Cyberangriff auf Kliniken: Wenn Dienstleister zum Sicherheitsrisiko werden

Ein Hackerangriff auf einen externen Abrechnungsdienstleister führte zum Diebstahl sensibler Patientendaten mehrerer deutscher Unikliniken. Kriminelle erbeuteten dabei zehntausende Datensätze, darunter Diagnosen und Adressen.

Wie kam es zum massiven Datenleck bei den Unikliniken?

Die betroffenen Krankenhäuser übergaben die Rechnungsabwicklung für Privatversicherte an eine externe Firma. Hacker griffen die Server dieses Dienstleisters an und stahlen die Daten der Patientinnen und Patienten. Die Angreifer erbeuteten dabei Namen, Geburtsdaten, Adressen und teilweise hochsensible Informationen über Behandlungen. Die Kliniken selbst waren hingegen nicht betroffen.

Drohen durch das Datenleck jetzt gefährlichere Phishing-Angriffe?

Ja, Kriminelle nutzen die gestohlenen Patientendaten in Kombination mit Künstlicher Intelligenz (KI) für hochgradig personalisierte Betrugsversuche. Das Fachwort dafür lautet Spear-Phishing. Dabei versenden Angreifer keine leicht erkennbaren, generischen Massen-Mails mehr, sondern schneiden Nachrichten mit echten Details exakt auf eine einzelne Person zu. KI formuliert aus den erbeuteten Diagnosen und Adressen in Sekunden täuschend echte E-Mails oder SMS. Diese Nachrichten wirken beispielsweise wie legitime Rechnungen, Mahnungen oder dringende Rückfragen der betroffenen Klinik. Betroffene erkennen den Betrug so deutlich schwerer und geben unbedacht weitere sensible Informationen oder Zahlungen frei.

Fazit

Der aktuelle Cyberangriff auf Unikliniken zeigt deutlich: Die IT-Sicherheit externer Partner entscheidet maßgeblich über die eigene Datensicherheit. Durch den gezielten Einsatz von KI bei gestohlenen Daten drohen nun hochgradig personalisierte Spear-Phishing-Angriffe, die für Betroffene kaum noch zu durchschauen sind.

Unsere Tipps für Betroffene dieses Lecks (Schutz vor Spear-Phishing)

• Künstlichen Druck ignorieren: Betrüger fordern häufig blitzschnelle Überweisungen für angebliche „offene Krankenhausrechnungen“ und drohen sofort mit Inkassobüros. Lassen Sie sich nicht unter Druck setzen.
• Absenderwege unabhängig verifizieren: Nutzen Sie niemals Telefonnummern, Links oder QR-Codes aus einer verdächtigen Zahlungsaufforderung. Suchen Sie die offizielle Nummer der Klinik oder der externen Abrechnungsstelle selbst über eine Suchmaschine heraus und fragen Sie dort telefonisch nach.
• Keine weiteren Daten preisgeben: Legen Sie bei unaufgeforderten Anrufen angeblicher Klinikmitarbeiter sofort auf. Geben Sie niemals Passwörter, PINs oder weitere Details zu Ihrer Krankengeschichte über verlinkte Formulare ein.