Statement zum Vastaamo-Datenleak

Die Gefahr von Cyberangriffen erreicht ein neues Niveau. Professionelle Cyberkriminelle gehen nicht mehr nur Unternehmen an, sondern zunehmend auch Einzelpersonen. Wie schwerwiegend hier die Folgen sein können, zeigte zuletzt der Hackerangriff auf die finnische Psychotherapie-Firma Vastaamo, in dessen Folge Patienten um Lösegeld erpresst wurden.

Rayna Stamboliyska, VP Governance and Public Affairs bei YesWeHack, kommentiert diese neue Art von Bedrohung. Sie fordert kollektives Handeln, eine sorgfältige Aufklärung durch die Behörden und mehr Initiative und Transparenz von Unternehmen im Hinblick auf ihr Vulnerability Management.

„Professionelle Cyberkriminelle greifen verstärkt Unternehmen und kritische Infrastrukturen, wie den Gesundheitssektor, an. Darüber hinaus haben ihre Aktivitäten einen neuen Tiefpunkt erreicht: Cyberkriminelle haben begonnen, mit Erpressungsstrategien direkt gegen Einzelpersonen vorzugehen, die von Datenleaks betroffen sind. Der Hackerangriff auf die finnische Psychotherapie-Firma Vastaamo ist ein besonders aufschlussreiches und grausames Beispiel für diese neue Gefahr. Vastaamo erlitt eine Datenverletzung, bei der rund 40.000 Patientenakten gestohlen wurden. Die daraus resultierende Krise zeigt die schwerwiegenden Folgen einer unzureichenden Cybersicherheit.

Zunächst verlangte ein anonymer Hacker von der Firma ein Lösegeld (etwa 450.000 Euro in Bitcoin). Diese Forderung wurde dann sehr schnell auf einzelne, vom Datenleak betroffene Patienten ausgedehnt. Der Hacker kündigte in einem finnischen Internetforum an, dass er damit begonnen habe, Patientenakten im anonymen Tor-Netzwerk zu veröffentlichen. Diese Ankündigung war alarmierend, da die kompromittierten Daten psychotherapeutische Beratungsprotokolle von Tausenden von Menschen enthalten – darunter auch Kinder, deren Namen und Adressen mit den Aufzeichnungen in Verbindung stehen. Zeitgleich erpresste der Cyberkriminelle einzelne Patienten per E-Mail und bot ihnen an, sich für 200 Euro, zahlbar in Bitcoin, freizukaufen.

Diese Lösegeldforderung an Einzelpersonen macht diesen Fall so beunruhigend. Sie gibt der Datenverletzung eine neue Komponente: Es werden nicht nur die intimsten Gedanken der Betroffenen offenbart, sondern dieselben Personen stehen zusätzlich unter dem Druck, ein Lösegeld zu zahlen. Im Fall Vastaamo nutzen die Cyberkriminellen extrem sensible Daten gegen potenziell labile Personen, isolieren sie und schränken so kollektive Aktionen ein. Umso lobenswerter sind die Bemühungen der Cybersecurity Community: Eine dreisprachige Website hilft potenziellen Opfern, mit den Folgen des Datenleaks umzugehen und Identitätsdiebstahl sowie Rufschädigung zu verhindern.

Kollektives Handeln ist in einem solchen Fall ausschlaggebend – zum einen, um den Opfern zu helfen, zum anderen, um die schuldige Organisation für ihr Versagen zur Verantwortung zu ziehen. Es bedarf einer sorgfältigen und spürbaren Aufklärung durch die Behörden.

Um Einzelpersonen künftig besser zu schützen, müssen auch Unternehmen mehr Initiative zeigen. Der Fall Vastaamo zeigt auf beunruhigende Weise, warum es von entscheidender Bedeutung ist, Cybersicherheitslücken bestmöglich und verantwortungsbewusst aufzudecken und zu beheben. Unternehmen müssen auch ihre Mitarbeiter stärker in ihre Cybersecurity-Strategie einbinden und Trainings für Cybersecurity Awareness anbieten.“ 

www.yeswehack.com