Ransomware in 12 Sekunden eingedämmt — über 10 Krankenhäuser hinweg.

Atlas Health betreibt eine der größten Krankenhausgruppen Süddeutschlands. Zehn Standorte, vierzehn klinische Anwendungen, Tausende Geräte — und ein SOC mit sieben Analyst:innen, die Schichtdienst leisten. Ein klassisches Setup für 2026: zu viele Alarme, zu wenig Personal, ein zunehmend gut finanzierter Gegner.

Im März 2026 lieferte ein vertrauter Drittanbieter ein scheinbar harmloses Update einer Bildgebungsanwendung aus. In dem Update versteckt: eine Ransomware-Komponente mit verzögerter Ausführung, ausgelegt auf einen Sonntagnachmittag — wenn das SOC dünn besetzt ist und die meisten Kliniker Patienten betreuen.

Atlas Health hatte PatrolMind sechs Monate vorher in der Sentinel-Edition eingeführt. Die NeuralGuard™-Engine hatte ein detailliertes Verhaltensmodell jedes Endpoints, jedes Service-Accounts und jedes ärztlichen Workflows aufgebaut.

Als die bösartige Komponente versuchte, Volume Shadow Copies zu löschen und gleichzeitig Schreibvorgänge auf Hunderten von DICOM-Dateien zu beginnen, registrierte PatrolMind die Anomalie in 8 ms: ein Verhalten, das für DIESES Asset, in DIESEM Zeitfenster, mit DIESEM Account beispiellos war.

Ohne menschliches Zutun beendete die Engine den Prozess, isolierte den Host vom Netz und rotierte alle Service-Tokens, die dem kompromittierten Konto gehörten. Die Eindämmung war abgeschlossen, bevor der diensthabende Analyst seinen Kaffee fertig hatte.