HCRG meldet Ransomware-Angriff nach einem Jahr
Das britische Gesundheitsunternehmen HCRG hat im Juni 2026 damit begonnen, Patienten über einen Ransomware-Angriff und eine Datenpanne zu informieren, die es bereits vor über einem Jahr, im Mai 2025, entdeckt hatte. Zu den durchgesickerten Daten gehören äußerst sensible medizinische Informationen.
Was ist passiert
Nach einem ganzen Jahr des Schweigens hat die Healthcare Resourcing Group (HCRG), eines der führenden britischen Personaldienstleistungsunternehmen im Gesundheitswesen, bekannt gegeben, dass sie Opfer eines Ransomware-Angriffs wurde und dabei Patientendaten kompromittiert wurden. Obwohl das Unternehmen den Angriff bereits im Mai 2025 entdeckte, begann es erst im Juni 2026, Benachrichtigungsschreiben an die betroffenen Personen zu versenden. Dies hat die Debatten in der Cybersicherheitswelt über „verspätete Meldungen“ neu entfacht. Mehr als ein Jahr ist eine Ewigkeit, in der gestohlene Daten missbraucht werden können.
Die direkt von dem Angriff betroffene Einrichtung ist CRG Medical Services, eine Tochtergesellschaft von HCRG, die forensisch-medizinische Dienstleistungen für Polizeibehörden erbringt. Dieses Detail erhöht die Schwere des Vorfalls. Die Opfer sind keine gewöhnlichen Patienten eines normalen Krankenhauses; es handelt sich um Personen, die während des Polizeigewahrsams medizinisch versorgt wurden, also bereits einen sehr sensiblen und schwierigen Prozess durchliefen. Die Begründung des Unternehmens für eine so lange Verzögerung – ein „komplexer und zeitaufwändiger Untersuchungsprozess“ – dürfte von Datenschutzbehörden und den Opfern selbst in Frage gestellt werden.
Dieser Vorfall wirft ein Schlaglicht auf die Schwachstellen in der Datensicherheit, insbesondere im Gesundheitssektor, und auf die Mängel im Krisenmanagement nach einem Angriff. Während ein Ransomware-Angriff schon schlimm genug ist, lässt es das Vertrauen schwinden und erhöht den potenziellen Schaden, wenn die Opfer über ein Jahr lang im Unklaren darüber gelassen werden, wer ihre Daten hat und wie sie verwendet werden. Solche Verzögerungen sind oft auf die Angst der Unternehmen vor rechtlichen Konsequenzen oder Reputationsschäden zurückzuführen, aber die Folgen für die Opfer können weitaus schwerwiegender sein. In diesem Fall vervielfacht die Art der durchgesickerten Daten das durch die Verzögerung entstandene Risiko dramatisch.
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →Welche Daten sind durchgesickert
Ein Blick darauf, was die Angreifer aus den Systemen von HCRG gestohlen haben, zeigt, wie düster die Situation ist. Laut dem vom Unternehmen versandten Benachrichtigungsschreiben sind die kompromittierten Daten umfangreich und treffen den Kern der Privatsphäre. Die Liste umfasst:
- Identifikationsdaten: Grundlegende persönliche Daten wie vollständiger Name, Adresse und Geburtsdatum.
- Nationale Identifikationsnummern: Die in Großbritannien verwendete National Insurance-Nummer und die Nummer des National Health Service (NHS). Diese Nummern sind der Schlüssel zur gesamten Beziehung einer Person zum Staat und ein Hauptgewinn für Identitätsdiebe.
- Sensible medizinische Informationen: Am beunruhigendsten sind vielleicht die Daten, die unter der Überschrift „Informationen zur erhaltenen Pflege und Behandlung“ gesammelt wurden. In Anbetracht der Tatsache, dass CRG Medical Services Personen in Polizeigewahrsam betreut, könnten diese Informationen äußerst sensibel sein. Diese Daten könnten Untersuchungsberichte eines Gewaltopfers, Ergebnisse von Blutalkohol- oder Drogentests eines Verdächtigen, psychiatrische Gutachten oder Details zu Verletzungen, die im Gewahrsam erlitten wurden, umfassen.
Die Kombination dieser Daten schafft ein perfektes Arsenal für Cyberkriminelle. Sie kann nicht nur für Finanzbetrug oder Identitätsdiebstahl, sondern auch für Erpressung verwendet werden. Die Drohung, dass die medizinischen Unterlagen einer Person, die mit einem Gerichtsverfahren in Verbindung stehen, im Dark Web verkauft oder veröffentlicht werden, kann verheerende psychologische Auswirkungen auf die Opfer haben. Kriminelle können diese Informationen nutzen, um äußerst überzeugende Phishing-Angriffe zu starten, die auf die Opfer abzielen, um sie zur Preisgabe weiterer Informationen oder zur Zahlung von Geld zu bewegen. Daher ist es wichtig, sich daran zu erinnern, dass die gestohlenen Daten nicht nur eine Liste sind, sondern eine potenzielle Waffe, die das Leben von Menschen auf den Kopf stellen kann.
Wie geschah der Angriff
HCRG hat sich zu den technischen Details des Angriffs sehr bedeckt gehalten. In öffentlichen Erklärungen und Briefen an die Patienten heißt es, der Vorfall sei ein „Ransomware-Vorfall“ gewesen und es habe „unbefugten Zugriff“ auf ihre Systeme gegeben. Es wurden jedoch keine Informationen darüber geteilt, wie oder wo dieser Zugriff stattfand.
Sind die Angreifer über eine Phishing-E-Mail ins Netzwerk eingedrungen? Haben sie einen verwundbaren Server ausgenutzt? Oder ging der Angriff von einem externen IT-Dienstleister aus, mit dem HCRG zusammenarbeitet? Die Antworten auf diese Fragen bleiben vorerst unklar. Unternehmen halten solche technischen Details oft geheim, um laufende Ermittlungen oder potenzielle Gerichtsverfahren nicht zu beeinträchtigen und den Angreifern keine neuen Hinweise zu geben. Dies bedeutet jedoch eine verpasste Lernchance für andere Organisationen, die sich vor ähnlichen Angriffen schützen wollen. Das mangelnde Wissen über die Ursache des Angriffs erschwert auch die effektive Planung zukünftiger Sicherheitsstrategien. Die technischen Einzelheiten des Angriffs wurden der Öffentlichkeit noch nicht mitgeteilt.
Wer ist betroffen
Die Opfer dieser Datenpanne gehören zu den schutzbedürftigsten Mitgliedern der Gesellschaft. Betroffen sind Personen, die von CRG Medical Services im Auftrag verschiedener Polizeibehörden in Großbritannien betreut wurden. Dies bedeutet eine sehr breite und vielfältige Gruppe:
- Inhaftierte: Personen, die wegen des Verdachts einer Straftat festgenommen wurden und während dieser Zeit medizinische Hilfe benötigten.
- Opfer von Straftaten: Personen, die Opfer von Straftaten wie körperlicher oder sexueller Gewalt wurden und eine forensisch-medizinische Untersuchung durchliefen.
- Personen, die eine psychiatrische Begutachtung benötigen: Menschen, deren psychischer Zustand während ihres Aufenthalts in Gewahrsam beurteilt wurde.
Der gemeinsame Nenner dieser Menschen ist, dass sie medizinische Leistungen erhielten, während sie unter dem Schutz des Staates und in einer bereits stressigen Situation standen. Das Durchsickern ihrer persönlichen und medizinischen Daten kann ihr bestehendes Trauma vertiefen. Für ein Opfer einer Straftat ist allein die Vorstellung, dass seine medizinischen Details oder Untersuchungsberichte in die Hände Unbekannter gelangen könnten, äußerst beunruhigend. Dies ist nicht nur eine Verletzung der Datensicherheit, sondern eine menschliche Krise. Eine so schwerwiegende Verletzung der Privatsphäre und Sicherheit der Opfer kann auch ihr Vertrauen in das Justizsystem und die Gesundheitsdienste erschüttern.
Was Sie tun können
Wenn Sie ein Benachrichtigungsschreiben von HCRG oder CRG Medical Services erhalten haben oder glauben, von dieser Situation betroffen zu sein, gibt es einige Schritte, die Sie ohne Panik unternehmen können:
- Aktivieren Sie den kostenlosen Kreditüberwachungsdienst: Das Unternehmen bietet den Opfern eine 12-monatige kostenlose Kreditüberwachung an. Sie sollten dieses Angebot unbedingt annehmen. Es hilft Ihnen, betrügerische finanzielle Aktivitäten in Ihrem Namen, wie die Beantragung einer neuen Kreditkarte oder eines Darlehens, frühzeitig zu erkennen.
- Seien Sie wachsam gegenüber Phishing-Angriffen: Cyberkriminelle können diese durchgesickerten sensiblen Informationen nutzen, um sehr gezielte E-Mails, Textnachrichten oder Telefonanrufe zu tätigen. Sie könnten beispielsweise eine sehr überzeugende Nachricht erhalten wie: „Es gibt ein wichtiges Gesundheitsupdate zu Ihrer polizeilichen Untersuchung, klicken Sie hier zur Bestätigung.“ Denken Sie daran, dass keine offizielle Institution Sie per E-Mail nach Ihrem Passwort oder sensiblen Informationen fragen wird. Klicken Sie nicht auf verdächtige Links und öffnen Sie keine unbekannten Anhänge.
- Überprüfen Sie Ihre Kontosicherheit: Ändern Sie die Passwörter für Ihre wichtigen Online-Konten wie Banking, E-Mail und soziale Medien. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), wo immer dies möglich ist. Dies ist eine zusätzliche Sicherheitsebene, die unbefugten Zugriff auf Ihr Konto verhindert, selbst wenn Ihr Passwort gestohlen wird.
- Überprüfen Sie Ihre Datenpannen-Historie: Dieser Vorfall zeigt, wie weit verbreitet unsere persönlichen Daten sind und wie verletzlich sie sein können. Die Nutzung einer Datenleck Suche-Plattform, um zu sehen, welche Ihrer Informationen bei verschiedenen Pannen kompromittiert worden sein könnten, hilft Ihnen, Ihr gesamtes digitales Risiko zu verstehen. Es ist auch von Vorteil, zuverlässige Datenleck Nachrichten zu verfolgen, um über solche Vorfälle auf dem Laufenden zu bleiben.
Was das Unternehmen sagt
HCRG verfolgt als Reaktion auf den Vorfall eine standardmäßige unternehmerische Verteidigungslinie. Laut den Aussagen des Unternehmens haben sie „sofortige Maßnahmen“ ergriffen, als sie den Angriff im Mai 2025 entdeckten. Sie geben an, externe Cybersicherheitsexperten engagiert zu haben, um ihre Systeme zu sichern und den Vorfall zu untersuchen. Darüber hinaus haben sie, wie gesetzlich vorgeschrieben, die britische Datenschutzbehörde, das Information Commissioner’s Office (ICO), und das National Cyber Security Centre (NCSC) benachrichtigt.
Wenn also alles so schnell erledigt wurde, warum dauerte es dann über ein Jahr, die Patienten zu informieren? Die Antwort des Unternehmens auf diese kritische Frage lautet, dass die Untersuchung „komplex und zeitaufwändig“ war. HCRG behauptet, es sei ein langer Prozess gewesen, genau festzustellen, auf welche Daten zugegriffen wurde und zu wem diese Daten gehörten. Es ist wahr, dass eine solche Analyse in großen, komplexen Systemen zeitaufwändig sein kann. Datenschutzgesetze wie die DSGVO verlangen jedoch, dass Einzelpersonen in Situationen mit einem „hohen Risiko“ für ihre Rechte und Freiheiten „unverzüglich“ informiert werden. Ob ein Jahr eine „unangemessene Verzögerung“ darstellt, wird wahrscheinlich das ICO entscheiden. Eine so lange Wartezeit könnte zu erheblichen Geldstrafen durch das ICO führen. Obwohl das Unternehmen als Geste des guten Willens einen 12-monatigen Kreditüberwachungsdienst anbietet, bleibt abzuwarten, ob dies ausreicht, um den Vertrauensverlust zu reparieren und den potenziellen Schaden auszugleichen.