Krankenhaus-Leck in Tullamore kostet HSE 300.000 Euro Strafe
Der irische Gesundheitsdienst (Health Service Executive, HSE) wurde von der Datenschutzkommission (DPC) mit einer Geldstrafe von 300.000 Euro belegt, nachdem eine Sicherheitslücke im Midland Regional Hospital in Tullamore sensible Patientendaten im Internet offengelegt hatte. Die Ursache war eine einfache Fehlkonfiguration, die 18 Monate lang unbemerkt blieb.
Was ist passiert
Irlands Datenschutzbehörde, die Data Protection Commission (DPC), hat dem nationalen Gesundheitsdienst (Health Service Executive, HSE) eine saftige Rechnung präsentiert. Der HSE wurde wegen einer Datenpanne im Midland Regional Hospital in Tullamore zu einer Geldstrafe von 300.000 Euro verurteilt. Der Vorfall ist das letzte Kapitel einer Geschichte von Fahrlässigkeit, die in der Welt der Cybersicherheit allzu häufig vorkommt, deren Folgen aber immer schwerwiegend sind. Diese Strafe ist das Ergebnis einer langwierigen Untersuchung der DPC zu einem Leck, das zwischen März und April 2021 aufgetreten ist. Ja, Sie haben richtig gelesen, das Ereignis ist nicht neu. Es ist jedoch ein typisches Beispiel dafür, wie lange Regulierungs- und Gerichtsverfahren dauern können. Wenn Organisationen eine Sicherheitsverletzung erleiden, können die Nachwirkungen noch Jahre später in ihren Bilanzen zu spüren sein.
Die Entscheidung der DPC stützt sich auf einen Verstoß gegen Artikel 32(1) der Datenschutz-Grundverordnung (DSGVO). In einfachen Worten verlangt dieser Artikel von den für die Verarbeitung Verantwortlichen (in diesem Fall dem HSE), „geeignete technische und organisatorische Maßnahmen“ zu treffen, um ein dem Risiko der verarbeiteten Daten angemessenes Sicherheitsniveau zu gewährleisten. Die DPC entschied, dass der HSE dieser Verpflichtung nicht nachgekommen ist. Die Ergebnisse der Kommission deuten darauf hin, dass die Verletzung auf eine grundlegende Sicherheitslücke und nicht auf einen komplexen Cyberangriff zurückzuführen ist. Die Tatsache, dass eine öffentliche Gesundheitseinrichtung beim Schutz sensibelster Daten einen so fundamentalen Fehler gemacht hat, erklärt teilweise die Höhe der Geldbuße. Diese Entscheidung unterstreicht einmal mehr die Verantwortung öffentlicher Einrichtungen im Bereich der Cybersicherheit.
Welche Daten wurden kompromittiert
Die Art der bei dem Leck kompromittierten Daten verdeutlicht die Schwere des Vorfalls. Dies war kein einfacher Leak einer E-Mail-Liste. Die Angreifer verschafften sich Zugang zu äußerst persönlichen und privaten Informationen von Patienten. Werfen wir einen Blick auf die Liste:
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →- Vollständige Namen: Die grundlegendste Information zur Identifizierung.
- Adressen: Können für physische Sicherheitsrisiken und Betrug verwendet werden.
- Geburtsdaten: Ein wesentlicher Bestandteil des Identitätsdiebstahls.
- Krankenaktennummern: Eine eindeutige Kennung für einen Patienten innerhalb des Gesundheitssystems.
- Kurze klinische Notizen zu ihren Diagnosen: Das sind die Daten, die das Spiel komplett verändern. Der Gesundheitszustand einer Person, ihre Diagnosen, vielleicht Notizen zu ihrer psychischen Gesundheit... Gelangen diese Informationen in die falschen Hände, kann dies nicht nur zu Finanzbetrug, sondern auch zu Erpressung, Diskriminierung und schweren psychischen Traumata führen.
Die Kombination dieser Daten ist für Cyberkriminelle ein wahrer Schatz. Während mit dem Namen, der Adresse und dem Geburtsdatum einer Person bereits viele Betrügereien begangen werden können, vervielfacht die Hinzufügung von medizinischen Diagnosen das Risiko. Diese Informationen können verwendet werden, um äußerst überzeugende Phishing-Angriffe zu starten. Ein Betrüger könnte beispielsweise, da er die echte Diagnose einer Person kennt, versuchen, ihr gefälschte Behandlungen oder Medikamente zu verkaufen. Oder er könnte diese Informationen nutzen, um die Person zu erpressen, indem er damit droht, sie öffentlich zu demütigen. Die Sensibilität der Daten hilft uns zu verstehen, warum der HSE eine so hohe Geldstrafe erhalten hat.
Wie kam es zum Angriff
Dies ist vielleicht der frustrierendste Teil der Geschichte. Diese Sicherheitsverletzung war nicht das Ergebnis einer monatelangen Operation einer hochentwickelten, staatlich geförderten Hackergruppe. Im Gegenteil, sie wurde durch einen extrem einfachen und vermeidbaren Fehler verursacht. Laut dem Quellenbericht verwendete das Krankenhaus ein „Patienten-Service-Management-System“, das „falsch konfiguriert“ war. Was bedeutet das? Einfach ausgedrückt: Diese sensible Datenbank, die normalerweise nur aus dem internen Netzwerk des Krankenhauses zugänglich sein sollte, war für das gesamte Internet offen. Das bedeutet, jeder, der die richtige Adresse kannte, konnte auf diese Informationen zugreifen, ohne auf Passwörter oder Sicherheitsebenen zu stoßen.
Die Untersuchung der DPC ergab, dass diese erschreckende Sicherheitslücke „mindestens 18 Monate“ lang bestand, bevor die Verletzung entdeckt wurde. Eineinhalb Jahre lang lagen die privatesten Informationen von Patienten praktisch ungeschützt in der digitalen Welt. Diese Situation deutet nicht nur auf einen technischen Fehler, sondern auch auf grobe organisatorische Fahrlässigkeit hin. Regelmäßige Sicherheitsaudits, Penetrationstests oder sogar eine einfache Konfigurationsprüfung hätten diese Schwachstelle viel früher aufdecken können. Es scheint, als sei das System eingerichtet und dann nie wieder überprüft worden. Diese Fahrlässigkeit führte dazu, dass eine unbefugte dritte Partei zwischen März und April 2021 auf das System zugriff und die Daten kompromittierte.
Wer war betroffen
Die Zahl der von diesem grundlegenden Sicherheitsfehler direkt betroffenen Personen wurde mit 56 angegeben. Diese 56 Personen waren Patienten, die im Midland Regional Hospital behandelt oder betreut wurden. Die Zahl mag auf den ersten Blick klein erscheinen, aber in der Cybersicherheit sagen wir immer: Es kommt nicht auf die Anzahl der betroffenen Personen an, sondern auf die Sensibilität der Daten. Für diese 56 Personen ist es ein absoluter Albtraum, dass ihre privatesten Gesundheitsinformationen unkontrolliert im Internet offengelegt wurden. Das Vertrauen, das ein Patient in eine Gesundheitseinrichtung setzt, ist ein fundamentaler Teil der Behandlung. Wenn dieses Vertrauen durch solch einfache Fahrlässigkeit erschüttert wird, hinterlässt dies einen schwer zu reparierenden Schaden, nicht nur in Bezug auf die Datensicherheit, sondern auch in der Beziehung zwischen Patient und Einrichtung.
Was Sie tun können
Die 56 von diesem speziellen Vorfall betroffenen Personen wurden wahrscheinlich direkt vom HSE benachrichtigt. Vorfälle wie dieser sind jedoch eine Warnung für uns alle. Wenn Sie befürchten, dass Ihre Daten von einem Gesundheitsdienstleister oder anderswo kompromittiert wurden, gibt es einige Schritte, die Sie unternehmen können:
- Seien Sie vorsichtig bei Phishing-Angriffen: Seien Sie skeptisch gegenüber E-Mails, SMS-Nachrichten oder Telefonanrufen, die sich auf Ihre persönlichen Informationen (insbesondere Gesundheitsinformationen) beziehen. Betrüger können durchgesickerte Daten verwenden, um sehr glaubwürdige Szenarien zu erstellen.
- Überprüfen Sie Ihre Konten: Vermeiden Sie die Verwendung desselben Passworts auf verschiedenen Plattformen. Stellen Sie sicher, dass die Passwörter für Ihre Finanz- und Gesundheitsplattformen stark und einzigartig sind.
- Prüfen Sie Ihre Kreditauskünfte: Um wachsam gegenüber Identitätsdiebstahl zu bleiben, überprüfen Sie regelmäßig Ihre Kreditauskünfte, um festzustellen, ob verdächtige Konten oder Kredite in Ihrem Namen eröffnet wurden.
- Kennen Sie Ihren allgemeinen Status: Wenn Sie neugierig sind, ob Ihre Daten in anderen bekannten Sicherheitsverletzungen aufgetaucht sind, können Sie eine Datenleck Suche über zuverlässige Plattformen durchführen. Dies hilft Ihnen, Ihr allgemeines digitales Risikoprofil zu verstehen.
Was das Unternehmen sagt
Wie erwartet, focht der HSE die Entscheidung und die Höhe der Geldbuße an. Die Verteidigung der Organisation stützte sich auf einige Schlüsselargumente. Erstens argumentierte der HSE, die Strafe sei „unverhältnismäßig“. Ihre zweite, und bemerkenswertere, Behauptung war, dass es „keine Beweise dafür gebe, dass die kompromittierten Daten exfiltriert oder missbraucht wurden“. Dies ist ein häufiger Verteidigungsmechanismus für Unternehmen, die eine Datenpanne erlitten haben. Die DPC akzeptierte dieses Argument jedoch nicht. Datenschutzgesetze bestrafen nicht nur den Missbrauch von Daten, sondern auch das Versäumnis, angemessene Sicherheitsmaßnahmen zu ergreifen, die Daten einem Risiko aussetzen. Mit anderen Worten, die Tür nicht abzuschließen, ist auch dann Fahrlässigkeit, wenn kein Einbrecher eindringt.
Der HSE gab außerdem an, nach der Entdeckung der Verletzung verschiedene „Abhilfemaßnahmen“ ergriffen zu haben. Die DPC räumte ein, dass der HSE diese Schritte unternommen hatte, entschied aber, dass die Schwere der ursprünglichen Fahrlässigkeit die Geldstrafe von 300.000 Euro rechtfertigte. Dies sendet eine klare Botschaft, dass schnelles Handeln nach einer Verletzung zwar wichtig ist, Sie aber nicht von Ihren ursprünglichen Verantwortlichkeiten entbindet.