Ein großangelegter Cyberangriff auf einen externen Abrechnungsdienstleister erschüttert derzeit zahlreiche Krankenhäuser in Deutschland. Besonders betroffen sind das Universitätsklinikum Hamburg-Eppendorf sowie das Universitätsklinikum Schleswig-Holstein. Nach Angaben der Kliniken wurden dabei sensible Daten von Tausenden Patientinnen und Patienten entwendet – darunter teilweise auch hochsensible medizinische Informationen.
Allein beim UKE sollen mehr als 5.000 Personen betroffen sein. Nach bisherigen Erkenntnissen wurden unter anderem Namen, Adressen und weitere persönliche Daten abgegriffen. Besonders brisant: In fast 1.500 Fällen sollen Cyberkriminelle zusätzlich Inhalte aus Patientenakten erbeutet haben. Dazu zählen offenbar Diagnosen, medizinische Befunde und weitere Angaben zum Gesundheitszustand.
Die Kliniken betonen, dass die Daten nicht direkt über ihre eigenen Serversysteme entwendet wurden. Ziel des Angriffs war stattdessen ein externer Dienstleister, der für die Abrechnung von Privat- und Selbstzahlerleistungen zuständig ist. Solche Dienstleistungen betreffen beispielsweise Wahlleistungen wie Einzelzimmer oder besondere Zusatzangebote in Krankenhäusern.
Nach Angaben des UKE sind nicht nur einzelne Kliniken betroffen. Vielmehr könnten nahezu alle Universitätskliniken und zahlreiche große Krankenhäuser in Deutschland von dem Vorfall betroffen sein. Auch das UKSH in Kiel bestätigte bereits einen umfangreichen Datendiebstahl. Dort sollen rund 9.000 Patientinnen und Patienten betroffen sein. Gestohlen wurden laut Klinik ebenfalls personenbezogene Daten wie Namen und Anschriften.
Der Cyberangriff soll sich bereits Mitte April ereignet haben. Der betroffene Dienstleister erklärte, man bedauere den Vorfall außerordentlich und nehme die Situation sehr ernst. Derzeit laufen umfangreiche Untersuchungen zur genauen Ursache und zum Ausmaß des Angriffs.
Die betroffenen Krankenhäuser kündigten an, sämtliche betroffenen Patientinnen und Patienten direkt zu informieren. Gleichzeitig werden Datenschutzbehörden und Sicherheitsstellen eingeschaltet. Experten warnen, dass gestohlene Gesundheitsdaten für Kriminelle besonders wertvoll sind. Anders als gestohlene Kreditkartendaten lassen sich medizinische Informationen kaum ändern und können für Betrug, Erpressung oder Identitätsdiebstahl missbraucht werden.
Der Vorfall zeigt erneut, wie verwundbar das Gesundheitswesen gegenüber Cyberangriffen geworden ist. Krankenhäuser und medizinische Dienstleister gelten seit Jahren als bevorzugte Ziele von Hackergruppen, weil dort enorme Mengen sensibler Daten gespeichert werden und viele Systeme auf externe Dienstleister angewiesen sind.
Besonders problematisch ist dabei die starke Vernetzung zwischen Kliniken, Abrechnungsunternehmen und IT-Dienstleistern. Selbst wenn Krankenhäuser ihre eigenen Systeme absichern, können Schwachstellen bei externen Partnern massive Folgen haben.
Datenschützer fordern nun strengere Sicherheitsstandards und bessere Kontrollen bei Dienstleistern im Gesundheitsbereich. Der Schutz sensibler Gesundheitsdaten müsse höchste Priorität haben, da bereits kleine Sicherheitslücken gravierende Folgen für Betroffene haben könnten.
Für die betroffenen Patientinnen und Patienten bleibt vor allem die Sorge, wie ihre persönlichen Gesundheitsdaten künftig missbraucht werden könnten. Experten empfehlen daher erhöhte Vorsicht bei verdächtigen E-Mails, Anrufen oder Briefen, da Cyberkriminelle gestohlene Daten häufig für gezielte Betrugsversuche nutzen.
