Website genutzt hatten. Laut Charité ist die Krankenversorgung nicht beeinträchtigt, nach aktuellem Stand sind keine Patientendaten betroffen, der Zugangsweg ist geschlossen und es wurde Strafanzeige erstattet. Die Charité selbst schließt einen Zusammenhang mit der kritischen PHP-Lücke php2shell aus, wegen der sie ihre Website am 21.10.2026 vorsorglich vom Netz genommen hatte; die Abschaltung am Dienstag, 27.10., gehört laut t-online und Tagesspiegel dagegen zum Angriff.

1. Was ist passiert, und warum?

• Belegt: Unbekannte haben sich Zugriff auf einen Webserver der Charité verschafft und Daten erbeutet (Stellungnahme der Charité) (Quelle).
• Belegt: Betroffen ist laut Charité-Rundmail eine Datei mit Angaben zu Personen; laut Charité handelt es sich um Name und Organisationszugehörigkeit (Quelle).
• Belegt: Der Zugangsweg wurde laut Charité-Sprecher zügig identifiziert und geschlossen, die Ursache wurde analysiert und die Schutzmaßnahmen wurden verstärkt (Quelle).
• Belegt: Laut Charité hat der Angriff nichts mit der weltweiten PHP-Sicherheitslücke aus der Vorwoche zu tun (Quelle).
• Vermutlich: Der Einstieg lief über eine Schwachstelle oder Fehlkonfiguration in der Web-Anwendung selbst (CMS, Erweiterung, Formular-Komponente), nicht über das interne Kliniknetz (zu 60 % sicher). Betroffen ist nach Charité-Angaben ein Webserver mit Formulardaten; das ist der typische Angriffspunkt bei solchen Vorfällen. Belegt ist es nicht.
• Vermutlich: Der Angriff steht trotz des Dementis im Zusammenhang mit php2shell (zu 15 % sicher). Die Charité verneint das ausdrücklich, sie hat nach eigener Analyse den Zugangsweg gefunden. Zeitlich liegt beides nah beieinander, Amazon sah Angriffsversuche schon ab 17.10.
• Offen: Wann der Angriff begann und wie lange die Angreifer Zugriff hatten
• Offen: Über welchen Weg (Schwachstelle, Zugangsdaten, Dienstleister) sie hineinkamen
• Offen: Wer dahintersteckt und welches Motiv es gibt
• Offen: Ob es eine Erpressung gibt

2. Was ist die Auswirkung?

• Belegt: Abgeflossen sind personenbezogene Kontaktdaten von Mitarbeitenden und Studierenden sowie von externen Personen, die über das Kontaktformular Kontakt aufgenommen hatten, etwa für Terminanfragen (Quelle).
• Belegt: Die Krankenversorgung war laut Charité nicht beeinträchtigt; sensible Gesundheitsdaten von Patienten sind nach aktuellem Stand nicht betroffen (Quelle).
• Belegt: Wie viele Daten abgeflossen sind, ist noch unbekannt (Quelle).
• Belegt: Bisher ist nicht bekannt, dass die Daten veröffentlicht oder missbraucht wurden (Quelle).
• Belegt: Die Website war am Dienstag zeitweise nicht erreichbar, weil der betroffene Server isoliert und vom Netz genommen wurde (Quelle).
• Vermutlich: Die Betroffenen bekommen gezielte Phishing-Mails, die sich als Charité ausgeben (zu 55 % sicher). Name, Kontaktdaten und Organisationszugehörigkeit eignen sich gut für glaubwürdige Phishing-Mails. Ob die Daten tatsächlich genutzt werden, ist offen.
• Vermutlich: Klinische Systeme wurden mitkompromittiert (zu 8 % sicher). Die Charité nennt nur einen Webserver und schließt Patientendaten nach aktuellem Stand aus. Bei Websites ist das Hosting meist vom Kliniknetz getrennt.
• Offen: Anzahl der betroffenen Personen
• Offen: Ob die Formulardaten auch den Inhalt der Anfragen enthalten, also etwa Hinweise auf Erkrankungen
• Offen: Ob die Daten im Darknet auftauchen

3. Wie lange dauert es digital (Wiederherstellung IT)?

• Belegt: Der betroffene Server wurde isoliert, die Website war am Dienstag nur kurz nicht erreichbar (Quelle).
• Belegt: Die Charité hat ein externes IT-Unternehmen beauftragt und Strafanzeige erstattet (Quelle).
• Vermutlich: Der sichtbare Betrieb ist weitgehend wiederhergestellt, die forensische Aufarbeitung dauert noch Wochen (zu 70 % sicher). Die Ausfallzeit war laut Berichten kurz. Bei einem Datenabfluss muss aber genau geklärt werden, was abgeflossen ist und wer informiert wird, das braucht erfahrungsgemäß Zeit.
• Offen: Ob der betroffene Server neu aufgesetzt oder ersetzt wurde
• Offen: Wann die forensische Untersuchung abgeschlossen ist

4. Ist in der Anlage etwas kaputt, das lange dauert?

• Belegt: Die Krankenversorgung war laut Charité in keiner Weise beeinträchtigt (Quelle).
• Vermutlich: Medizintechnik, Gebäudetechnik oder andere klinische Betriebstechnik sind nicht betroffen (zu 88 % sicher). Betroffen ist nach allen Angaben ein Webserver, die Versorgung lief normal. Restunsicherheit bleibt, solange die Forensik nicht abgeschlossen ist.
• Offen: Ob Server und internes Kliniknetz technisch voneinander getrennt sind; die Charité hat dazu nichts veröffentlicht

5. Wie viele solcher Ziele gibt es?

• Belegt: Wegen der PHP-Lücke php2shell (CVE-2026-109618/-109619) haben am 21. und 22.10. neben der Charité auch die Unikliniken Köln, Düsseldorf, Freiburg, Heidelberg und Mannheim ihre Websites vorsorglich vom Netz genommen (Quelle).
• Belegt: Der Forscher Silas Cutler schätzt laut Tenable grob über 1,3 Millionen aus dem Internet erreichbare, möglicherweise verwundbare PHP-Hosts weltweit; andere Zählungen kommen auf deutlich andere Werte (Quelle).
• Belegt: Die Universität Leipzig hat nach einem Angriff am 28.10. vorsorglich alle Server mit Internetanbindung vom Netz genommen, Website und E-Mail fielen aus (Quelle).
• Vermutlich: Fast jedes Krankenhaus und jede Hochschule betreibt Websites mit Kontakt- oder Terminformularen, die aus dem Internet erreichbar sind (zu 85 % sicher). Online-Terminbuchung und Kontaktformulare sind Standard. Die Charité nannte genau diese Funktionen bei der Abschaltung am 21.10.
• Offen: Wie viele Kliniken in DACH derzeit ungepatchte oder anderweitig verwundbare Webserver betreiben
• Offen: Ob es zwischen Charité und Uni Leipzig einen Zusammenhang gibt (dazu gibt es keinen Hinweis)

6. Kann das wieder passieren?

• Belegt: Die US-Behörde CISA hat php2shell am 26.10.2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen (Quelle).
• Belegt: Das BSI hat die PHP-Lücken mit Warnstufe 3 (orange) bewertet (Quelle).
• Vermutlich: Kliniken in DACH werden in den kommenden Monaten weitere Datenabflüsse über öffentlich erreichbare Webdienste melden (zu 75 % sicher). Mit php2shell gibt es eine aktiv ausgenutzte Lücke, für ältere PHP-Versionen keinen Patch, und Websites sind dauerhaft im Netz erreichbar.
• Offen: Welche Schutzmaßnahmen die Charité konkret verstärkt hat

Vergleichsfälle

• Uniklinikum Düsseldorf, Ransomware über das Citrix NetScaler Gateway (CVE-2019-19781) (2020): Die Lücke wurde im Januar 2020 geschlossen, die Angreifer waren aber schon vorher eingedrungen. Ein Patch allein reicht nicht, wenn niemand prüft, ob das Gerät bereits kompromittiert ist. Die Klinik war rund elf Tage von der Notfallversorgung abgemeldet. (Quelle)
• Sechs Unikliniken nehmen wegen php2shell ihre Websites vorsorglich vom Netz (2026): Wer seine Webserver kennt und schnell abschalten kann, verliert ein paar Stunden Sichtbarkeit, aber keine Daten. (Quelle)
• Universität Leipzig nimmt nach Angriff alle Internet-Server vom Netz (2026): Ohne vorbereitete Ersatzkanäle (Notfall-Website, Ausweich-Mail) fällt die Kommunikation mit Tausenden Menschen sofort aus. (Quelle)

Quellen

• https://www.tagesspiegel.de/berlin/dpa-kriminalitat-cyberangriff-auf-charite-kontaktdaten-erbeutet-16219255.html
• https://www.tagesspiegel.de/wissen/personliche-daten-sind-abgeflossen-berliner-charite-von-hackerangriff-betroffen-16218667.html
• https://berlin.t-online.de/region/berlin/id_101505312/cyberangriff-auf-charite-berlin-zahlreiche-daten-abgegriffen.html
• https://www.prosec-networks.com/blog/php2shell-warum-zwei-php-luecken-behoerden-kliniken-und-hochschulen-vom-netz-nehmen/
• https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
• https://www.uni-leipzig.de/angriff-auf-die-it-systeme/
• https://www.theregister.com/cyber-crime/2026/10/27/cisa-confirms-php2shell-under-attack-as-researchers-clock-successful-exploits/5305681
• https://www.cio.de/article/4238947/gravierende-sicherheitslucke-bedroht-millionen-webseiten.html
• https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• https://www.kma-online.de/aktuelles/it-digital-health/detail/charite-nimmt-website-wegen-sicherheitsluecke-vom-netz-56388
• https://www.kma-online.de/aktuelles/klinik-news/detail/sicherheitsluecke-an-uniklinik-duesseldorf-ende-januar-geschlossen-a-44048
• https://medinfoweb.de/charite-und-fuenf-universitaetskliniken-nehmen-webseiten-nach-bsi-warnung-zu-php-vom-netz/

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder.

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

← Alle Artikel