Cyberangriff auf die Charité: Kontaktdaten erbeutet, Versorgung nicht betroffen
Dieser Artikel wurde bereits 111x gelesen...
Unbekannte haben sich Zugriff auf einen Webserver der Berliner Charité verschafft und personenbezogene Kontaktdaten erbeutet. Betroffen sind nach Angaben des Universitätsklinikums Beschäftigte und Studierende sowie externe Personen, die über ein Webformular Kontakt aufgenommen hatten. Die Krankenversorgung sei durch den Vorfall nicht beeinträchtigt worden. Für Kommunen und öffentliche Einrichtungen zeigt der Fall, dass auch ein Webserver außerhalb der klinischen oder fachlichen Kernsysteme sensible Informationen enthalten kann.
Welche Daten betroffen sind – und was bislang bekannt ist
Die Charité teilte mit, bei der Aufklärung des Vorfalls seien abgegriffene personenbezogene Kontaktdaten festgestellt worden. Neben Daten von Mitarbeitenden und Studierenden geht es um Angaben externer Kontakte, die beispielsweise über das Webkontaktformular eine Anfrage gestellt oder einen Termin vereinbaren wollten. Betroffene sollen individuell informiert werden. Öffentlich genannte Angaben machen bislang keine präziseren Aussagen über die Zahl der Betroffenen oder einzelne Datenfelder; solche Details sollten daher nicht spekulativ ergänzt werden.
Der betroffene Webserver beherbergt auch die öffentliche Website. Laut Charité wurde der Zugangsweg zügig identifiziert und geschlossen, die Ursache analysiert und Schutzmaßnahmen wurden verstärkt. Das Klinikum steht nach eigener Auskunft mit zuständigen Aufsichts- und Ermittlungsbehörden in Kontakt. Die Krankenversorgung sei weder während des Vorfalls beeinträchtigt gewesen noch aktuell eingeschränkt.
Webauftritt und Fachverfahren getrennt betrachten
Der Fall unterstreicht, weshalb öffentliche Webangebote in Schutzkonzepten nicht als nebensächliche Infrastruktur behandelt werden sollten. Ein Webserver kann Formulare, Kontaktinformationen, Protokolle, Benutzerkonten oder technische Zugangsdaten verarbeiten. Selbst wenn ein Angriff nicht unmittelbar Fachverfahren oder operative Kernsysteme trifft, können dort gespeicherte Informationen für Betroffene Folgen haben und eine Melde- sowie Informationspflicht auslösen.
Kommunale IT-Verantwortliche sollten deshalb regelmäßig erfassen, welche Daten auf Webservern und in angebundenen Formular- oder CMS-Systemen gespeichert werden, wer darauf zugreifen kann und wie lange sie aufbewahrt werden. Eine möglichst sparsame Datenerhebung, kurze Aufbewahrungsfristen und eine klare Trennung zwischen öffentlich erreichbaren Systemen und internen Verwaltungsnetzen begrenzen mögliche Auswirkungen. Ebenso wichtig sind zeitnahe Aktualisierungen, zentrale Protokollierung und ein belastbarer Prozess, um verdächtige Zugriffe zu erkennen und Beweise zu sichern.
Vorfallreaktion und Kommunikation vorbereiten
Nach einem Sicherheitsvorfall müssen technische Eindämmung, forensische Aufklärung, Datenschutzbewertung und Kommunikation ineinandergreifen. Dazu gehören klare Zuständigkeiten zwischen IT, Datenschutzbeauftragten, Informationssicherheit, Fachbereichen und Leitung sowie vorbereitete Wege, um Betroffene und zuständige Stellen zu informieren. Einrichtungen sollten außerdem sicherstellen, dass sie den betroffenen Dienst isolieren oder abschalten können, ohne unnötig weitere Dienste oder die Versorgung zu beeinträchtigen.
Die Charité hatte ihre Website bereits am 21. Oktober vorsorglich wegen einer damals bekannt gewordenen PHP-Sicherheitslücke vorübergehend offline genommen. Nach den veröffentlichten Angaben steht der nun bekannt gewordene Cyberangriff nicht mit dieser weltweiten Schwachstelle in Zusammenhang. Die zeitliche Nähe ist deshalb kein Beleg für eine gemeinsame Ursache. Für Betreiber ist sie dennoch ein Anlass, Notfallmaßnahmen für Webangebote, einschließlich eines kontrollierten Wiederanlaufs, regelmäßig zu üben.
Was Kommunen daraus mitnehmen können
Der Vorfall zeigt vor allem die Bedeutung eines vollständigen Überblicks über öffentlich erreichbare Systeme und die dort verarbeiteten Daten. Kommunen sollten Webserver, Formulare und externe Dienstleister in ihre Sicherheits- und Datenschutzprozesse einbeziehen, Zugriffsrechte minimieren und Protokolle so vorhalten, dass ein Vorfall nachvollzogen werden kann. Ebenso sollten Kommunikationsvorlagen und Abläufe für die individuelle Benachrichtigung Betroffener vorbereitet sein.
Nach aktuellem öffentlichen Kenntnisstand waren bei der Charité Kontaktdaten betroffen, während die Krankenversorgung unbeeinträchtigt blieb. Die konkrete Zahl der Betroffenen und weitere technische Einzelheiten sind nicht veröffentlicht. Gerade diese Trennung zwischen bestätigten Fakten und offenen Fragen ist für eine sachliche Lagekommunikation entscheidend.
Quellen
0 Kommentare