Ransomware-Angriff auf dänisches Gesundheitssystem, Patientendaten abgeflossen

In Dänemark gibt es einen Cybervorfall, bei dem Patientendaten aus einem Praxisverwaltungssystem nach einem Ransomware-Angriff abgeflossen sind. Tragisch: Es hat einen Dienstleister für Arztpraxen getroffen – und nun ist davon auszugehen, dass die Gesundheitsdaten von 130.000 Patienten in Händen von Cyberkriminellen sind, die den Anbieter dann erpressen wollten. Die Details kommen dabei immer nur Bruchstückweise ans Tageslicht – immer, wenn nichts mehr zu leugnen ist.

Hierzulande nimmt ja die elektronische Patientenakte (ePA) Gestalt an – viele Daten, die gesammelt und zentral in den Aktensystemen der Dienstleister von Krankenkassen gespeichert werden. Natürlich hochsicher, wer da Datenschutz- und Sicherheitsbedenken äußert, wird gerne als Dummschwätzer hingestellt.

Dänemark als leuchtendes Vorbild

Es kommt dann der obligatorische Hinweis, dass das Gesundheitssystem in Skandinavien durchdigitalisiert sei. Dänemark gilt als Musterbeispiel, die WHO hat diesem Land gerade einen Persilschein ausgestellt. Patrick hatte mich heute per Mail auf diese WHO-Meldung hingewiesen, wo man liest: "Erstklassige Gesundheits-IT Dänemarks nationale digitale Gesundheitsinfrastruktur wird als erstklassig angesehen. Sie ist geprägt von einem hohen Maß an Vertrauen von Seiten der Öffentlichkeit und hoher IT-Sicherheit."

Datenleck nach Ransomware-Befall

Dann hatte Patrick auf einen Abfluss von Patientendaten im dänischen Gesundheitswesen hingewiesen (danke dafür). Patrick schrieb per E-Mail "Datenleck in Dänemark – Patienten bloßgestellt – Mutmaßliche Hacker erpressen offenbar einen Praxiskonzern, bei dem 130.000 Patienten registriert sind, mit gestohlenen digitalen Patientendaten." Die TAZ hat in diesem Artikel einige Informationen und obiges Zitat zusammen getragen. Und in diesem Kommentar verweist Patrick auf einen Blog-Beitrag von FeFe.

Von der "Technischen Störung" …

Ich habe mir auch mal einige dänisch-sprachige Quellen diesbezüglich angesehen. Es geht um Alles Lægehus, einen Betreiber von 39 medizinischen Zentren in Dänemark.

Natürlich vorbildlich allumfassend digitalisiert. Bei ComputerWorld Dänemark kann man in diesem Artikel vom 2. Januar 2025 lesen, dass der Betreiber am 9. Dezember 2024 von einem Cyberangriff getroffen worden sei. Dieser Vorfall wurde zu Beginn vom Betreiber als eine "Technische Störung" dargestellt.

Aber im Artikel von Anfang Januar 2025 heißt es bei ComputerWorld, dass es sich um einen Cyberangriff gehandelt habe, bei dem sowohl Patienten- als auch Mitarbeiterdaten gestohlen wurden. Mehrere Wochen nach dem Angriff habe die Klinikgruppe noch immer keinen vollständigen Überblick über das Ausmaß des Angriffs.

zum Desaster für Patienten

Der dänische Rundfunk meldet hier, dass Alles Lægehus einfach wochenlang zum Cybervorfall geschwiegen habe – "Sie halten sie einfach versteckt" heißt es. Zum 30. Dezember 2024 hatte das Unternehmen wohl auf seiner Firmenseite zugegeben, dass die persönlichen Daten von Patienten in die Hände von Cyberkriminellen gefallen sind.

Das Schweigen ist nicht mehr möglich, weil die Cyberkriminellen versuchten, den Anbieter zu erpressen und nun die Daten geleakt haben. Betroffen sind potentiell wohl 130.000 Patienten der vom Anbieter betriebenen Praxen (sind wohl so etwas wie Hausarztpraxen).

Das Unternehmen hatte bislang nur zugegeben, dass Namen, Adressen, Personennummern und E-Mailadressen von Patienten beim Cyberangriff "gestohlen" worden seien. Weiterhin hieß es, dass in manchen Fällen zusätzliche Informationen zum Patienten, etwa, ob Diabetes vorliegt, abgeflossen seien.

Die Polizei bestätigt in dieser Mitteilung das Datenleck bei Alles Lægehus und warnt, dass die geleakten persönlichen Daten für Betrugsversuche missbraucht werden können. Aktuelle und ehemalige Patienten der Praxen müssen besonders wachsam sein. Die südjütländische Polizei untersucht den Fall intensiv in Zusammenarbeit mit dem National Cyber Crime Centre (NC3) und mit Unterstützung von Alles Lægehus.

Der dänische Rundfunk (DR) schreibt, dass die Opfer erst nach einer Anfrage der Rundfunkanstalt beim Anbieter informiert wurden. Diese lange Zeit des Verschweigens alarmiert dänische IT-Experten. Jørn Guldberg, IT-Sicherheitsexperte bei Ingeniørforeningen IDA kritisiert, dass der Fall auffällig sei, das Unternehmen hätte viel früher und viel deutlicher reagieren müssen.

Der als ethischer Hacker aktive Michael Andersen kritisiert, dass der Anbieter den Fall unter der Decke halten wollte. Drei Wochen lang hatten die Hacker freie Hand, um zu versuchen, die betroffenen Patienten zu missbrauchen – ohne dass die Patienten gewarnt wurden, besonders vorsichtig mit gezielten Angriffen zu sein, gab er gegenüber DR zu bedenken.

Die Klinikgruppe verweigerte eine Stellungnahme gegenüber dem dänischen Rundfunk und gibt in einer Erklärung an, die dänische Datenschutzbehörde sowie die Polizei informiert zu haben. Patienten und Öffentlichkeit habe man nicht informiert, um die polizeilichen Ermittlungen nicht zu behindern – was mir irgendwie vorgeschoben zu sein scheint.

Die TAZ schreibt, dass es Verwirrung gegeben habe, weil auch Dänen über den Datenabfluss informiert wurden, die laut eigenem Bekunden nie Patienten dieser Hausarztpraxen waren. Alles Lægehus begründet dies, dass man während der COVID-19-Pandemie auch Test- und Impfstationen betrieben habe. Da wurden Daten von nicht Patienten erfasst, waren weiterhin gespeichert und sind nun potentiell abgeflossen.

Schöne Aussichten für die Zukunft

Tja, und nun braucht es viel Phantasie, sich vorzustellen, was in Deutschland mit der ePA passiert. In Dänemark war es laut FeFe eine Ransomware, die in den vorbildlich digitalisierten Praxis-IT-Systemen des Betreibers tätig wurde und Daten in unbekannter Menge abgezogen hat. Aber gut, die Dänen haben ein hohes Vertrauen in ihr digitalisiertes Gesundheitssystem, und was kann schon schief gehen.

Die Cyberkriminellen haben lediglich ein paar Daten persönlicher Natur erhalten, wissen, wer welche Medikamente bekommt und wer wann ins Krankenhaus überwiesen wurde. Und wenn jeder ganz vorsichtig ist, kann ja nix passieren.

In Deutschland läuft demnächst alles in einem hochgesicherten Aktensystem – eines wird beispielsweise von der BITMARCK für einen Teil der Krankenkassen betrieben, für die restlichen Krankenkassen kommt dann ein Aktensystem von IBM zum Einsatz, sobald dieses fertig und zertifiziert wurde.

Ach ja, erinnert sich noch jemand, dass BITMARCK im Frühjahr 2023 Opfer eines Cyberangriffs wurde (siehe Cyberangriffe auf Krankenkassen-IT-Dienstleister Bitmarck, Klinikum Hochsauerland GmbH). Damals waren 80 Krankenkassen betroffen, was genau passiert ist, ist meines Wissens nie öffentlich geworden.

Ich sage es mal so: Da müssen wir durch, Vertrauen in die Digitalisierung hin oder her, das ist alternativlos und bringt so viele Vorteile. Und überhaupt, Daten sind das neue Öl, und wenn alles geleakt ist, kann es keine Datenlecks mehr geben, oder?