Ein Hackerangriff auf eine zentrale Stelle des niedersächsischen Gesundheitssystems hat Daten von möglicherweise Zehntausenden Versicherten gefährdet. Kriminelle haben die Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen, kurz Arwini, mit einem Erpressungstrojaner attackiert. Die Polizei hat bestätigt: Daten wurden tatsächlich abgegriffen.
Was ist die Arwini und warum ist sie ein lohnendes Ziel?
Die Arwini mit Sitz in Hannover ist kein bekannter Name in der Öffentlichkeit. Ihre Rolle im Gesundheitssystem ist dennoch bedeutend. Der Verein prüft Kassenrezepte auf Wirtschaftlichkeit. Er sitzt damit an einer wichtigen Schnittstelle zwischen Ärzten, Apotheken und gesetzlichen Krankenkassen.
Auf den Servern des Vereins lagern sensible Gesundheitsdaten. Dazu gehören Informationen über Diagnosen, verschriebene Medikamente und behandelnde Ärzte. Für Cyberkriminelle sind solche Daten besonders wertvoll. Sie lassen sich für Erpressungen nutzen oder im Darknet verkaufen.
Angriff im Mai entdeckt: So lief der Vorfall ab
Anfang Mai wurden bei der Arwini erste Hinweise auf einen Cyberangriff entdeckt. Die Täter setzten einen sogenannten Erpressungstrojaner ein. Solche Schadsoftware verschlüsselt Daten auf befallenen Systemen. Gleichzeitig werden Daten abgezogen, bevor die Verschlüsselung greift.
Die Arwini erstattete Anzeige. Die Polizei nahm Ermittlungen auf. Dabei bestätigten die Behörden, dass ein Datenabfluss stattgefunden hat. Wer hinter dem Angriff steckt, ist bislang nicht öffentlich bekannt.
Bis zu 80.000 Datensätze betroffen
Das Ausmaß des Vorfalls ist erheblich. Nach aktuellem Stand könnten bis zu 80.000 Patientendatensätze von dem Angriff betroffen sein. Diese Zahl macht den Vorfall zu einem der größeren Datenschutzvorfälle im niedersächsischen Gesundheitsbereich der vergangenen Jahre.
Welche konkreten Daten abgeflossen sind, wird noch untersucht. Betroffene Versicherte müssen damit rechnen, dass ihre Gesundheitsinformationen in fremden Händen sind.
Behörden und Datenschutz: Was jetzt folgt
Nach einem Datenschutzvorfall dieser Größenordnung sind gesetzliche Meldepflichten einzuhalten. Die Arwini muss den Vorfall der zuständigen Datenschutzbehörde melden. Betroffene Personen sind grundsätzlich zu informieren, wenn ein hohes Risiko für ihre Rechte besteht.
Der Landesbeauftragte für den Datenschutz Niedersachsen ist in solchen Fällen einzubeziehen. Ob und wie die Arwini betroffene Patienten direkt kontaktiert, war zunächst unklar.
Ermittlungen laufen
Die Polizei ermittelt. Erpressungstrojaner-Angriffe auf Organisationen im Gesundheitsbereich haben in Deutschland in den vergangenen Jahren stark zugenommen. Tätergruppen agieren oft aus dem Ausland und sind schwer zu fassen.
Ob die Arwini ein Lösegeld gezahlt hat, ist nicht bestätigt. Sicherheitsexperten raten grundsätzlich davon ab, Forderungen von Cyberkriminellen nachzugeben.
Fazit: Schwachstelle im Gesundheitssystem
Der Angriff auf die Arwini zeigt, dass nicht nur große Kliniken oder Krankenkassen im Visier von Hackern stehen. Auch kleinere Organisationen mit Zugang zu sensiblen Gesundheitsdaten sind gefährdet. Für die betroffenen Patientinnen und Patienten in Niedersachsen ist der Vorfall beunruhigend. Ihre sensibelsten persönlichen Informationen könnten nun unkontrolliert kursieren. Die Ermittlungen laufen, doch der Schaden ist bereits eingetreten.