Cyberangriff auf Kliniken: 84.000 Patienten betroffen, NIS-2 greift

Sicherheitszertifikate wie SOC 2 und HIPAA-Compliance werden für Aufträge im Gesundheitswesen zunehmend zur Pflicht.

Ohne Zertifikate wie SOC 2 oder HIPAA-Compliance bleibt kaum noch ein Auftrag.

SOC 2 und HECVAT: Zwei Welten der Sicherheitsprüfung

Am 3. Juni 2026 schloss der Materialfluss-Spezialist DMW&H aus Fairfield, New Jersey, erfolgreich eine SOC 2-Prüfung ab. Eine unabhängige Stelle validierte die Kontrollen in Sicherheit, Verfügbarkeit und Datenschutz. Zur Vorbereitung durchlief die gesamte Belegschaft Cybersicherheitsschulungen.

Anzeige: Wer die NIS-2-Umsetzung für seine Klinik oder seinen IT-Dienstleister vorantreiben will, findet in diesem Report die wichtigsten Compliance-Hebel – von SOC-2-Vorbereitung bis Muster-BAA. Jetzt kostenlosen Report anfordern

Doch SOC 2 ist nicht gleich HECVAT. Die Experten von SaltyCloud veröffentlichten am 5. Juni einen Vergleich: HECVAT ist ein kostenloser Selbstauskunftsfragebogen für den Hochschulsektor. SOC 2 dagegen ist eine externe Prüfung durch Wirtschaftsprüfer – Kosten: zwischen 10.000 und über 50.000 US-Dollar. Der Haken: Nur 35 Prozent der Hochschulen haben ein strukturiertes Programm für das Risikomanagement durch Drittanbieter.

HIPAA: Keine Zertifizierung, aber klare Regeln

Das US-Gesundheitsdatenschutzgesetz HIPAA sieht keine formale Zertifizierung vor. Stattdessen dienen Drittanbieter-Audits oder Frameworks wie HITRUST und SOC 2 als Nachweis. Das erklärten Berater von BARR Advisory am 4. Juni. Das Regelwerk basiert auf Gesetzen von 1996 und Ergänzungen wie dem HITECH Act von 2009.

Entwickler von HappyFunCorp wiesen am 3. Juni auf eine entscheidende Hürde hin: Business Associate Agreements (BAA). Diese Verträge sind für alle Subunternehmer mit Zugriff auf geschützte Gesundheitsinformationen Pflicht. Große Cloud-Provider wie AWS, Azure oder GCP bieten solche Vereinbarungen an – allerdings oft nur für spezifische, gelistete Dienste.

Automatisierte Lösungen für Prüfpfade und KI-Governance

Die technische Umsetzung wird zunehmend automatisiert. PortEden bietet Prüfpfade für KI-Datenzugriffe an, die Akteure, Ressourcen und Autorisierungen erfassen. Damit lassen sich SOC-2-Kriterien wie CC7.2 und CC6.1 sowie HIPAA-Vorgaben zur Revisionssicherheit erfüllen.

Caspio stellte eine HIPAA-konforme Plattform-Edition vor – ab 800 US-Dollar pro Monat inklusive Verschlüsselung und Audit-Trails. Wispr Flow dokumentierte Anfang Juni seinen Compliance-Status: SOC 2 Type II für Frühjahr 2025, ISO 27001:2022 gültig bis September 2026. Für GraphQL-Anwendungen bietet WunderGraph mit Cosmo Gateway-Level-Compliance inklusive IP-Anonymisierung und Feld-Level-Verschleierung.

Cyberangriff auf Kliniken: Warum NIS-2 jetzt kommt

Anzeige: Der Cyberangriff auf Unimed zeigt: Ohne SOC-2-Zertifikat und HIPAA-konforme Prozesse bleiben Aufträge aus. Dieser Leitfaden liefert eine 5-Schritte-Roadmap zur SOC-2-Vorbereitung – speziell für KMU im Gesundheitssektor. SOC-2-Roadmap jetzt sichern

Die Theorie wird durch reale Vorfälle untermauert. Mitte April 2026 traf ein Cyberangriff den Dienstleister Unimed – Zehntausende Patienten betroffen. Allein am Universitätsklinikum Köln wurden Daten von 30.000 Patienten entwendet, in Freiburg waren es 54.000. Die Kliniken fordern eine beschleunigte Umsetzung der NIS-2-Richtlinie. Das deutsche Umsetzungsgesetz wurde bereits im November 2025 verabschiedet und trat um den Jahreswechsel 2025/2026 in Kraft.

Neue Standards für KI und Identitätsschutz

InfoBeans Technologies erhielt am 29. Mai 2026 eine Zertifizierung nach ISO/IEC 42001:2023 – dem ersten internationalen Standard für KI-Managementsysteme. Und Salesforce reagiert auf die Bedrohungslage: Ab dem 1. Juli 2026 gilt eine Passkey-Pflicht für Administratoren, ab dem 20. Juli für alle Nutzer. Hintergrund: Ein Branchenreport zeigt, dass 77 Prozent der Unternehmen Identitätsdiebstahl als Ursache für Sicherheitsvorfälle melden.