Die Uniklinik Köln hat am Mittwochmittag (21. Oktober) ihre externe Internetpräsenz sowie die Webseiten aller zugehörigen Institute, Kliniken, Zentren und Tochtergesellschaften vorsorglich abgeschaltet. Grund dafür ist eine weltweit bekannt gewordene IT‑Sicherheitslücke. Wie die Uniklinik betont, handelt es sich explizit nicht um einen Cyberangriff, sondern um eine reine Präventivmaßnahme zum Schutz der eigenen IT-Systeme.

Auch bei den Abfallwirtschaftsbetrieben Köln (AWB) ist die Internetseite nicht erreichbar. „Unser Haus hat auch uns vorsorglich offline gestellt, bis die neuen Updates greifen“, erklärt AWB-Sprecherin Cordula Beckmann auf Nachfrage. Am frühen Abend geben die Kölner Verkehrsbetriebe (KVB) ebenfalls bekannt, dass sie vorsorglich alle ihre Websites auf PHP-Basis vollständig offline genommen haben. Sprecher Matthias Pesch: „Dies betrifft auch die Website der Kölner Seilbahn, den KVB-Blog sowie das Kundenportal. Die KVB App ist dagegen uneingeschränkt verfügbar.“

Entwarnung für Patienten – Webseiten weltweit betroffen

Die Kölner Uniklinik stellt klar, dass der medizinische Betrieb und die Versorgung der Patientinnen von der Abschaltung zu keiner Zeit betroffen seien und reibungslos weiterliefen. Ebenso funktioniere die interne Kommunikation innerhalb des Klinikums uneingeschränkt.

In einer Mitteilung heißt es: „Die internen IT-Spezialistinnen und -Spezialisten arbeiten mit Hochdruck daran, die erforderlichen Sicherheitsupdates einzuspielen.“ Ziel sei es, dass alle Online-Angebote im Laufe des morgigen Tages wieder uneingeschränkt zur Verfügung stehen.

Die Maßnahmen der Uniklinik Köln, der AWB und KVB stehen im Zusammenhang mit einer kritischen Schwachstelle in der weit verbreiteten Web-Skriptsprache PHP, auf der ein Großteil des weltweiten Internets basiert – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress. Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung herausgegeben. In seiner veröffentlichten Warnung ordnet das BSI das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.

Sicherheitsexperten warnen vor gleich zwei kritischen Schwachstellen. Das Gefahrenpotenzial dieser Lücken sei immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen. In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Tausende Patientendaten bereits im Mai gestohlen

Erst vor wenigen Monaten wurde die Uniklinik Köln tatsächlich Opfer eines Cyberangriffs. Im Mai 2026 sind die Daten von rund 30.000 Menschen, die sich zur Behandlung in die Uniklinik Köln begeben hatten, bei einem Cyberangriff in fremde Hände geraten: Namen, Adressen, behandelnde Ärzte, Rechnungssummen von 27.298 Betroffenen. Bei 843 weiteren flossen Gesundheitsdaten ab, also Inhalte aus der Kommunikation mit dem Abrechnungsdienstleister. Von fünf Personen wurde zudem die Bankverbindung entwendet.

Die heutige Maßnahme sei laut der Pressestelle des Uniklinikums nicht vergleichbar mit dem Cyberangriff im Frühjahr: „Aktuell geht es um einen präventiven Eingriff zum Schutz der Systeme“, teilt die Pressestelle auf Anfrage dieser Redaktion mit. Die Patienten müssten sich demnach vorerst keine Sorgen um ihre Daten machen.

Weitere Krankenhäuser in NRW betroffen

Neben dem Kölner Krankenhaus sind unter anderem die Unikliniken in Bonn und Düsseldorf betroffen. Auch weitere Kommunen und Behörden sind der Empfehlung des BSI gefolgt und haben ihre Online-Angebote vorübergehend abgeschaltet, um Angreifern keine Angriffsfläche zu bieten. So hat unter anderem die Landeshauptstadt Mainz nach der Warnung des Bundes vorsorglich mehrere städtische Internetdienste und ihr zentrales Portal mainz.de deaktiviert.

Auch wenn dieses Mal nicht explizit die Krankenhäuser Ziel der Angriffe wurden, häufen sich Cyberattacken auf das deutsche Gesundheitswesen: Kliniken und ihre Dienstleister geraten immer wieder ins Visier von Cyberkriminellen. Durch die Angriffe enthalten sie nicht nur Finanzdaten, sondern auch hochsensible Informationen über Diagnosen, Behandlungen, und psychische Erkrankungen. Solche Patientendaten sind im Darknet viel wert, da man sich mit solchen Daten erpressen, manipulieren und betrügen lässt. (mit dpa)