Der Abrechnungsdienstleister Unimed, der für zahlreiche deutsche Universitätskliniken Rechnungslegung und administrative Abläufe für privat versicherte sowie selbstzahlende Patienten übernimmt, wurde Ziel eines groß angelegten Cyberangriffs. Die Attacke erfolgte Mitte April, blieb aber erst diese Woche öffentlich bekannt, nachdem mehrere betroffene Krankenhäuser Mitteilungen veröffentlichten.
Die größte bekannte Betroffenheit zeigt sich in Freiburg: Die dortiger Universitätsklinik meldete, dass Daten von etwa 54.000 Patienten gestohlen wurden. Darunter befinden sich in rund 900 Fällen auch Abrechnungsinformationen, die mit Diagnosen oder Behandlungen verknüpft sind. Die Universitätsklinik Köln gab bekannt, dass nahezu 30.000 Menschen betroffen sind, in über 840 Fällen wurden zusätzliche gesundheitsbezogene Informationen offengelegt. In fünf Fällen kompromittierten die Angreifer auch Bank- und Zahlungsdaten.
Weitere betroffene Einrichtungen sind die Universitätskliniken Heidelberg (etwa 11.000 Patienten, davon 2.700 mit Abrechnungsdatenzugriff), Tübingen, Ulm (circa 1.600 Patienten, davon etwa 300 mit Diagnose- und Behandlungsinformationen) und Mannheim. Alle Häuser betonten, dass Patienten mit reiner gesetzlicher Krankenversicherung überwiegend nicht betroffen seien, da Unimed primär für die Abrechnung privatversicherter Patienten zuständig ist.
Die Universitätskliniken haben daraufhin ihre Datenübertragungen an den Provider eingestellt. Bislang hat sich Unimed nicht öffentlich zu dem Angriff geäußert und reagierte nicht auf Anfragen. Die Identität der Angreifer und die genaue Angriffsmethode sind unbekannt; bisher hat sich keine Ransomware-Gruppe zu dem Vorfall bekannt.
Mehrere betroffene Häuser kündigten rechtliche Schritte an. Die Universitätsklinik Heidelberg erstattete bereits Strafanzeige gegen Unbekannt. Frederik Wenz, Ärztlicher Direktor der Universitätsklinik Freiburg, betonte: “Gesundheitsdaten gehören zu den sensibilsten Daten überhaupt. Deren Diebstahl ist ein erheblicher Eingriff in die Rechte der Betroffenen.”
Der Vorfall verdeutlicht die kritische Abhängigkeit von Drittanbietern im Gesundheitswesen und die Notwendigkeit strengerer Sicherheitsanforderungen für solche Dienstleister. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird den Fall voraussichtlich als kritischen Vorfall im kritischen Infrastruktursektor einstufen und Empfehlungen für zukünftige Sicherheitsmaßnahmen abgeben.