Thought Leadership
Gesundheitsdaten gehören mittlerweile zu den wertvollsten Gütern im digitalen Untergrund, wie eine Untersuchung von TrendAI zeigt.
Die Untersuchung des Cybersecurity-Geschäftsbereichs von Trend Micro zeigt, wie sich rund um gestohlene Patienteninformationen ein professionell organisierter Schwarzmarkt entwickelt hat. Die Analyse macht deutlich, dass medizinische Daten längst nicht mehr nur gestohlen, sondern systematisch gehandelt, weiterverkauft und für unterschiedliche kriminelle Zwecke genutzt werden.
Gesundheitsinformationen sind besonders lukrativ
Für die Studie untersuchten die Sicherheitsexperten über einen Zeitraum von zwölf Monaten tausende Einträge in Untergrundforen, Marktplätzen und sogenannten Ransomware-Leak-Seiten. Das Ergebnis: Gesundheitsdaten zählen weiterhin zu den gefragtesten Handelsgütern im Cybercrime-Umfeld.
Der Grund liegt in ihrer besonderen Beschaffenheit. Während gestohlene Kreditkarten gesperrt und ersetzt werden können, bleiben medizinische Informationen dauerhaft wertvoll. Diagnosen, Behandlungsverläufe oder biometrische Daten lassen sich nicht einfach austauschen. Dadurch eignen sie sich über Jahre hinweg für Betrug, Erpressung oder Identitätsdiebstahl.
Ransomware treibt den Handel mit Patientendaten an
Einen wesentlichen Anteil am florierenden Untergrundmarkt haben Ransomware-Gruppen. Laut den Untersuchungen standen mehr als ein Drittel aller erfassten Angebote in direktem Zusammenhang mit Daten aus Ransomware-Angriffen.
Moderne Erpressungsangriffe beschränken sich längst nicht mehr auf die Verschlüsselung von Systemen. Stattdessen kombinieren die Täter Datendiebstahl und Erpressung, um den Druck auf ihre Opfer zu erhöhen. Besonders im Fokus stehen Anbieter elektronischer Gesundheitsakten. Ein erfolgreicher Angriff auf solche Dienstleister kann zahlreiche nachgelagerte Kliniken, Arztpraxen oder Gesundheitseinrichtungen gleichzeitig betreffen.
Arbeitsteilige Cyberkriminalität nimmt zu
Die Studie zeigt außerdem, dass sich Cyberangriffe auf das Gesundheitswesen zunehmend professionalisieren. Rund um gestohlene Gesundheitsdaten ist eine regelrechte Lieferkette entstanden.
Eine wichtige Rolle spielen sogenannte Initial Access Broker. Diese spezialisierten Akteure verschaffen sich zunächst Zugang zu Netzwerken von Krankenhäusern oder Gesundheitsdienstleistern. Anschließend verkaufen sie diese Zugänge an andere Kriminelle weiter, darunter Ransomware-Gruppen oder Betrüger. Durch diese Arbeitsteilung sinken die technischen Hürden für Angriffe erheblich.
Neben Zugangsdaten werden auf kriminellen Plattformen inzwischen komplette Identitätspakete, Versicherungsinformationen sowie gefälschte medizinische Dokumente angeboten.
Gestohlene Daten werden mehrfach verwertet
Die Täter beschränken sich nicht auf den Verkauf kompletter Datensätze. Stattdessen werden die Informationen auf unterschiedlichste Weise monetarisiert. Dazu zählen unter anderem Versicherungsbetrug, die Erstellung gefälschter Atteste oder Rezepte sowie die Übernahme von Patienten- und Mitarbeiterkonten.
Mayra Rosario, Senior Threat Researcher bei TrendAI, erklärt: „Gesundheitsdaten haben sich von gestohlenen Informationen zu Assets entwickelt, die Cyberkriminelle langfristig nutzen können.“ Gerade die langfristige Nutzbarkeit macht medizinische Daten für Angreifer besonders attraktiv.
Software-Lieferketten werden zum Risikofaktor
Neben direkten Angriffen auf Krankenhäuser warnen die Forscher vor einem weiteren Trend: Cyberkriminelle nehmen zunehmend Softwareanbieter und Plattformbetreiber ins Visier. Werden solche zentralen Dienstleister kompromittiert, können Angreifer ihre Reichweite erheblich vergrößern und zahlreiche Einrichtungen gleichzeitig treffen.
Damit entwickelt sich die Absicherung digitaler Lieferketten zu einem entscheidenden Faktor für die Sicherheit im Gesundheitswesen.
Hunderte medizinische Systeme frei im Internet erreichbar
Zusätzlich untersuchte TrendAI öffentlich erreichbare DICOM-Server, die weltweit für den Austausch medizinischer Bilddaten wie MRT-, CT- oder Röntgenaufnahmen genutzt werden. Dabei identifizierten die Forscher 3.627 frei zugängliche Systeme in mehr als 100 Ländern.
Deutschland belegte mit 138 erreichbaren DICOM-Servern den fünften Platz im internationalen Vergleich.
Besonders problematisch: Obwohl der DICOM-Standard seit Jahren Sicherheitsfunktionen wie Verschlüsselung und Authentifizierung unterstützt, werden diese häufig nicht genutzt. Nach Angaben der Forscher waren nahezu alle gefundenen Systeme ohne wirksame Authentifizierungsprüfung erreichbar. Nur ein verschwindend geringer Anteil setzte die vorgesehene TLS-Verschlüsselung ein.
Die Folgen solcher Sicherheitslücken reichen weit über Datenschutzverletzungen hinaus. Angreifer könnten medizinische Bilddaten auslesen oder manipulieren, Schadsoftware einschleusen und sich innerhalb von Krankenhausnetzwerken weiter ausbreiten.
Gesundheitsdaten sind längst zu einer zentralen Währung der Cyberkriminalität geworden. Gleichzeitig wächst der Druck auf Krankenhäuser, Gesundheitsdienstleister und Softwareanbieter, ihre Systeme besser abzusichern, um Patienteninformationen und kritische Infrastrukturen wirksam zu schützen.
(red/TrendAI)
