Datenabfluss bei Gesundheitsunternehmen: Dänen bangen um sensible Informationen

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Nach einem Cyberangriff auf "Alles Lægehus", einem Betreiber medizinischer Zentren in Dänemark, sind persönliche Patientendaten veröffentlicht worden. Anfang Dezember hatte das Unternehmen über einen Cyberangriff informiert, von dem 130.000 Patienten betroffen sein könnten, wie dänische Medien berichten.

Betroffen ist nach Informationen der dänischen Zeitung Ekstra Bladet damit auch die CPR-Nummer, die im zentralen Personenregister Dänemarks hinterlegt ist und der Identifikation dient. Sie wird auch im Gesundheitswesen verwendet und ist beispielsweise auf der dänischen Gesundheitskarte vermerkt, wird aber auch in anderen Verwaltungsbereichen genutzt. Weitere Informationen, die in einem geschlossenen Forum veröffentlicht werden, sind neben der Krankengeschichte auch Informationen über Medikamente.

In Dänemark melden sich nun erste Betroffene gegenüber der dänischen Rundfunkanstalt DR zu Wort, die durch den Vorfall verunsichert wurden. Die dänische Datenschutzbehörde rät, die Betroffenen umgehend zu informieren. Es könne jedoch einige Zeit dauern, bis klar sei, wer alles zu den Betroffenen gehöre. Die Polizei untersucht den Fall zusammen mit dem National Cyber Crime Center und Alles Lægehus.

Experten warnen, dass dies der kritischste Fall von Datenlecks in Dänemark ist. Laut Ekstra Bladet waren der Veröffentlichung verschiedener Daten in Untergrundforen dreiwöchige Verhandlungen vorangegangen. Ob Lösegeld für die Nichtveröffentlichung der Daten gezahlt wurde, ist unklar. Die dortige Polizei fordert Bürger auf, besonders wachsam zu sein – etwa gegenüber Phishingversuchen – und Verdachtsfälle von Datenmissbrauch zu melden.

Regelmäßig Schwachstellen

Immer wieder nutzen Kriminelle Sicherheitslücken im Gesundheitswesen aus. Gerade Gesundheitsdaten sind wertvoll und werden inzwischen zu höheren Preisen gehandelt als Kreditkartendaten. Anfang 2024 hatten sich Cyberkriminelle über einen ungesicherten Server Zugang zu Citrix bei der UnitedHealth-Tochter "Change Healthcare" verschafft, einem großen Finanzdienstleister im US-Gesundheitswesen. Anschließend waren die Daten von 300 Millionen US-Bürgern im Darknet, trotz mehrfacher Lösegeldzahlungen. Experten raten davon ab, Lösegeld zu zahlen, da die Forderungen der Kriminellen dadurch nicht unbedingt zu stoppen sind.

(mack)