Im März 2023 wurde ein deutscher Gesundheitsdienstleister Ziel eines Cyberangriffs. Anders als bei vielen Vorfällen war hier nicht der tagelange Betriebsausfall das eigentliche Problem – sondern der Diebstahl sensibler Patientendaten. Dieser Fall zeigt, warum Gesundheitsdaten zu den begehrtesten Beutezielen überhaupt zählen.
Warum Gesundheitsdaten so wertvoll sind
Ein gestohlenes Passwort lässt sich ändern – eine Diagnose nicht. Gesundheitsdaten sind dauerhaft und hochsensibel: Sie verraten Krankheiten, Behandlungen, Medikamente. Für Kriminelle sind sie deshalb besonders nützlich – für gezielten Betrug, für Erpressung und für Identitätsdiebstahl. Im Darknet erzielen vollständige Gesundheitsprofile ein Vielfaches dessen, was reine Zugangsdaten bringen. Genau das macht den Sektor zum Dauerziel.
Die rechtliche Tragweite
Mit dem Abfluss von Patientendaten wird der Angriff zum Datenschutzfall. Nach DSGVO muss der Dienstleister die Aufsichtsbehörde in der Regel binnen 72 Stunden informieren; bei hohem Risiko sind auch die Betroffenen zu benachrichtigen. Für KRITIS-Einrichtungen kommt die Meldepflicht gegenüber dem BSI hinzu. Versäumnisse hier verschärfen den Schaden zusätzlich – finanziell wie für das Vertrauen.
Schutz: Daten unbrauchbar machen, bevor sie abfließen
- Verschlüsselung sensibler Datenbestände – gestohlene, aber verschlüsselte Daten sind wertlos.
- Least-Privilege-Zugriffe: Jedes Konto erreicht nur, was es wirklich braucht.
- Mehr-Faktor-Authentifizierung, da Daten meist über übernommene Konten abfließen.
- Anomalie-Erkennung für ungewöhnlich große Datenabflüsse.
Was Betroffene tun sollten
Patientinnen und Patienten, deren Daten betroffen sind, sollten besonders wachsam gegenüber Phishing sein, das sich glaubwürdig auf echte Gesundheitsdaten bezieht. Zugänge zu Gesundheitsportalen ändern, MFA aktivieren, ungewöhnliche Kontaktaufnahmen hinterfragen.
Fazit
Im Gesundheitswesen ist Datenschutz Patientenschutz. Wer Datenbestände verschlüsselt, Zugriffe begrenzt und Abflüsse überwacht, nimmt Angreifern das wertvollste Ziel – die Daten selbst.
Quelle: BSI Lagebericht 2023