Was geschah beim DeadLock-Ransomware-Angriff auf Diater?

Der Ransomware-Angriff auf die medizinischen Aufzeichnungen von Diater hat ein Jahrzehnt sensibler Gesundheitsdaten gefährdet, nachdem die mit Russland verbundene Ransomware-Gruppe DeadLock in die Systeme des Biopharmaunternehmens eingedrungen ist. Diater, das Allergie- und Immuntherapieprodukte entwickelt, hatte Berichten zufolge etwa zehn Jahre lang klinische Verlaufsdaten und Pharmakovigilanzdaten (Aufzeichnungen zur Überwachung der Sicherheit und Nebenwirkungen von Medikamenten) gespeichert. Dieses Archiv ist nun in das geraten, was Sicherheitsforscher als doppelte Erpressungsattacke bezeichnen – eine Taktik, bei der Hacker nicht nur die Dateien eines Opfers verschlüsseln, sondern zuvor auch Kopien der Daten stehlen und dann damit drohen, diese öffentlich zu machen, falls kein Lösegeld gezahlt wird.

Dieser Ansatz mit doppeltem Druck ist zu einem der charakteristischen Merkmale moderner Ransomware-Operationen geworden. Selbst wenn ein Unternehmen seine Systeme aus Backups wiederherstellen und die Zahlung zur Entschlüsselung der Dateien vermeiden kann, behalten die Angreifer ein Druckmittel: die Drohung, gestohlene Aufzeichnungen zu veröffentlichen oder an andere Kriminelle zu verkaufen. Für ein Unternehmen im Gesundheitsumfeld wie Diater ist dieses Druckmittel besonders wirksam, denn die fraglichen Daten enthalten einige der persönlichsten Informationen, die eine Person haben kann – ihre Krankengeschichte.

Warum doppelte Erpressungstaktiken Gesundheitsdaten besonders angreifbar machen

Organisationen im Gesundheitswesen und in der Pharmaindustrie sind seit langem attraktive Ziele für Ransomware-Gruppen, und die Gründe liegen auf der Hand. Medizinische Aufzeichnungen sind voller wertvoller, schwer änderbarer persönlicher Details: Diagnosen, Behandlungsverläufe, Medikationsdaten und in diesem Fall Pharmakovigilanzdaten, die verfolgen, wie Patienten auf bestimmte Medikamente reagiert haben. Anders als eine gestohlene Kreditkartennummer, die gesperrt und neu ausgegeben werden kann, lässt sich die klinische Vorgeschichte einer Person nach einer Offenlegung nicht einfach ersetzen.

Doppelte Erpressung verschärft das Risiko, weil sie das Sicherheitsnetz entfernt, das Backups einst boten. Vor einem Jahrzehnt konnte ein gut vorbereitetes Unternehmen einen Ransomware-Angriff weitgehend neutralisieren, indem es aus dem Backup wiederherstellte und die Zahlung verweigerte. Heute gehen Angreifer wie die Gruppe hinter DeadLock von dieser Möglichkeit aus und stehlen die Daten zuerst, wodurch jeder Ransomware-Vorfall zu einem potenziellen Datenschutzverstoß wird, unabhängig davon, wie schnell Systeme wiederhergestellt werden. Diese Verschiebung hat Ransomware-Angriffe auf Organisationen im Gesundheitswesen zu einem hartnäckigen und sich weiterentwickelnden Problem gemacht, das weit über einen einzelnen Vorfall hinaus Aufmerksamkeit erregt.

Was die Offenlegung klinischer Verlaufsdaten und Pharmakovigilanzdaten für Patienten bedeutet

Für Patienten, deren Informationen Teil des Diater-Archivs waren, geht die Sorge über bloße Datenschutzverlegenheit hinaus. Klinische Verlaufsdaten können chronische Erkrankungen, Allergien, psychiatrische Behandlungen oder Details zur reproduktiven Gesundheit offenbaren – Informationen, die für gezieltes Phishing, Versicherungsbetrug oder Diskriminierung genutzt werden können, wenn sie in die falschen Hände geraten. Pharmakovigilanzdaten, die unerwünschte Arzneimittelwirkungen verfolgen, können ähnlich sensibel sein, da sie oft die Identität eines Patienten über einen längeren Zeitraum mit bestimmten Medikamenten und gesundheitlichen Ergebnissen verknüpfen.

Da diese Daten etwa zehn Jahre lang aufbewahrt wurden, ist der Umfang der Offenlegung nicht auf aktuelle Patienten beschränkt. Personen, die lange vor Bekanntwerden des Verstoßes mit Diater in Kontakt standen, könnten immer noch Aufzeichnungen in dem kompromittierten Archiv haben. Dieses lange Aufbewahrungsfenster erinnert daran, dass Daten nicht aktuell sein müssen, um für Angreifer wertvoll oder für die betroffenen Personen schädlich zu sein.

Wie Patienten und Gesundheitsdienstleister das Risiko von Datenschutzverletzungen im Medizinbereich verringern können

Auch wenn Patienten nicht kontrollieren können, wie ein Unternehmen wie Diater seine Infrastruktur sichert, gibt es Schritte, die das persönliche Risiko nach einem Datenschutzvorfall im Gesundheitswesen verringern. Achten Sie auf Phishing-E-Mails oder -Anrufe, die sich auf bestimmte medizinische Details beziehen, denn gestohlene klinische Daten werden oft genutzt, um Betrugsversuche überzeugender zu machen. Ziehen Sie eine Betrugswarnung oder eine Kreditsperre in Betracht, wenn die Benachrichtigung über den Verstoß darauf hindeutet, dass identitätsdiebstahlrelevante Informationen zusammen mit den medizinischen Aufzeichnungen enthalten waren. Und fragen Sie, wo möglich, Gesundheitsdienstleister und Partnerorganisationen nach ihren Richtlinien zur Datenspeicherung, denn ein Jahrzehnt gespeicherter Aufzeichnungen bedeutet ein Jahrzehnt angesammelten Risikos, falls diese Daten jemals kompromittiert werden.

Auf organisatorischer Seite bestärkt dieser Vorfall ein breiteres Muster, das Sicherheitsforscher verfolgen: Ransomware-Gruppen verfeinern ihre Methoden und erweitern ihre Ziele über offensichtliche Finanzinstitute hinaus. Aufsichtsbehörden in anderen Regionen haben bereits begonnen, Alarm zu schlagen, wie schnell sich diese Taktiken weiterentwickeln. Taiwans Cybersicherheitsbehörden etwa gaben kürzlich eine Warnung vor KI-gestützter Ransomware heraus, die auf kritische Sektoren abzielt, und verdeutlichen damit, dass die gegen Diater eingesetzten Techniken Teil einer viel größeren, sich noch entwickelnden Bedrohungslandschaft sind und kein isoliertes Ereignis darstellen.

Was das für Sie bedeutet

Wenn Sie jemals Patient oder Kunde eines Gesundheits- oder Pharmaanbieters waren, sind Vorfälle wie der Ransomware-Angriff auf die medizinischen Aufzeichnungen von Diater ein nützlicher Anlass, Ihre eigene digitale Hygiene zu überprüfen. Das bedeutet: Prüfen, ob Ihnen direkt Benachrichtigungen über Datenschutzverletzungen zugestellt wurden, ungewöhnliche Kontoaktivitäten überwachen und skeptisch bei unaufgeforderten Nachrichten sein, die sich auf Gesundheitsdetails beziehen, selbst wenn sie legitim klingen.

Wichtige Erkenntnisse

  • Doppelte Erpressung bei Ransomware-Angriffen stiehlt Daten, bevor sie verschlüsselt werden, sodass die Wiederherstellung von Systemen das Risiko der Offenlegung nicht beseitigt.
  • Klinische Verlaufsdaten und Pharmakovigilanzdaten sind besonders sensibel, da sie sich nicht wie ein Passwort oder eine Kartennummer neu ausstellen lassen.
  • Lange Aufbewahrungsfristen, wie das Jahrzehnt an Aufzeichnungen von Diater, vergrößern den Kreis der potenziell von einem einzigen Verstoß Betroffenen.
  • Patienten sollten auf gezieltes Phishing achten und nach der Offenlegung eines Gesundheitsdatenverstoßes eine Kreditüberwachung in Betracht ziehen.
  • Dieser Angriff passt in ein breiteres Muster, bei dem Ransomware-Gruppen ihre Taktiken branchen- und länderübergreifend verfeinern, nicht nur im Gesundheitswesen.