Cyberangriff auf Boston Scientific: Was betroffen ist – und was nicht

Boston Scientific hat am 25. August 2026 einen Cyberangriff festgestellt und ihn am 26. August in einer Pflichtmitteilung an die US-Börsenaufsicht Securities and Exchange Commission (SEC) offengelegt. Der Angriff führte zu einem weltweiten Netzwerkausfall. Dadurch war der Zugriff auf Informationssysteme und Geschäftsanwendungen eingeschränkt, die unter anderem für die Produktion, die Auftragsabwicklung und den Versand benötigt werden. Am 28. August liefen die Wiederherstellungsarbeiten noch, ein Termin für die vollständige Rückkehr zum Normalbetrieb war nicht bekannt. 2

Wichtig ist die Unterscheidung zwischen den betrieblichen IT-Systemen und bereits implantierten Geräten: Boston Scientific zufolge gab es bislang keine bekannten Auswirkungen auf die Funktion implantierter Herzrhythmusgeräte. Auch die Datenübertragung von Geräten, die bereits für die Fernüberwachung registriert waren, war demnach nicht beeinträchtigt. Einschränkungen gab es jedoch bei neuen Registrierungen und Aktivierungen der Fernüberwachung. 15

Welche Bereiche des Unternehmens betroffen sind

Nach Angaben von Boston Scientific betrifft der Vorfall bestimmte IT- und Betriebssysteme sowie Geschäftsanwendungen. Gemeldet wurde kein Ausfall implantierter Produkte, sondern ein eingeschränkter Zugriff auf Systeme, die den täglichen Geschäftsbetrieb stützen.

Konkret beeinträchtigte der Angriff die Fähigkeit des Unternehmens,

• Produkte herzustellen,
• Kundenbestellungen wie gewohnt zu verarbeiten und
• fertiggestellte Bestellungen über die üblichen Systeme und Logistikprozesse zu versenden. 12

Damit entstand ein Problem für die Lieferkette von Krankenhäusern und anderen Kunden, die auf Medizinprodukte von Boston Scientific angewiesen sind. Bestellungen konnten zwar weiterhin elektronisch eingehen – etwa über Electronic Data Interchange (EDI) oder die Global Health Exchange (GHX). Sie wurden jedoch zunächst in eine Warteschlange gestellt und sollten erst nach der Wiederherstellung der betroffenen Systeme bearbeitet werden. 15

Bestellungen konnten eingehen, aber nicht normal erfüllt werden

Ein Update des Unternehmens vom 29. August präzisierte die Lage: Elektronische Bestellungen über EDI und lokale Anwendungen konnten weiterhin angenommen werden. Auch über GHX eingehende Aufträge wurden erfasst. Die eigentliche Bearbeitung und Erfüllung wurde jedoch zurückgestellt, bis die betroffenen Systeme wieder verfügbar sind. 15

Der Auftragseingang war somit nicht vollständig unterbrochen. Die größeren Engpässe lagen bei der Auftragsabwicklung und beim Versand. Boston Scientific hatte weiterhin keinen Termin genannt, an dem die aufgelaufenen Bestellungen bearbeitet und die regulären Versandkapazitäten wiederhergestellt werden sollten. Zugleich prüfte das Unternehmen noch die geschäftlichen und finanziellen Folgen des Vorfalls. 12

Auswirkungen auf die Produktion und die Standorte in Irland

Der Netzwerkausfall erreichte auch die Fertigung von Boston Scientific. Eine genaue Aufstellung, wie viele Produkte an welchem Standort nicht hergestellt werden konnten, liegt in den verfügbaren Berichten allerdings nicht vor. Zu den betroffenen irischen Standorten zählen Cork, Clonmel und Galway. Insgesamt beschäftigt Boston Scientific dort mehr als 7.000 Menschen. 310

Aus Cork wurde berichtet, dass Beschäftigte nach Hause geschickt oder – sofern möglich – ins Homeoffice gebeten wurden. Auch Mitarbeitende in Galway sollten von zu Hause aus arbeiten; welche Tätigkeiten vor Ort erforderlich waren, wurde nach den jeweiligen betrieblichen Anforderungen entschieden. Im weiteren Verlauf wurden in Cork einzelne Schichten abgesagt.

Die Maßnahmen zeigen, wie sich ein Cybervorfall über die klassische Büro-IT hinaus auswirken kann. Wenn Netzwerkzugänge, Produktionssysteme oder unterstützende Geschäftsanwendungen nicht verfügbar sind, können auch Beschäftigte in der Fertigung ihre Arbeit nicht normal fortsetzen. Die Berichte bestätigen eine Beeinträchtigung der Produktion, nennen aber keinen standortgenauen Produktionsausfall.

Sind implantierte Herzgeräte betroffen?

In einem Update vom 29. August erklärte Boston Scientific, es gebe keine bekannten Auswirkungen auf die Funktion implantierter Herzrhythmusgeräte. Ebenfalls nicht beeinträchtigt seien nach aktuellem Kenntnisstand die Datenübertragung bereits aus der Ferne überwachter Geräte und der Zugriff medizinischer Fachkräfte auf die entsprechenden Fernüberwachungsdaten. 15

Die Einschränkung betrifft vor allem neue Vorgänge: Fernüberwachungs-Registrierungen oder -Aktivierungen, die nach Beginn der Netzwerkstörung angestoßen wurden, konnten nicht wie gewohnt abgeschlossen werden. Das ist eine Einschränkung bei der Einrichtung unterstützender Dienste – kein Beleg dafür, dass implantierte Geräte deaktiviert, verändert oder kompromittiert wurden. 15

Für Patientinnen, Patienten und behandelnde Teams ist diese Abgrenzung entscheidend: Der bislang bestätigte Schaden betrifft die Systeme und Abläufe rund um die Produkte. Eine Störung der Funktion bereits implantierter Geräte wurde in der öffentlichen Mitteilung des Unternehmens nicht festgestellt.

Reaktion des Unternehmens und Stand der Wiederherstellung

Nach der Entdeckung des Vorfalls aktivierte Boston Scientific seine Verfahren zur Reaktion auf Sicherheitsvorfälle. Zusätzlich beauftragte das Unternehmen externe Spezialisten für Cybersicherheit, um den Angriff zu untersuchen und einzudämmen. 269

Boston Scientific erklärte zunächst, an der Wiederherstellung der betroffenen Funktionen und Systemzugänge zu arbeiten. Einen Zeitplan für die vollständige Rückkehr zum Normalbetrieb konnte das Unternehmen jedoch nicht nennen. Parallel untersuchte es Umfang, Art und Folgen des Vorfalls – einschließlich der Frage, ob sich daraus wesentliche Auswirkungen auf den Geschäftsbetrieb oder die Finanzergebnisse ergeben könnten. 12

Das Update vom 29. August grenzte den bekannten Wirkungsbereich zumindest ein: Nach der laufenden Untersuchung ging Boston Scientific zu diesem Zeitpunkt davon aus, dass cloudbasierte Systeme und Anwendungen nicht betroffen waren. Die nicht autorisierten Aktivitäten seien auf bestimmte lokal betriebene Systeme beschränkt gewesen. Das verringerte den bekannten Umfang des Vorfalls, beantwortete aber weder alle Fragen zur Wiederherstellung noch jene zu einer möglichen Datenoffenlegung. 15

Was weiterhin unbekannt ist

Bis zum verfügbaren Berichtsstand war öffentlich nicht bekannt,

• wie der Angreifer zunächst Zugang erlangte,
• auf welche konkreten Systeme zugegriffen wurde,
• ob Daten abgegriffen wurden,
• ob Ransomware eingesetzt wurde oder
• welche Gruppe für den Angriff verantwortlich war.

Außerdem gab es in den vorliegenden Berichten keine bestätigte Meldung über einen Diebstahl von Patientendaten oder eine Lösegeldforderung. Das bedeutet jedoch nicht, dass ein Datenabfluss ausgeschlossen ist oder Ransomware sicher keine Rolle spielte. Es zeigt lediglich, dass die Untersuchung hierzu noch kein öffentliches Ergebnis geliefert hatte. 2

Finanzielle Bedeutung und Reaktion der Börse

Boston Scientific erzielte 2025 einen Umsatz von rund 20 Milliarden US-Dollar. Eine länger andauernde Unterbrechung von Produktion, Auftragsabwicklung und Versand könnte deshalb den Zeitpunkt von Umsätzen und die Auslieferung an Kunden beeinflussen – selbst dann, wenn der technische Angriff letztlich auf bestimmte Systeme begrenzt bleibt. 1

Die Aktie des Unternehmens verlor am 26. August rund 4,5 Prozent. Anleger sorgten sich um mögliche Auswirkungen auf die kurzfristigen Einnahmen. Die Kursreaktion spiegelte vor allem die Unsicherheit wider: Zu diesem Zeitpunkt war weder klar, wie lange die Störung dauern würde, noch, ob sie wesentliche finanzielle Folgen haben würde.

Warum der Fall für die Cybersicherheit im Gesundheitswesen wichtig ist

Der Vorfall macht deutlich, dass Cyberrisiken im Gesundheitswesen nicht nur elektronische Patientenakten oder die direkte Funktion vernetzter Medizinprodukte betreffen. Werden Unternehmens- und lokal betriebene Systeme kompromittiert, können auch Produktion, Bestellwarteschlangen, Logistik, Kundendienst und die notwendigen Abläufe zur Aufnahme neuer Patientinnen und Patienten in eine Fernüberwachung ausfallen.

Im Fall von Boston Scientific bestand der bestätigte Schaden vor allem in der eingeschränkten Verfügbarkeit betrieblicher Systeme: Bestellungen konnten teilweise angenommen, aber nicht normal bearbeitet und versendet werden; außerdem war die Produktion beeinträchtigt. Gleichzeitig meldete das Unternehmen keine bekannten Auswirkungen auf die Funktion implantierter Herzgeräte oder auf bereits eingerichtete Fernüberwachungen. 15

Diese Trennung ist ein wichtiger Schutz, aber keine Garantie für die Zukunft. Hersteller medizinischer Produkte und andere Organisationen im Gesundheitswesen müssen die Verbindungen zwischen Unternehmensnetzwerken, Produktionsumgebungen, Cloud-Anwendungen, Logistikplattformen und patientennahen Diensten absichern. Der Ausfall bei Boston Scientific zeigt, wie schnell eine Störung in einer Systemebene Krankenhäuser, Beschäftigte und Kunden in mehreren Ländern erreichen kann – auch wenn die implantierten Geräte selbst weiter funktionieren.