Das Medizinische Zentrum Gleis D, ein medizinisches Zentrum in Chur im Kanton Graubünden, und seine Apotheke Medi Porta sind Opfer eines Cyberangriffs geworden, wie das Schweizer IT-Portal Inside IT am 6. November 2026 berichtete. Daten von Patientinnen und Patienten sowie von Mitarbeitenden sind abgeflossen: Namen, Adressen, Rezepte und Röntgenbilder. Die Ransomware-Gruppe Cloak beansprucht den Diebstahl von 87 Gigabyte (GB).
Was das medizinische Zentrum in Chur bestätigt
Das Zentrum räumt ein teilweises, aber reales Datenleck ein. Gemäss seiner Mitteilung, die Inside IT zitiert, wurde der Angriff zusammen mit seinem IT-Partner rasch gestoppt. Der Abfluss sensibler Daten von Patientinnen, Patienten und Mitarbeitenden liess sich jedoch nicht vollständig verhindern.
Die betroffenen Daten lagen auf lokalen Speicherorten. Das elektronische Patientendossier, das in einer separaten Anwendung geführt wird, war nicht betroffen, heisst es im Hinweis «Cybervorfall» auf der Website des Zentrums. Gleis D schreibt dort, es habe sofort Massnahmen ergriffen, um die festgestellten Sicherheitslücken zu schliessen.
Die Versorgung läuft weiter. Das Zentrum und Medi Porta bleiben voll betriebsfähig, und der Vorfall hatte weder auf Diagnosen noch auf Behandlungen Auswirkungen, so die von Inside IT wiedergegebene Mitteilung. Medi Porta vereint eine Apotheke und eine Arztpraxis im Erdgeschoss des Zentrums, wie die Website von Gleis D angibt.
Das Zentrum hat Strafanzeige erstattet. Es hat den Vorfall zudem dem Bundesamt für Cybersicherheit (BACS) und dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet. Seine IT-Partner und externe Fachleute setzen die Analyse fort, um zu klären, ob weitere Sicherheitsmassnahmen nötig sind.
Was die Gruppe Cloak beansprucht
Die gestohlene Datenmenge ist nur aus Angaben der Hacker bekannt. Im Darknet behauptet Cloak, 87 GB an Daten erbeutet zu haben, so Inside IT. Die Gruppe will dort auch Ausweisdokumente und Finanzunterlagen gefunden haben. Das Zentrum hat weder diese Menge noch diese Kategorien bestätigt.
| Element | Status | Wer es behauptet |
|---|---|---|
| Abfluss von Namen, Adressen, Rezepten und Röntgenbildern | Bestätigt | Gleis D, zitiert von Inside IT |
| Elektronisches Patientendossier verschont | Behauptet | Gleis D |
| Diebstahl von 87 GB an Daten | Beansprucht | Cloak |
| Ausweisdokumente und Finanzunterlagen | Beansprucht | Cloak |
| Lösegeldforderung | Unbekannt | Das Zentrum äussert sich nicht |
Das öffentliche Bekenntnis gehört zur Methode. Die Bundesbehörden beschreiben eine «doppelte Erpressung», auf die auch unser Ratgeber zu Ransomware im Unternehmen eingeht: Die Hacker kopieren die Daten und verschlüsseln sie anschliessend. Wird nicht innerhalb der gesetzten Frist bezahlt, veröffentlichen sie die Daten auf einer Leak-Seite im Darknet, wie es in der Medienmitteilung der Bundesanwaltschaft, des Bundesamts für Polizei (fedpol) und des BACS vom 16. Oktober 2025 heisst. Die Mitteilung von Gleis D erwähnt keine Verschlüsselung seiner Systeme.
Das BACS rät davon ab, ein Lösegeld zu zahlen. Nichts garantiert, dass die Kriminellen danach auf die Veröffentlichung der Daten verzichten, erinnert das Amt.
Datenleck bei Gesundheitsdaten: was das Gesetz vorsieht
Diese Informationen gehören zu den am stärksten geschützten im Schweizer Recht. Das Bundesgesetz über den Datenschutz (DSG) zählt Daten über die Gesundheit in seinem Artikel 5 zu den «besonders schützenswerten Personendaten». Unsere Einschätzung: Rezepte und Röntgenbilder fallen klar in diese Kategorie.
Artikel 24 DSG regelt das Vorgehen nach einem Datenleck. Der Verantwortliche meldet dem EDÖB «so rasch als möglich» eine Verletzung, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Die Meldung nennt mindestens die Art der Verletzung, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Der Verantwortliche muss zudem die betroffenen Personen informieren, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt.
Die beiden Bundesstellen können sich austauschen. Seit dem 1. April 2025 kann der EDÖB eine Meldung mit dem Einverständnis des Verantwortlichen zur Analyse an das BACS weiterleiten, gemäss Absatz 5bis desselben Artikels.
Das BACS hat eigene Meldevorschriften. Seit dem 1. April 2025 müssen Betreiberinnen und Betreiber kritischer Infrastrukturen ihm einen Cyberangriff innert 24 Stunden nach dessen Entdeckung melden, so die Medienmitteilung des Bundesrats vom 7. März 2025. Andere Organisationen können dies freiwillig tun. Gleis D hat nicht präzisiert, in welcher Eigenschaft es den Angriff gemeldet hat.
Cyberangriff in der Schweiz: eine Serie von Datendiebstählen
Gleis D reiht sich in mehrere Datendiebstähle in der Schweiz in diesem Herbst ein. Holcim, der Baustoffkonzern mit Sitz in Zug, hat einen Datendiebstahl bestätigt, wie ICTjournal am 4. November 2026 berichtete. Beim Cyberangriff auf Holcim beanspruchte die Ransomware-Gruppe Emperador 360 GB.
Auch öffentliche Institutionen und Dienstleister geraten ins Visier. Ende September 2026 wurden Daten der Pensionskasse der Stadt Zürich bei einem externen Softwareanbieter gestohlen. Nach dem Cyberangriff im Kanton Waadt, der am 31. Oktober 2026 bekannt gegeben wurde, meldete der Kanton den Vorfall dem BACS und seiner Datenschutzbehörde.
Die offiziellen Zahlen bestätigen einen anhaltenden Druck. Gemäss der Medienmitteilung des BACS vom 24. August 2026 stagnierte die Zahl der Ransomware-Angriffe im ersten Halbjahr 2026 bei 79. Der Eidgenössische Datenschutzbeauftragte Adrian Lobsiger hatte seit Anfang 2026 455 Meldungen von Datenschutzverletzungen in der Schweiz erhalten, gegenüber 343 im ganzen Jahr 2025. Er gab dies am 25. Oktober 2026 bekannt.
Worauf die Patientinnen und Patienten von Gleis D achten können
Das Zentrum warnt seine Patientinnen und Patienten selbst vor möglichen Betrugsversuchen, so Inside IT. Dieses Risiko hat sich anderswo bereits verwirklicht. Nach dem Datenleck bei TCS Camping nutzten Betrüger echte Buchungsangaben, um glaubwürdig zu wirken. Rund 15'000 Kundinnen und Kunden waren vor diesen WhatsApp-Nachrichten gewarnt worden, wie ICTjournal am 27. Oktober 2026 berichtete.
Unsere Einschätzung: Ein Anruf, eine SMS oder eine E-Mail, die eine genaue Adresse, ein Rezept oder eine Untersuchung nennt, beweist nicht, dass der Absender das Zentrum ist. Die Hinweise, die der Kanton Waadt seinen Nutzerinnen und Nutzern gegeben hat, gelten auch hier:
- nie das eigene Passwort weitergeben;
- bei dringenden oder ungewöhnlichen Nachrichten misstrauisch sein;
- jede verdächtige Nachricht melden.
Privatpersonen können einen Cybervorfall dem BACS melden, das freiwillige Meldungen aus der Bevölkerung entgegennimmt. Weitere Fälle finden sich in unserer Rubrik Bedrohungen und Cyberangriffe.
Was noch nicht bekannt ist
- Die Zahl der Betroffenen: Gleis D hat nicht veröffentlicht, wie viele Patientinnen, Patienten und Mitarbeitende betroffen sind.
- Eine allfällige Lösegeldforderung: Auf Anfrage von Inside IT äusserte sich das Zentrum nicht zu diesem Punkt.
- Der tatsächliche Inhalt der 87 GB: Nur die Hacker sprechen von Ausweisdokumenten und Finanzunterlagen.
Quellen
- Inside IT: «Cyberangriff auf Bündner Gesundheitszentrum», 6. November 2026
- Medizinisches Zentrum Gleis D: Hinweis «Cybervorfall»
- Bundesrat: «Meldepflicht für Cyberangriffe auf kritische Infrastrukturen tritt am 1. April 2025 in Kraft», Medienmitteilung vom 7. März 2025
- Bundesgesetz über den Datenschutz (DSG), SR 235.1
