Bitmarck-Cyberangriff legt bundesweit Krankenkassen lahm

Ende April gab es einen Cyberangriff auf den IT-Dienstleister Bitmarck, der für viele Krankenkassen tätig ist. Als Folge dessen kam es bei diesen zu wichtigen Systemausfällen, die weitreichende Folgen hatten. Anfang Mai waren laut dem Ärzteblatt mehr als 40 Krankenkassen im Notbetrieb. Zwar wurden nach offiziellen Aussagen des IT-Dienstleisters keine Daten von Krankenversicherten abgegriffen, allerdings waren Millionen Patienten durch die Funktionsausfälle in den Krankenkassen dennoch betroffen.

Das Ausmaß des Schadens war dabei unterschiedlich hoch. Während einige Krankenkassen tage- oder wochenlang nahezu arbeitsunfähig waren oder z.T. aktuell immer noch sind, hatte z.B. die DAK keine Funktionsausfälle und konnte nur für einige Tage keine Krankschreibungen verarbeiten. Bis heute haben einige der Krankenkassen mit massiven Störungen zu kämpfen. Neben vielen weiteren Einschränkungen, waren unter anderem die nachfolgenden Punkte stark betroffen:

Ausfall wichtiger Kernfunktionen: Durch den Cyberangriff konnten wichtige Kernprozesse wie z.B. die Auszahlungen von Pflegegeldern wochenlang nicht durchgeführt werden. Darüber hinaus gab es erhebliche Probleme beim Kommunikationssystem, bei der Datenübermittlung, bei den Analysetools sowie im Controlling. Auch viele Serviceapps (u.a. Audi BKK, Bahn BKK, Debeka BKK, HKK) und Online-Formulare waren wochenlang nicht nutzbar und laufen aktuell nach und nach wieder an.

Verfügbarkeit der Daten: Zudem war der Zugriff auf digital gespeicherte Dokumente bei vielen Krankenkassen stark eingeschränkt. Mitte Mai gab es noch Störungen bei der Hälfte der elektronischen Patientenakten (ca. bei 44.000 von 94.000 der bei Bitmarck befindlichen Patientenakten). Auch die elektronische Krankschreibung (eAU) war wochenlang nicht verfügbar.

Erreichbarkeit: Viele Krankenkassen waren zudem gar nicht oder ausschließlich über speziell eingerichtete E-Mail-Adressen erreichbar.

Was passiert nun?

Bitmarck arbeitet derzeit zusammen mit dem LKA (Landeskriminalamt) und Sicherheitsexperten wie dem BSI (Bundes-Amt für Sicherheit in der Informations-Technik) und IT-Forensikern an der Aufarbeitung des Vorfalls. Aufgrund der Sicherheitsmaßnahmen wurden verschiedene Systeme vom Netz genommen, z.B. ein Rechenzentrum in München. Bitmarck gab an, dass die Dienste Schritt für Schritt (und nicht bei allen Krankenkassen gleichzeitig) wieder starten sollen.

Abschließend bleibt aus Datenschutzsicht zu sagen, dass der aktuelle Fall wieder einmal bewiesen hat, wie hoch das Risiko bei der stetig voranschreitenden Digitalisierung des Gesundheitssektors ist. Faktisch hat das Hacking eines einzelnen IT-Unternehmens bundesweit fast zu einem Totalausfall des Krankenkassen-Systems geführt. Man darf jetzt gerne einmal gedanklich weiter spinnen, was passieren könnte, wenn (wie nach aktuellen Plänen der EU angestrebt) Gesundheitsdaten im großen Stil in einer Art Superdatenbank zusammengeführt und zentral gehalten werden würden. Auch hier würde ein einziger Cyberangriff bundes- oder EU-weiten Schaden anrichten. Ob es tatsächlich Experten gibt, die ein solches Risiko auf ein Minimum reduzieren könnten, sei an dieser Stelle einmal offen gelassen.

Quellenangaben:

– Artikel „eHealth: 300.000 Versichertenzugänge von Bitmarck-Leak betroffen“, abgerufen am 15.05.2023 unter https://www.heise.de/news/Nach-Bitmarck-Leak-Versichertendaten-aber-keine-Gesundheitsdaten-betroffen-7481102.html

– Artikel „Nach Cyberangriff: Millionen Versicherte können Krankenkassen-Apps nicht nutzen“, abgerufen am 15.05.2023 unter https://www.heise.de/news/Nach-Bitmarck-Cyberangriff-Arbeitsablaeufe-vieler-Krankenkassen-massiv-gestoert-8990411.html