Im April 2025 wurde Groupe 3R, das grösste medizinische Bildgebungsnetzwerk der Schweiz, Opfer eines Cyberangriffs. Angreifer erbeuteten sensible Patienten- und Verwaltungsdaten. Wenige Monate zuvor hatte es Vidymed getroffen — rund hundert Ärzte konnten tagelang nicht mehr auf ihre Patientendossiers zugreifen und mussten analog arbeiten. Stift und Papier statt Praxissoftware.
Solche Vorfälle sind keine Ausnahmen. Das Gesundheitswesen zählt weltweit zu den am häufigsten angegriffenen Branchen. Und in der Schweiz zeigt sich, dass viele Einrichtungen auf genau solche Szenarien schlecht vorbereitet sind.
Der wesentliche Unterschied zur Datensicherung in anderen Branchen liegt in der Natur der Daten selbst. Patientendaten sind besonders schützenswert: Diagnosen, Behandlungsverläufe, Laborwerte, Medikationspläne, psychiatrische Berichte. Ein Verlust dieser Daten ist nicht bloss ärgerlich, er kann die Versorgungsqualität gefährden und hat rechtliche Konsequenzen.
Dazu kommen Aufbewahrungsfristen, die in der Schweiz deutlich über das hinausgehen, was andere Branchen kennen. Die FMH empfiehlt seit 2020, medizinische Akten 20 Jahre aufzubewahren — eine Verdoppelung der bisherigen Mindestfrist von 10 Jahren. Der Grund: die 2020 in Kraft getretene Verlängerung der Verjährungsfrist bei Personenschäden. Für Aufzeichnungen zu medizinischen Implantaten gelten 15 Jahre, für Blutprodukte und Organtransplantationen ebenfalls 20 Jahre. Spitäler können die Aufbewahrungsfrist bei Bedarf auf 30 oder sogar 50 Jahre verlängern.
Das bedeutet: Wer heute eine Arztpraxis betreibt, muss sicherstellen, dass Daten über Jahrzehnte lesbar, verfügbar und geschützt bleiben. Ein Backup-Konzept, das nur die operative Verfügbarkeit der letzten Wochen abdeckt, reicht bei weitem nicht.
Die Kombination aus hohem Druck und tiefer IT-Reife macht Gesundheitseinrichtungen zu bevorzugten Zielen. Wenn ein Spital seine Systeme verliert, stehen Operationen still, Notaufnahmen müssen umleiten, Behandlungen verzögern sich. Der Druck, schnell wieder arbeitsfähig zu sein, ist enorm. Und genau darauf setzen Angreifer.
Laut dem Sophos State of Ransomware in Healthcare Report 2025 werden bei 96 Prozent aller Ransomware-Angriffe auf Gesundheitseinrichtungen gezielt die Backup-Systeme angegriffen. In 76 Prozent der Fälle gelingt die Kompromittierung. Das ist eine alarmierend hohe Quote und zeigt, dass Backups nicht nur vorhanden, sondern auch geschützt sein müssen.
Gleichzeitig verändert sich die Art der Angriffe. Der Anteil reiner Erpressungsangriffe — ohne Verschlüsselung, aber mit Drohung zur Veröffentlichung gestohlener Daten — hat sich laut Sophos im Gesundheitswesen verdreifacht: von 4 Prozent (2022/23) auf 12 Prozent (2025). Bei Patientendaten ist die Drohung besonders wirksam. Diagnosen und Behandlungsverläufe, die im Darknet landen, verursachen einen Vertrauensschaden, den kein IT-System reparieren kann.
In der Schweiz bestätigt der Halbjahresbericht des BACS den Trend: Im zweiten Halbjahr 2025 wurden fast 80 Ransomware-Vorfälle registriert, ein Anstieg von 59 Prozent gegenüber dem Vorjahreszeitraum. Das Gesundheitswesen gehört zusammen mit Energie und Bildung zu den am stärksten betroffenen Sektoren.
Die NZZ berichtete über schwere Mängel bei der IT-Sicherheit in mehreren Schweizer Spitälern. Penetrationstester konnten in zwei Fällen die volle Kontrolle über Systeme übernehmen und sämtliche Patientendaten einsehen oder verändern. Das sind keine theoretischen Szenarien, sondern dokumentierte Testergebnisse.
Urs Küderli, Leiter Cybersecurity bei PwC Schweiz, benennt das Grundproblem: chronische Unterfinanzierung. IT-Sicherheit ist nicht das Kerngeschäft eines Spitals, und das Schweizer Gesundheitswesen ist fragmentiert — viele kleine Einrichtungen, wenige grosse Provider. Anders als in den USA, wo grosse Spitalgruppen zentrale Security-Teams unterhalten, arbeiten in der Schweiz zahlreiche Arztpraxen, Gruppenpraxen und kleinere Kliniken mit begrenztem IT-Budget. Ein eigener Security-Spezialist ist für eine Praxis mit fünf Ärzten schlicht nicht finanzierbar.
Hinzu kommt, dass im Gegensatz zu Ländern wie Deutschland in der Schweiz keine verbindlichen IT-Sicherheitsstandards für das Gesundheitswesen vorgeschrieben sind. Es gibt Empfehlungen des BACS, aber keine Pflicht. Die Motivation, in Datensicherung zu investieren, kommt oft erst nach dem Vorfall.
Per Ende April 2026 existieren in der Schweiz 136'076 elektronische Patientendossiers. Die Zahl klingt überschaubar, wird aber wachsen. Der Bundesrat hat im November 2025 das neue Bundesgesetz über das elektronische Gesundheitsdossier (EGDG) verabschiedet, das das heutige EPD durch ein umfassenderes System ersetzen soll. Geplanter Start: 2030.
Für die Datensicherung hat das zwei Konsequenzen. Erstens: Die Menge digital gespeicherter Gesundheitsdaten wird in den kommenden Jahren deutlich zunehmen. Was heute noch teilweise in Papierform existiert, wird in strukturierte digitale Systeme überführt. Mehr Daten heisst mehr Angriffsfläche und mehr Verantwortung für die Sicherung.
Zweitens: Die Reform stellt höhere Anforderungen an die Verfügbarkeit. Wenn Ärzte, Apotheken und Spitex-Dienste auf ein gemeinsames Dossier zugreifen, muss die darunterliegende Infrastruktur zuverlässig funktionieren. Ein Datenverlust betrifft dann nicht mehr nur eine einzelne Praxis, sondern potenziell die gesamte Behandlungskette eines Patienten.
Backup-Konzept an die Aufbewahrungsfristen anpassen. 20 Jahre Aufbewahrungspflicht erfordern eine Archivierungsstrategie, die über das tägliche Backup hinausgeht. Die Daten müssen über Jahrzehnte lesbar bleiben — auch wenn sich Software, Formate und Systeme ändern. Wer heute auf ein Praxissystem setzt, das in fünf Jahren nicht mehr existiert, hat ein Problem, wenn die Daten nicht in einem offenen Format exportierbar sind.
Backups gegen gezielte Angriffe schützen. Wenn 96 Prozent der Ransomware-Angriffe auf Gesundheitseinrichtungen die Backup-Systeme ins Visier nehmen, reicht ein einfaches Backup auf eine Netzwerkfreigabe nicht aus. Unveränderbare (immutable) Backups, die für einen definierten Zeitraum nicht gelöscht oder überschrieben werden können, sind der wirksamste Schutz. Idealerweise liegt mindestens eine Kopie ausserhalb der eigenen Infrastruktur — bei einem Cloud-Anbieter, auf den interne Administratoren keinen Löschzugriff haben.
Daten verschlüsseln — durchgängig. Patientendaten gehören zu den sensibelsten Datenkategorien. Die Verschlüsselung muss lückenlos sein: auf dem Transportweg (in transit) und im Ruhezustand (at rest). Wer Backups in die Cloud auslagert, sollte darauf achten, dass die Verschlüsselung clientseitig erfolgt. So kann selbst der Cloud-Anbieter die Daten nicht lesen.
Regelmässig testen, ob die Wiederherstellung funktioniert. Ein Backup, das nie getestet wurde, ist kein Backup — es ist eine Hoffnung. Mindestens einmal pro Quartal sollte eine Wiederherstellung durchgespielt werden: nicht nur einzelne Dateien, sondern ganze Systeme. Im Gesundheitswesen, wo jede Stunde Ausfallzeit die Patientenversorgung beeinträchtigt, ist der Recovery-Test keine Kür, sondern Pflicht.
Datenstandort Schweiz sicherstellen. Für Patientendaten gelten strenge Datenschutzanforderungen. Das revidierte Datenschutzgesetz (revDSG) verlangt, dass bei einer Auslagerung ins Ausland ein gleichwertiges Schutzniveau gewährleistet ist. Der einfachste Weg, dieses Risiko zu vermeiden: einen Anbieter wählen, der die Daten in der Schweiz hält.
Es gibt ein verbreitetes Missverständnis: Cyberangriffe treffen nur grosse Spitäler. Die Realität sieht anders aus. Gerade kleinere Praxen sind anfällig, weil sie oft über keine dedizierte IT-Betreuung verfügen, Standardpasswörter länger im Einsatz bleiben und Softwareupdates verzögert eingespielt werden. Die Daten, die eine Hausarztpraxis speichert, sind für Angreifer genauso wertvoll wie die eines Universitätsspitals — teilweise sogar wertvoller, weil der Zugriff einfacher ist.
Managed-Backup-Dienste, bei denen ein spezialisierter Anbieter die Sicherung übernimmt, überwacht und regelmässig testet, sind für solche Praxen oft die sinnvollste Lösung. Die Praxis muss kein eigenes Know-how aufbauen und erhält trotzdem ein Sicherheitsniveau, das den Anforderungen entspricht.
In kaum einer Branche hängt so viel an der Verfügbarkeit von Daten wie im Gesundheitswesen. Wenn nach einem Vorfall die Medikamentenliste eines chronisch kranken Patienten fehlt, die Operationsplanung nicht mehr abrufbar ist oder die Anamnese der letzten zehn Jahre verloren geht, hat das Konsequenzen, die über den finanziellen Schaden hinausgehen.
Die Technik dafür existiert längst. Verschlüsselte, unveränderbare Backups in Schweizer Rechenzentren, automatische Überwachung, regelmässige Recovery-Tests — das alles ist verfügbar und auch für kleinere Einrichtungen finanzierbar. Was es braucht, ist die Entscheidung, es umzusetzen. Und zwar bevor der Ernstfall eintritt.
Bei Backup ONE sichern wir die Daten von Gesundheitseinrichtungen in Schweizer Rechenzentren. Verschlüsselt, unveränderbar und mit getesteter Wiederherstellung. Ob Arztpraxis, Gruppenpraxis oder Klinik: Wer seine Datensicherung auf den neuesten Stand bringen will, kann sich direkt an uns wenden.
Das sind weitere Beiträge, die Sie interessieren könnten.
Zur Blogübersicht