Versichertendaten in Gefahr: Cyberattacke auf Krankenkassen
Einer der größten IT-Dienstleister der gesetzlichen Krankenkassen muss nach einem digitalen Angriff Systeme abschalten. Das Ausmaß ist unklar.
![Hände blättern durch Karteikarten in einem Aktenschrank Hände blättern durch Karteikarten in einem Aktenschrank](/picture/6232072/624/Krankenkassen-Datenschutz-1.jpeg)
Vielleicht doch besser zurück zum alten und viel sichereren Karteikartenordner? Foto:
Thomas Imo/photothek/imago
BERLIN taz | Es ist nicht das beste Timing für einen Sicherheitsvorfall. Während Gesundheitsminister Karl Lauterbach (SPD) am Dienstag vor der Presse die Vorzüge der Digitalisierung im Gesundheitswesen und die bald flächendeckend kommende elektronische Patientenakte pries, kämpfte einer der größten IT-Dienstleister für die gesetzlichen Krankenkassen mit einer Cyberattacke. Das betroffene Unternehmen, die Bitmarck Holding GmbH, bestätigte den Sicherheitsvorfall auf taz-Anfrage. Offenbar wurden bereits am Montag Abwehrmaßnahmen eingeleitet.
Die in Essen ansässige Bitmarck stellt technische Infrastruktur und Softwarelösungen vor allem für gesetzliche Krankenkassen bereit, darunter unter anderem die DAK und diverse Betriebskrankenkassen sowie Innungskrankenkassen. Nach Unternehmensangaben arbeiten rund 80 Krankenkassen mit rund 30.000 Mitarbeitenden und 25 Millionen Versicherten mit Systemen von Bitmarck. Bitmarck ist auch an der technischen Entwicklung und Einführung der elektronischen Patientenakte beteiligt. Die Allgemeinen Ortskrankenkassen, die Barmer und die Techniker Krankenkasse arbeiten mit anderen Systemen und Dienstleistern.
In einem Statement der Bitmarck gegenüber der taz heißt es: „Richtig ist, dass unsere Frühwarnsysteme Angriffe auf Bitmarck-interne Systeme gemeldet haben. Diese wehren wir derzeit ab.“ Im Zuge der Schadensprävention nehme das Unternehmen derzeit Kunden- und interne Systeme vom Netz. Auch die Bitmarck-Homepage war am Mittwoch nicht zu erreichen.
„Die weitreichenden Maßnahmen zielten darauf, negative Auswirkungen auf die gesetzlichen Krankenkassen und uns als Bitmarck zu unterbinden“, heißt es in dem Statement. Die Abschaltung erfolge entsprechend den allseits abgestimmten Sicherheitsrichtlinien von Bitmarck.
Nicht der erste Hackerangriff
Im Fachportal der Gesundheitsbranche „gematik“ wurden am Mittwoch sowohl Einschränkungen bei der Nutzung der elektronischen Gesundheitskarte als auch bei elektronischen Patientenakten für Versicherte der Allianz, Signal Iduna, hkk, DAK, KKH, Mobil BKK, svlfg, BKK & IKK gemeldet. Die Zustellung elektronischer Arbeitsunfähigkeitsbescheinigungen oder Arztbriefe könne verzögert sein. Allerdings war in der Meldung von einer „technischen Störung“ beim betroffenen Betreiber Bitmarck Service GmbH die Rede.
Ein Sprecher des Bundesdatenschutzbeauftragten bestätigte auf taz-Anfrage, dass es in dieser Woche eine Datenpannenmeldung von Bitmarck gegeben hat. Unternehmen der öffentlichen Infrastruktur sind verpflichtet, den zuständigen Datenschutzbehörden eine solche Meldung binnen 24 Stunden abzugeben, wenn sie davon ausgehen, dass personenbezogene Daten abgeflossen sind oder anders als datenschutzrechtlich vorgesehen verarbeitet wurden. Aufgrund der kurzen Meldefrist könne es auch passieren, dass diese Meldung abgegeben werde, bevor das Ausmaß des Schadens bekannt sei, so der Sprecher.
Von Bitmarck hieß es jedenfalls am Mittwoch: „Datenabflüsse sind nicht festzustellen“. Weitere Fragen zum Ausmaß der gefährdeten Systeme sowie Umfang und Dauer der Abwehrmaßnahmen ließ das Unternehmen unbeantwortet.
Es ist nicht die erste Cyberattacke auf Bitmarck. Im Januar gelang es einem Angreifer, Datensätze – zum Teil mit Versichertendaten – abzuziehen, die er im Darknet zum Verkauf anbot. Ende März musste die Krankenkasse „BIG direkt gesund“ ihr System zur Abwehr eines Cyberangriffs herunterfahren. Hier war ein anderer IT-Dienstleister betroffen.
Leser*innenkommentare
Reinhardt Gutsche
Zitat: „Versichertendaten in Gefahr“
Es ist lobenswert, daß sich die Taz dieser Gefahr widmet. Bleibt die Frage, ob diese Gefahrensensibilität auch für die Pläne der Europäischen Kommission gilt, zum Wohle von Big Pharma diese Patientendaten ganz legal abzugreifen, auch ohne ausdrückliche Zustimmung der Betroffenen...
tomás zerolo
@INGO BERNABLE
Wenn man sich anguckt, was so ein "normaler" Browser für Traffic macht, dann geht so eine Datenexfiltration bestimmt unter.
Wie lange hat es gebraucht, bis die Leute herausgefunden haben, dass Edge *den ganzen Browserverlauf* nachhause telefoniert?
So ein paar HTTPS-Verbindungen fallen nur in einer Bude auf, die ein- zwei kompetente Netzwerkadmins hat.
Biks
Ich bin fast froh, dass so ein Vorfall bereits jetzt passiert und nicht erst, wenn die medizinischen Daten der Mehrheit der PatientInnen in irgendwelchen Datenbanken liegen. Hoffentlich lernen jetzt genug Leute, dass es keine absolut sicheren Datenbanken gibt, selbst dann nicht wenn "der Staat" sie betreibt, auch wenn Politiker das immer gerne behaupten.
Richtig spannend wird es, wenn irgendwann durch solche Angriffe Leute zu schaden kommen, weil ihre wichtigen medizinischen Daten plötzlich nicht mehr verfügbar sind für eine Notfallbehandlung.
tomás zerolo
"Datenabflüsse sind nicht festzustellen"
Wie stellt man sowas fest? Ohr ans Ethernet und gucken, ob's gluckert?
Ich weiss nicht, was beleidigender ist: die offenkundige unfähigkeit, oder das Bullshit-Bingo danach "Wir wehren gerade Angriffe ab".
Und hört mir mit der Gematik auf. Könnt Ihr Euch daran erinnern, wie sie ihre PKI verdaddelt haben?
Ingo Bernable
@tomás zerolo Man kann ja zumindest schon mal feststellen welche Datenvolumen in welcher Richtung übertragen werden und prinzipiell kann man per Port-Mirroring auch einen Sniffer mitlaufen lassen um sich zumindest vom unverschlüsselten Teil des Traffics einen Eindruck zu verschaffen. Grundsätzlich haben sie aber recht, die Aussage ist ziemlich wenig wert, weil der Umstand, dass sie keine Datenabflüsse bemerkt haben längst kein Beleg dafür ist, dass es keinen gegeben hat.
Emsch
Ihre Daten sind sicher 😂. Wer es glaubt....
31841 (Profil gelöscht)
Gast
Passt doch: Minister Lauterbach plant, dass Ärzte, die die elektronische Patientenkarte nutzen, künftig dafür extra honoriert werden ...
Und wer will als Patient/in seinem/ihrem/seiner/ihrer Doktor/in schon das Honorar schmälern?
PartyChampignons
@31841 (Profil gelöscht) Das Honorar meines Doktors ist mir erstmal ziemlich schnuppe, wenn es um die Sicherheit meiner Daten geht