Täuschung (Social Engineering): Spital und Heim, Schweiz 2026
Am 8. September 2026 meldete das CHUV, dass ein Cybervorfall bei einem externen Labor für Krebsdiagnostik Daten von elf seiner Patientinnen und Patienten ins Darknet gebracht hatte: Namen, Geburtsdaten, Krankenkasse und behandelnde Fachärzte.
- Schadenfall · 09.2026 · Lausanne VD, Schweiz
- Beleg: von Behörde bestätigt
- Täuschung (Social Engineering)
- Datenleck
- Angriff über Lieferanten
Stand
Auf dieser Seite
Was passiert ist
Nach ersten Erkenntnissen nutzten die Täter beim Dienstleister mit Vishing einen menschlichen Fehler aus. Die eigenen Systeme des CHUV waren nicht betroffen; das Spital setzte die Zusammenarbeit vorsorglich aus und informierte Betroffene und Behörden.
- Betroffen
- CHUV (Centre hospitalier universitaire vaudois)
- Branche
- Spital und Heim
- Schaden
- keine verlässliche Zahl
- Betriebsunterbruch
- nicht bekannt
- Lösegeld gefordert / bezahlt
- nicht bekannt / nicht bekannt
- Daten betroffen
- 11 Patientinnen und Patienten (Name, Geburtsdatum, Krankenkasse, Facharzt); keine Gesundheitsdaten
- Konkurs
- nein
- Einfallstor
- Vishing (Telefon-Phishing) bei einem externen Labor
Was hätte eine Cyberversicherung gezahlt?
Das hängt von den Bedingungen ab. Ob die Betroffenen versichert waren: unbekannt.
-
Briefe, Callcenter, Überwachung der Kreditwürdigkeit
Meist gedeckt 6 von 9 Firmenprodukten decken ihn ganz, mit Zusatz oder eingeschränkt.
-
Ansprüche Dritter nach Datenleck
Haftpflicht bei Datenschutzverletzung und Netzwerksicherheit
Meist gedeckt 7 von 9 Firmenprodukten decken ihn ganz, mit Zusatz oder eingeschränkt.
-
Ertragsausfall, weil Kunden nach dem Vorfall fernbleiben
Meist keine Angabe 1 von 9 Firmenprodukten decken ihn ganz, mit Zusatz oder eingeschränkt.
Übersicht nach öffentlichen Bedingungen, Stand 06.11.2026. Massgebend sind Ihre Police und die dazugehörigen Allgemeinen Versicherungsbedingungen (AVB). Keine Deckungszusage.
Was man daraus lernt
Ein einziger Anruf beim Labor kann Patientendaten kosten; Dienstleister mit Gesundheitsdaten brauchen klare Regeln für Rückfragen am Telefon.
Quellen
- Cyberincident chez un prestataire externe (öffnet ein neues Fenster) CHUV · 08.09.2026
«aucune donnée de santé n’a été divulguée»