Ein bekanntes Playbook: Erst stehlen, dann leaken

Gesundheitsorganisationen sehen sich erneut mit der harten Realität moderner Ransomware-Erpressung konfrontiert. Laut Healthcare IT News hat die Datenerpressungsgruppe ShinyHunters damit begonnen, Teile der 8,8 TB an Daten zu veröffentlichen, die sie nach einem Angriff auf anfällige Altsysteme von One Medical gestohlen haben will. Der Bericht erwähnte auch einen separaten Fall mit AnMed, bei dem das Gesundheitssystem angeblich eine Frist von 72 Stunden erhielt, um auf die Forderungen der Angreifer zu reagieren – was zeigt, wie eng die Zeitpläne sein können, sobald eine Ransomware-Gruppe Kontakt aufnimmt.

Besonders beunruhigend an diesem Muster ist die Taktik selbst. Anstatt eine Lösegeldentscheidung abzuwarten, beginnen Gruppen wie ShinyHunters oft damit, gestohlene Daten schrittweise zu veröffentlichen. Es ist eine Drucktaktik, die Opfer dazu zwingen soll, schnell zu zahlen, bevor weitere sensible Informationen öffentlich werden. Für Gesundheitsdienstleister wird dieser Druck noch durch regulatorische Verpflichtungen, Sorgen um das Vertrauen der Patienten und das operative Chaos nach einem größeren Datenschutzvorfall verstärkt.

Warum alte Systeme immer wieder zum Einfallstor werden

Der Angriff auf One Medical nutzte Berichten zufolge Altsysteme aus – ein Detail, das jeden beunruhigen sollte, der die Trends im Bereich der Cybersicherheit im Gesundheitswesen verfolgt. Ältere Infrastrukturen verfügen oft nicht über die Sicherheitskontrollen, die Patch-Frequenz und die Überwachung, die moderne Systeme erfordern, was sie zu einem attraktiven Ziel für Gruppen macht, die nach einem Zugang suchen. Dies ist kein neues Problem, bleibt aber im Gesundheitssektor hartnäckig bestehen, wo Legacy-Software manchmal weiterlebt, weil ein Austausch teuer oder betrieblich störend ist.

Dies ist Teil eines breiteren Musters, bei dem veraltete oder ungepatchte Systeme zur Schwachstelle werden, die Angreifer ausnutzen. Selbst außerhalb des Gesundheitswesens kann das Ausmaß der von Unternehmen zu verwaltenden Sicherheitslücken überwältigend sein. Zur Einordnung: Microsofts Patch Tuesday im Juli 2026 behob in einer einzigen Veröffentlichung 622 Schwachstellen, darunter zwei aktiv ausgenutzte Zero-Days – eine Erinnerung daran, wie groß die Angriffsfläche bei weit verbreiteter Software selbst dann ist, wenn Anbieter aktiv patchen.

Das Erpressungsmodell: Datendiebstahl ohne Verschlüsselung

Traditionelle Ransomware-Angriffe bestanden häufig darin, die Dateien eines Opfers zu verschlüsseln und eine Zahlung für den Entschlüsselungsschlüssel zu fordern. Gruppen wie ShinyHunters sind zu einem anderen Modell übergegangen: Daten stehlen, mit der Veröffentlichung drohen und das Leck selbst als Druckmittel nutzen. Dieser Ansatz kann ebenso schädlich sein, wenn nicht sogar noch schädlicher, weil er direkt auf das Expositionsrisiko abzielt, das Opfer am meisten fürchten. Sobald Patientenakten, Abrechnungsdaten oder persönliche Gesundheitsinformationen veröffentlicht sind, lässt sich diese Offenlegung nicht mehr rückgängig machen.

Für Patienten ist dieser Wandel bedeutsam, denn er bedeutet, dass ein Sicherheitsvorfall keinen Systemausfall mit sich bringen muss, um schwerwiegend zu sein. Daten können unbemerkt aus Altsystemen exfiltriert werden, lange bevor jemand etwas bemerkt, und wenn ein Leck beginnt, hat die Organisation bereits die Kontrolle über die Informationen verloren.

Was das für Sie bedeutet

Wenn Sie Patient eines von einem solchen Vorfall betroffenen Gesundheitsdienstleisters sind, sollten Sie sich einiger Tatsachen bewusst sein. Erstens sind Gesundheitsdaten gerade deshalb ein hochwertiges Ziel, weil sie umfassend sind: Namen, Versicherungsdetails, Krankengeschichten und manchmal Zahlungsinformationen – alles an einem Ort. Zweitens liegt der Zeitplan für die Veröffentlichung nach der Behauptung der Angreifer, Daten gestohlen zu haben, oft außerhalb Ihrer Kontrolle und auch außerhalb der Kontrolle des Gesundheitsdienstleisters.

Das bedeutet nicht, dass Sie machtlos sind. Patienten, die von Sicherheitsverletzungen wie dem One Medical-Vorfall betroffen sind, sollten auf offizielle Benachrichtigungen über Datenschutzverletzungen achten, ihre Versicherungs- und Arztabrechnungen auf ungewöhnliche Aktivitäten überwachen und gegebenenfalls eine Kreditüberwachung in Betracht ziehen, sofern angeboten. Außerdem ist Vorsicht bei Phishing-Versuchen geboten, die auf ein Datenleck folgen können, da Angreifer mitunter gestohlene Daten nutzen, um überzeugende Folge-Betrügereien zu inszenieren.

In puncto Datenschutz nähren solche Vorfälle auch die breitere Diskussion darüber, wie viele personenbezogene Daten Organisationen – ob im Gesundheitswesen oder anderswo – schützen müssen. Kommunikationstools, die Verschlüsselung priorisieren, wie Tuta, spiegeln ein wachsendes Interesse daran wider, die Abhängigkeit von zentralisierten Systemen zu verringern, die zu Single Points of Failure werden können. Ähnlich greifen manche Nutzer, die ihre eigene Angriffsfläche verkleinern wollen, zu gebündelten Sicherheitslösungen; etwa die Entscheidung von NordVPN, einen integrierten Antivirenschutz hinzuzufügen, spiegelt den Trend wider, dass Verbraucher mehrschichtige Schutzmaßnahmen wünschen, anstatt sich auf einen einzigen Schutz zu verlassen.

Umsetzbare Erkenntnisse

Wenn Sie glauben, von einem Datenschutzvorfall im Gesundheitswesen wie dem One Medical-Vorfall betroffen zu sein:

  • Achten Sie auf offizielle Benachrichtigungsschreiben oder E-Mails des Anbieters und überprüfen Sie deren Echtheit, bevor Sie auf Links klicken.
  • Überwachen Sie die Leistungsabrechnungen Ihrer Versicherung (Explanation of Benefits) und Ihre Arztrechnungen auf unbekannte Posten.
  • Ziehen Sie eine Betrugswarnung oder eine Kreditsperre in Betracht, wenn Finanz- oder Identitätsdaten betroffen waren.
  • Seien Sie skeptisch bei unaufgeforderten Anrufen oder E-Mails, die sich auf Ihre Krankengeschichte beziehen, da es sich um nachfolgende Phishing-Versuche handeln könnte.
  • Fragen Sie Ihren Anbieter direkt, welche Daten betroffen waren und welche Abhilfemaßnahmen er ergreift.

Ransomware- und Erpressungsangriffe auf Gesundheitseinrichtungen nehmen nicht ab, und der Wandel hin zu Datenlecks als Druckmittel bedeutet, dass Patienten auch dann wachsam bleiben müssen, wenn die ersten Schlagzeilen verblassen. Informiert zu bleiben, die Kommunikation zu überprüfen und Ihre Konten zu überwachen, sind weiterhin die praktischsten Verteidigungsmaßnahmen, die Ihnen derzeit zur Verfügung stehen.