Nach dem Cyberangriff auf den Abrechnungsdienstleister Unimed wächst die Kritik an der IT-Sicherheit rund um die Uniklinik Freiburg. Rund 54.000 Patientinnen und Patienten sind allein hier betroffen. Die unabhängige AG KRITIS sieht Versäumnisse, und ein recherchiertes Detail aus dem Jahr 2013 sticht heraus.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Cyberangriff auf einen Abrechnungsdienstleister der Uniklinik Freiburg bekommt jetzt ein deutliches Nachspiel. Rund drei Wochen nach der ersten Meldung richtet sich die Aufmerksamkeit auf die Schutzvorkehrungen, die vor dem Datendiebstahl galten. Die unabhängige Arbeitsgruppe Kritische Infrastruktur sieht dabei klare Versäumnisse.
Das Wichtigste in Kürze
- Rund 54.000 Patientinnen und Patienten der Uniklinik Freiburg sind vom Datendiebstahl beim Dienstleister Unimed betroffen, bei etwa 900 zusätzlich Rechnungsdaten.
- Die AG KRITIS rügt das IT-Sicherheitskonzept; nach Recherchen der Badischen Zeitung lag eine externe Prüfung beim IT-Dienstleister zuletzt im Jahr 2013.
- Unimed nennt das eigene Vorgehen nach dem Angriff bewährte Praxis und meldet die Systeme als gesichert und gehärtet.
- Die Klinik fordert lückenlose Aufklärung, prüft rechtliche Schritte und kontaktiert Betroffene direkt.
Was ist in Freiburg passiert?
Mitte April trafen die Angreifer den saarländischen Dienstleister Unimed, der für mehr als ein Dutzend deutsche Universitätskliniken die Abrechnung von Privatversicherten und Selbstzahlern erledigt. Bei rund 54.000 Freiburger Patientinnen und Patienten flossen Stammdaten wie Name, Geburtsdatum und Adresse ab. In etwa 900 Fällen erbeuteten die Täter zusätzlich Rechnungsdaten, aus denen sich Rückschlüsse auf Diagnosen und Behandlungen ziehen lassen. In wenigen Einzelfällen waren auch Kontodaten betroffen, wie die Klinik in ihrer Pressemitteilung darlegt. Den Überblick über alle betroffenen Häuser haben wir bereits im Bericht zum Unimed-Hack mit 120.000 Betroffenen zusammengetragen.
Verzögerte Meldung: Datenschutzbehörde und das Bundesamt für Sicherheit in der Informationstechnik erfuhren am 16. April vom Vorfall. Das belastbare Ausmaß teilte der Dienstleister der Klinik jedoch erst am 18. Mai mit, also gut einen Monat später. „Gesundheitsdaten gehören zu den sensibelsten Daten überhaupt“, sagt Prof. Dr. Frederik Wenz, Leitender Ärztlicher Direktor des Klinikums, und kündigt rechtliche Schritte an.
Warum sorgt die Prüflücke seit 2013 für Kritik?
Die AG KRITIS, ein unabhängiger Zusammenschluss von Fachleuten für kritische Infrastrukturen, sieht im Fall mehr als kriminelle Energie. Nach Recherchen der Badischen Zeitung lag eine externe Sicherheitsprüfung beim IT-Dienstleister zuletzt im Jahr 2013. Dreizehn Jahre sind in der IT-Sicherheit eine halbe Ewigkeit, in der sich Angriffsmethoden grundlegend gewandelt haben. Für große Kliniken greifen mit dem BSI-Gesetz, der NIS2-Richtlinie und den KRITIS-Vorgaben eigentlich strenge Regeln, deren Begriffe wir im Cybersecurity-Glossar einordnen.
Ein Dienstleister, der für fast alle deutschen Unikliniken abrechnet, verwaltet die Schlüssel zu Millionen Krankenakten. Bei dieser Verantwortung darf eine unabhängige Prüfung nicht dreizehn Jahre auf sich warten lassen.
— Michael Dobler, Herausgeber Dr. Web
Was hält Unimed dagegen?
Unimed zeichnet ein anderes Bild. Nach dem Angriff habe das Unternehmen externe IT-Forensiker hinzugezogen, die Systeme analysiert und gegen aktuelle Angriffsmuster gehärtet. Dieses Vorgehen entspreche der bewährten Praxis für solche Vorfälle, den Wiederanlauf habe ein Forensiker testiert. Unbefugte hätten keinen Zugriff mehr. Die Verschlüsselung der Systeme, das eigentliche Ziel der Angreifer, sei nicht gelungen.
Was Kliniken und Mittelstand jetzt mitnehmen
Der Fall zeigt, dass die eigene IT sauber sein kann und sensible Daten trotzdem über einen Partner abfließen. Prüfen Sie, welche Dienstleister Ihre wichtigsten Datensätze verarbeiten und wann deren Schutz zuletzt unabhängig kontrolliert wurde. Lassen Sie sich Prüfberichte mit Datum vorlegen, statt auf mündliche Zusicherungen zu vertrauen. Unter NIS2 ist die Dokumentation von Lieferanten-Vorfällen ohnehin Pflicht, und die Meldefristen werden enger, wie der Blick auf die 12-Stunden-Patchpflicht zeigt. Welche Summen am Ende auf dem Spiel stehen, macht die Rechnung greifbar, dass Cybercrime Deutschland 4,5 Prozent des BIP kostet.
Für Betroffene gilt bis dahin Wachsamkeit. Die Klinik kontaktiert Personen mit gestohlenen Gesundheitsdaten direkt. Fordert ein Anruf zur Bestätigung von Daten auf, sollten Sie auflegen, denn seriöse Stellen fragen sensible Angaben nicht am Telefon ab.
Mehr Newshunger?
