BIG-Krankenkasse wurde am 28. März 2023 Opfer eines Cyberangriffes

Der Nächste bitte! Die BIG-Krankenkasse in Dortmund war über Tage für Versicherte nicht erreichbar. Nun stellt sich heraus, dass der Versicherer Opfer eines Cyberangriffs geworden ist. Die IT-Verantwortlichen musste die Systeme herunterfahren und untersuchen nun mit Hochdruck, was genau passiert ist und ob bzw. welche Daten der Versicherten wohl betroffen sein könnten. Nachdem Blog-Leser Karel v.G. mich per Mail auf diesen Sachverhalt hingewiesen hat (danke dafür), habe ich einige Informationen zusammen getragen.

Die Krankenkasse BIG direkt gesund hat den Sitz in Berlin, aber ihre Verwaltung in Dortmund. BIG, das steht nicht für "Größe", sondern für Bundesinnungskrankenkasse Gesundheit. Als Krankenkasse ist sie eine Körperschaft des öffentlichen Rechts und wurde erst 1996 von der Bundesinnung der Hörakustiker gegründet. Laut Wikipedia hatte die Krankenkasse 2021 wohl ca. 520.000 Versicherte.

Webseite meldet Störung

Auf der Internetseite der BIG direct gesund wird aktuell für diverse Leistungen und eine unkomplizierte Versorgung geworben. In einem Banner heißt es, dass die Krankenkasse Aufgrund einer Störung "aktuell" nicht erreichbar sei. Man arbeite "intensiv an einer Löschung" – was schon eine seltsame Formulierung ist.

In einer Seite mit Informationen zur aktuellen Störung heißt es, dass die "BIG aktuell mit hoher Priorität einen unautorisierten Zugriff auf einen eingegrenzten Netzbereich des Unternehmens untersucht". Der Zugriff wurde am 28. März 2023 im Rahmen laufender IT-Sicherheitskontrollen identifiziert. Die Verantwortlichen der IT haben daraufhin umgehend alle Systeme isoliert und kontrolliert abgeschaltet.

Die Krankenkasse teilt weiterhin mit, dass man gemeinsam mit externen Experten eine umfassende Überprüfung der eigenen Systeme gestartet habe. Diese Analyse dauert aktuell noch an. Die zeitweise nicht Erreichbarkeit auf einer Reihe von Kanälen, darunter E-Mail und Telefon wird durch den Fremdzugriff und die dadurch resultierende Abschaltung der Systeme begründet. Die Erreichbarkeit für die Versicherten über die bekannten Kanäle soll im Laufe des 31.3. wieder hergestellt werden.

In der Meldung heißt es weiterhin, dass nach aktuellen Ergebnissen der Analyse, die die Verantwortlichen gemeinsam mit externen Datenforensikern durchführen, kein Datenabfluss erkennbar sei. Vorsichtshalber hab man jedoch alle zuständigen Behörden (u.a. BSI) über den Vorfall informiert und arbeite bei der Aufklärung des Vorfalls eng mit diesen zusammen. Es heißt aber, dass die Analysen noch andauern.

Die Krankenkasse versichert (ein doppeldeutiger Joke, das ist deren Tagesgeschäft), dass sie alle Anstrengungen unternehmen werde, um den Vorfall umfassend aufzuklären. Sobald weitere relevante Erkenntnisse vorliegen, wollen die Verantwortlichen hierzu umgehend informieren. Hier wird es im Fall eines Datenlecks spannend, ob die Information über einen Datenabfluss zuerst von der BIG oder von Sicherheitsforschern, die die Daten im Darknet gefunden haben, kommt. Aber das ist Spekulation – vielleicht haben die Versicherten ja Glück gehabt – zu wünschen ist es ihnen.

Der Blog-Leser hatte mir noch den Link zu einem Artikel der Ruhrnachrichten geschickt. Dort heißt es, dass der Direktversicherer auf Außendienst und Filialen verzichtet und ganz auf digitalen Service setzt.

Angriff auf IT-Dienstleister Bitmark

Ergänzung 1: Am 26. April 2023 wurde die BIG-Krankenkasse von ihrem IT-Dienstleister informiert, dass diese Opfer eines Cyberangriffs waren. Die Krankenkasse hat dies in einer Meldung, die ich nachfolgend mal herausziehe, eingestanden.

Cyberangriff auf unseren IT-Dienstleister Bitmarck

Bitmarck, ein wichtiger IT-Dienstleister der BIG direkt gesund und anderer Krankenkassen, hat uns am 26.4. darüber informiert, Opfer einer Cyberattacke zu sein. Der dadurch entstandene Ausfall der Bitmarck Systeme hat auch Auswirkungen auf die BIG.

Aufgrund der technischen Probleme der Bitmarck kann es leider zu Verzögerungen bei der Bearbeitung Ihrer Anliegen kommen. Die Auszahlung von Geldleistungen sind wieder angelaufen und müssten in den nächsten Tagen bei Ihnen auf dem Konto eingehen. Es kann durch das hohe Volumen noch zu Verzögerungen kommen.

Uns ist bewusst, dass diese Auszahlungen sehr wichtig für Sie sind.

Wir bitten Sie daher aufrichtig um Entschuldigung und danken Ihnen für Ihre Geduld. Bitmarck arbeitet weiter mit höchster Priorität an der Wiederherstellung der IT-Dienste in der Qualität wie Sie es gewohnt sind.

Volldampf in Richtung ePA

Mir ist sofort der Angriff auf den australischen Krankenversicherer Medibank eingefallen (siehe meinen Blog-Beitrag Cyber- und Ransomwareangriffe: Rodgau, Rosenbauer, Dole, Medibank – Facebook-Seite und TikTok-Gebrauch untersagt. Beim Angriff wurden Daten von Versicherten abgezogen und der Versicherer wurde im Anschluss erpresst (siehe z.B. diesen Tagesschau-Bericht).

Weiterhin gab es noch einen erfolgreichen Cyberangriff auf Bitmark (siehe meinen Blog-Beitrag Cyberangriffe auf Rechtsanwälte Kapellmann, Geomed-Klinik Gerolzhofen; Angriffe auf ESXi-Server), bei dem Versichertendaten abgezogen wurden. Die Bitmarck Holding GmbH mit Sitz in Essen ist ein Dienstleister von Sozialversicherungsträgern und wirbt auf seiner Webseite mit lustigen Filmchen zur elektronischen Patientenakte ePA.

Bitmarck wirbt für ePA

Die digitalisieren nach eigenem Sprech "Gesundheit" und geben sich als Experten. In "Influencer-Kreisen" wäre dieser Werbeträger aber für potentielle Kunden ob des obigen Vorfalls total verbrannt. Ficht die Leute aber nicht an. Wenn ich diese Hacks von Bitmark, BIK & Co. so sehe, wird mir ganz anders. Denn ich habe die ePA-Pläne der Bundesregierung im Hinterkopf (siehe Lauterbach "will" die elektronische Patientenakte (ePA) mit Opt-out – ein Desaster mit Ansage oder Wolkenkuckucksheim?). Das könnte noch lustig werden, wenn es nicht um Patientendaten und sensitive Informationen für Millionen Menschen ginge.

Angriff durch Black Basta Ransomware

Ergänzung 2 vom 21. Juni 2023: Inzwischen hat sich die Black Basta Ransomware-Gruppe zu diesem Angriff bekannt.

Das geht aus obigem Tweet hervor, der den Umstand aufgreift, dass die Ransomware-Gruppe die Krankenkasse als Opfer benennt, von dem Daten erbeutet wurden.

Ähnliche Artikel:
Lauterbach "will" die elektronische Patientenakte (ePA) mit Opt-out – ein Desaster mit Ansage oder Wolkenkuckucksheim?
Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?
Video-Ident durch Chaos Computer Club "sturmreif geschossen"
gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022)
Cyber- und Ransomwareangriffe: Rodgau, Rosenbauer, Dole, Medibank – Facebook-Seite und TikTok-Gebrauch untersagt
Cyberangriffe auf Rechtsanwälte Kapellmann, Geomed-Klinik Gerolzhofen; Angriffe auf ESXi-Server
TI-Konnectoren im Gesundheitswesen – der "400 Millionen Euro"-Hack des Chaos Computer Clubs
TI-Konnektorentausch: Ärzteverbände erstatten Anzeige wegen Korruptionsverdacht
Sicherheitslücken im deutschen Gesundheitsdatennetz
gematik-Gesellschafter haben Opt-out für elektronische Patientenakte (ePA) beschlossen
Vernichtendes Urteil an elektronischer Patientenakte auf Freie Ärzteschaft (FA) Kongress (3.12.2022)
Neustart in 2023 für Elektronische Patientenakte (ePA) geplant