Die Gruppe 3R, das Réseau radiologique romand, hat Anfang Mai 2026 mitgeteilt, Opfer eines neuen IT-Einbruchs geworden zu sein, der Ende April erfolgte. Das Unternehmen betreibt rund zwanzig medizinische Bildgebungszentren, die auf die Kantone Waadt, Genf, Wallis, Freiburg, Neuenburg, Bern und Zürich verteilt sind. Es ist das zweite Mal innerhalb eines Jahres, dass dieses Netzwerk betroffen ist; der erste Angriff geht auf April 2025 zurück.

Dieser Vorfall ist keine technische Kuriosität, die Spezialisten vorbehalten ist. Er veranschaulicht Mechanismen, die alle Unternehmen betreffen, auch die kleinsten, und verdient es, dass man bei ihm verweilt.

Was geschah, klar erklärt

Den veröffentlichten Informationen zufolge führte der Einbruch zu einer teilweisen Nichtverfügbarkeit der IT-Systeme der Gruppe. Konkret blieben die zwanzig Zentren geöffnet, jedoch mit eingeschränkten Kapazitäten: Bestimmte Arten von Untersuchungen mussten verschoben werden. Ein IT-Einbruch bezeichnet den unbefugten Zugriff eines Dritten auf die Systeme einer Organisation, oft mit dem Ziel, Daten zu stehlen oder deren Funktion zu blockieren.

Das Unternehmen teilte mit, dass sich derzeit nicht mit Sicherheit sagen lasse, ob Daten gestohlen wurden. Es stellte klar, dass gemäss den Empfehlungen der Behörden kein Lösegeld gezahlt werde, erstattete Strafanzeige und meldete den Vorfall dem Nationalen Zentrum für Cybersicherheit (NCSC, der Bundesbehörde, die Cyberangriffsmeldungen in der Schweiz zentralisiert).

Warum das Gesundheitswesen ins Visier gerät

Medizinische Zentren und Spitäler bündeln besonders sensible Daten: Patientenakten, medizinische Bilder, administrative Informationen. Diese Daten haben für Kriminelle einen hohen Wert, sei es, um sie weiterzuverkaufen, sei es, um Druck auf die Einrichtung auszuüben. Hinzu kommt ein für den medizinischen Bereich typischer Zwang: Die Unterbrechung der Dienste hat unmittelbare Folgen für die Patientenversorgung, was den Druck erhöht, den Betrieb möglichst rasch wiederherzustellen.

Das Bewusstsein im Sektor ist real. Bereits im September 2025 hatten achtzehn Universitäts- und Kantonsspitäler aus der ganzen Schweiz einen Verband gegründet, das Healthcare Cyber Security Center, das ein Frühwarnsystem und gegenseitige Hilfe im Angriffsfall einrichten soll. Dass ein Netzwerk innerhalb eines Jahres zweimal getroffen wird, zeigt jedoch, dass Wachsamkeit dauerhaft sein muss und nicht punktuell.

Was das einem KMU ausserhalb des Gesundheitswesens sagt

Vielleicht leiten Sie ein Treuhandbüro, ein Geschäft oder ein technisches Büro, weit weg von der Spitalwelt. Die Geschichte betrifft Sie dennoch in mehrfacher Hinsicht.

Erstens ist keine Organisation zu klein oder zu unauffällig, um ins Visier zu geraten. Die häufigsten Angriffe sind nicht gezielt: Sie greifen breit an und treffen, wer eine Tür offen lässt. Zweitens sind Sie, wenn Sie Lieferant oder Dienstleister einer grösseren Struktur sind, Teil ihrer Lieferkette und damit ihrer Angriffsfläche. Eine Schwachstelle bei Ihnen kann zum Einfallstor bei Ihrem Kunden werden.

Schliesslich entspricht die von der Gruppe 3R eingenommene Haltung (kein Lösegeld zahlen, Anzeige erstatten, den Vorfall melden) genau derjenigen, die die Schweizer Behörden empfehlen. Zahlen garantiert niemals die Wiederherstellung der Daten und nährt das Geschäftsmodell der Kriminellen.

Die Grundmassnahmen: nützlich, aber nicht ausreichend

Es gibt Massnahmen, die Sie selbst und ohne grosses Budget umsetzen können und die den Schaden wirklich begrenzen: regelmässige, vom Netzwerk getrennte Sicherungskopien (um auch dann neu starten zu können, wenn die Systeme blockiert sind), die Zwei-Faktor-Authentifizierung für wichtige Zugänge (ein Passwort, ergänzt durch einen temporären Code), die systematische Aktualisierung der Software und eine regelmässige Sensibilisierung Ihrer Mitarbeitenden für betrügerische E-Mails.

Diese Massnahmen sind unerlässlich. Aber man muss ehrlich sein: Sie allein genügen nicht, um ein Unternehmen zu schützen. Ein Netzwerk medizinischer Zentren verfügt über weitaus grössere IT-Ressourcen als ein gewöhnliches KMU, und es wurde dennoch zweimal getroffen. Der Grund ist einfach: Jedes Unternehmen hat seine eigene Architektur, seine eigenen Datenflüsse und Abhängigkeiten. Eine Liste generischer bewährter Praktiken ersetzt keinen Blick, der genau Ihre eigenen Schwachstellen untersucht.

Fazit

Der Angriff auf das Réseau radiologique romand erinnert an eine unbequeme Realität: Die Frage ist nicht, ob eine Organisation ins Visier gerät, sondern wann, und vor allem, in welchem Zustand sie sich an jenem Tag befinden wird. Vieles selbst zu tun ist der erste Schritt, und er liegt in Ihrer Reichweite. Aber Ihre tatsächliche Exposition zu messen, die für Ihre Tätigkeit spezifischen Risiken zu priorisieren und eine Reaktion im Ereignisfall vorzubereiten, erfordert eine professionelle, auf Ihre Situation zugeschnittene Analyse. Es ist genau diese Bewertungsarbeit, Unternehmen für Unternehmen, die guten Willen in echte Resilienz verwandelt.