Gesundheitsdaten gehören zu den wertvollsten Gütern der Cyberkriminalität. Das zeigt eine Analyse des Handels mit Gesundheitsdaten im Cyber-Untergrund. TrendAI warnt Deutschland zählt zu den Ländern mit den meisten öffentlich erreichbaren Medizinsystemen. Experten haben 7.779 Beiträge aus Untergrundforen ausgewertet.
Über einen Zeitraum von zwölf Monaten analysierten TrendAI-Forscher 7.779 Beiträge in Untergrund-Foren, 21.813 Marktplatz-Inserate und 95 Ransomware-Leak-Sites mit Bezug zu Cyberkriminalität im Gesundheitswesen. Die Ergebnisse zeigen: Gesundheitsdaten zählen nach wie vor zu den begehrtesten Gütern, die im kriminellen Untergrund gehandelt werden. Ihre Dauerhaftigkeit, Sensitivität und die Möglichkeit, sie für verschiedene Formen von Betrug und Erpressung gleichzeitig zu nutzen, machen sie für Kriminelle besonders attraktiv.
Ransomware als Motor des Untergrundhandels
🔎 Der Aufbau einer kriminellen Angriffskette gegen das Gesundheitswesen (Bild: TrendAI).
Datenverkäufe aus Ransomware-Vorfällen machten dabei mehr als ein Drittel (36,3 Prozent) der gesamten Marktplatzaktivität aus. Ransomware-Akteure kombinieren dabei zunehmend Verschlüsselung mit Datendiebstahl und Erpressung. Darüber hinaus identifizierten die Forscher eine wachsende Zielausrichtung auf Anbieter von elektronischen Gesundheitsakten. Ein einziger erfolgreicher Angriff kann dann hunderte nachgelagerte Healthcare-Einrichtungen kompromittieren.
Der Report zeigt zudem, dass sich Cyberkriminelle längst nicht mehr auf den Verkauf kompletter Datensätze beschränken. Auf Untergrund-Marktplätzen werden Gesundheitsdaten zunehmend als Grundlage für Identitätsdiebstahl, Versicherungsbetrug, gefälschte Atteste und Rezepte sowie die Übernahme von Patienten- und Mitarbeiterkonten gehandelt. Dadurch lassen sich gestohlene Datensätze über Jahre hinweg mehrfach monetarisieren.
„Gesundheitsdaten haben sich von gestohlenen Informationen zu Assets entwickelt, die Cyberkriminelle langfristig nutzen können“, erklärt Mayra Rosario, Senior Threat Researcher bei TrendAI. „Anders als eine Kreditkarte lassen sich Diagnosen, Behandlungshistorien oder biometrische Daten eines Patienten nicht einfach sperren und neu ausstellen – das macht sie für Ransomware-Gruppen und Datenhändler besonders attraktiv.“
Vom Einzeltäter zur kriminellen Lieferkette
Die Studie beleuchtet auch die fortschreitende Industrialisierung der Cyberkriminalität im Gesundheitssektor: Underground-Marktplätze bieten mittlerweile ein breites Spektrum an – von Zugangsdaten zu Krankenhausnetzwerken und Versicherungsdaten bis hin zu vollständigen Identitätspaketen und gefälschten medizinischen Dokumenten.
Besonders stark wächst dabei die Rolle sogenannter Initial Access Broker. Diese spezialisierten Akteure verschaffen sich Zugang zu Netzwerken von Krankenhäusern, Kliniken oder Gesundheitsdienstleistern und verkaufen diesen anschließend an Ransomware-Gruppen oder andere Cyberkriminelle weiter. Die Arbeitsteilung senkt die Einstiegshürden für Angreifer und beschleunigt die Kommerzialisierung von Angriffen auf Gesundheitseinrichtungen.
Softwareanbieter als Einfallstor: Risiko mit Multiplikatoreffekt
🔎 An das Internet angebundenen medizinische Bildgebungssysteme: Globale Verteilung exponierter DICOM-Server (Bild: TrendAI).
„Was wir beobachten, sind keine isolierten Einzelfälle, sondern eine ausgereifte Untergrund-Wirtschaft, die gezielt rund um Cyberangriffe auf das Gesundheitswesen aufgebaut wurde“, sagt Dirk Arendt, Director Government, Public and Healthcare DACH bei TrendAI. „Aktuelle Vorfälle auch in Deutschland zeigen eindrücklich, wie sehr Patientendaten im Fokus von Cyberkriminellen stehen und unbedingt besser geschützt werden müssen.“
Die Studie warnt zudem davor, dass Lieferketten-Kompromittierungen über Software-Anbieter und medizinische Plattformen zu einem zentralen Risikoverstärker für den gesamten Sektor werden. Sie ermöglichen es Angreifern, ihre Operationen weit über einzelne Krankenhäuser oder Kliniken hinaus zu skalieren.
Ungeschützte Medizinsysteme: Deutschland auf Rang 5 weltweit
Parallel dazu identifizierten TrendAI-Forscher erhebliche Risiken bei an das Internet angebundenen medizinischen Bildgebungssystemen. Eine separate Untersuchung fand weltweit 3.627 öffentlich erreichbare DICOM-Server in mehr als 100 Ländern. Deutschland belegte mit 138 exponierten Severn Rang 5 im weltweiten Vergleich. DICOM (Digital Imaging and Communications in Medicine) ist der zentrale Standard für den Austausch medizinischer Bilddaten wie MRT-, CT- oder Röntgenaufnahmen.
Als besonders kritisch stellte sich heraus, dass DICOM zwar seit Jahrzehnten Sicherheitsmechanismen wie Verschlüsselung, Authentifizierung und Zugriffskontrollen unterstützt, diese in der Praxis jedoch kaum genutzt werden. Nur 0,14 Prozent der identifizierten Systeme verwendeten die vorgesehene TLS-Verschlüsselung, während 99,56 Prozent Verbindungen ohne wirksame Authentifizierungsprüfung akzeptierten. Der Report warnt davor, dass Angreifer dadurch Patientendaten ausspähen, medizinische Bilddaten manipulieren, Ransomware einschleusen oder sich seitlich in Krankenhausnetzwerke bewegen könnten.
Mehr bei Trendaisecurity.com
Über TrendAI TrendAI, ein Geschäftsbereich von Trend Micro und einer der weltweit führenden Anbieter von KI-Sicherheit, unterstützt Unternehmen dabei, Innovationen mutig voranzutreiben, indem er KI, Cloud-Umgebungen, Netzwerke, Endpunkte und Daten über die moderne Angriffsfläche hinweg absichert. Im Zentrum steht TrendAI Vision One™, eine einheitliche Cybersicherheitsplattform, die das Management von Cyberrisiken und Sicherheitsoperationen zentralisiert, um den gesamten KI-Lebenszyklus von der Infrastruktur über Modelle bis hin zu den Nutzern zu schützen. In diese Plattform fließen weltweit einzigartige Threat Intelligence und Forschungsergebnisse ein, die dabei helfen, Unternehmen vor Hunderten Millionen von Bedrohungen täglich zu schützen. Mit 6.000 TrendAI™ Experten in 75 Ländern versetzt TrendAI™ Sicherheitsverantwortliche in die Lage, Bedrohungen voraus zu sein und proaktive Sicherheit über die gesamte Angriffsoberfläche voranzutreiben. Dazu zählen kritische Umgebungen wie AWS, Google, Microsoft und NVIDIA. AI Fearlessly.
Passende Artikel zum Thema
Monetarisierung im Darknet: Kriminelle Lieferketten machen Gesundheitsdaten zur lebenslangen Beute – Deutschland weltweit auf Rang 5 bei offenen DICOM-Servern
Fachliche Einordnung Die Fachplattform B2BCS ordnet die Ergebnisse der aktuellen Bedrohungsanalyse von Trend Micro (im Pressetext als TrendAI adressiert) als ernüchternden Beleg für die fortschreitende Industrialisierung der Cyberkriminalität im Healthcare-Sektor ein. Gesundheitsdaten haben sich im kriminellen Untergrund von simpler Beute zu hochgradig fungiblen, langfristig nutzbaren Wirtschaftsgütern entwickelt. Die fundamentale Gefahr liegt in der Natur dieser Daten: Medizinische Historien, Diagnosen und biometrische Merkmale sind permanent und lassen sich im Gegensatz zu kompromittierten Kreditkarten oder Passwörtern nicht sperren oder neu ausstellen. Dies führt zu einer mehrfachen, über Jahre gestreckten Monetarisierung durch ein arbeitsteilig organisiertes Ökosystem.
Key-Takeaways
- Daten-Monetarisierung der zweiten Generation: Kriminelle beschränken sich längst nicht mehr auf den simplen Verkauf gestohlener Datensätze. Die erbeuteten Patientendaten dienen im Darknet als Rohstoff für Identitätsdiebstahl, komplexen Versicherungsbetrug, die Übernahme von Mitarbeiterkonten sowie das Fälschen von Attesten und Rezepten.
- Ransomware treibt den Markt: Mehr als ein Drittel (36,3 Prozent) der gesamten Marktplatzaktivitäten im Cyber-Untergrund entfällt auf Datenverkäufe, die aus Ransomware-Erpressungen stammen.
- Hebelwirkung über die Lieferkette: Angreifer fokussieren sich zunehmend auf Anbieter elektronischer Gesundheitsakten (eGA) sowie medizinische Softwareplattformen. Eine einzige Kompromittierung an dieser zentralen Stelle wirkt als Multiplikator, mit dem sich hunderte nachgelagerte Kliniken und Arztpraxen gleichzeitig infiltrieren lassen.
- Etablierung von Initial Access Brokern: Der Sektor ist durch eine strikte Arbeitsteilung geprägt. Spezialisierte Initial Access Broker brechen in Krankenhausnetzwerke ein und verkaufen diesen Erstzugang schlüsselfertig an Ransomware-Banden weiter, was die Angriffsgeschwindigkeit massiv erhöht.
- Kritisches Infrastruktur-Risiko bei DICOM-Servern: Weltweit wurden 3.627 öffentlich über das Internet erreichbare Server für medizinische Bildgebung (DICOM-Standard für MRT, CT und Röntgen) identifiziert. Deutschland belegt mit 138 ungeschützten Systemen den kritischen Platz 5 im globalen Ranking.
- Dramatisches Verschlüsselungsdefizit: Obwohl der DICOM-Standard Sicherheitsmechanismen vorsieht, nutzten erschreckende 99,56 Prozent der Systeme keine wirksame Authentifizierungsprüfung und lediglich 0,14 Prozent die vorgesehene TLS-Verschlüsselung.
Strategische Analyse Für CISOs, Klinikgeschäftsführer und IT-Leiter im DACH-Gesundheitswesen deckt der Report von Trend Micro eklatante, strukturelle Defizite in der medizinischen Infrastruktur auf. Wie Mayra Rosario und Dirk Arendt betonen, agieren deutsche Krankenhäuser und Healthcare-Dienstleister nach wie vor in einer gefährlichen digitalen Sorglosigkeit, wenn es um vernetzte Medizintechnik geht. Die Tatsache, dass fast alle im Internet exponierten DICOM-Server Patientendaten unverschlüsselt und ohne Authentifizierung bereitstellen, ist eine Einladung für Spionage, Ransomware-Injektionen und die gezielte Manipulation medizinischer Bilddaten. Das Risiko erstreckt sich hierbei weit über den Diebstahl von Patientengeheimnissen hinaus: Es bedroht im Ernstfall direkt die Patientensicherheit und die operative Handlungsfähigkeit von Krankenhäusern der kritischen Infrastruktur (KRITIS).
Handlungsempfehlung: Verantwortliche im Gesundheitswesen müssen ihre Verteidigungsarchitektur grundlegend härten und das Vendor-Risk-Management professionalisieren.
- Sofortiges Audit und Härtung von DICOM- und Bildgebungssystemen: IT-Abteilungen im Healthcare-Bereich müssen umgehend prüfen, ob medizinische Großgeräte (MRT, CT, Röntgen) oder PACS-Server (Picture Archiving and Communication Systems) direkt oder indirekt über das Internet erreichbar sind. Diese Systeme müssen restriktiv hinter Firewalls isoliert, nur via sicherem VPN zugänglich gemacht und zwingend auf TLS-Verschlüsselung sowie starke Multi-Faktor-Authentifizierung (MFA) umgestellt werden.
- Konsequentes Third-Party-Risk-Management einführen: Da Softwareanbieter und die Entwickler elektronischer Patientenakten als primäre Einfallstore genutzt werden, müssen Kliniken strikte Sicherheits-Audits für alle Zulieferer in der Lieferkette etablieren. Verträge mit IT-Dienstleistern müssen granulare Zugriffskontrollen, lückenloses Logging und die sofortige Meldung von Sicherheitsvorfällen vorschreiben.
- Segmentierung und Zero-Trust im Kliniknetzwerk: Um lateralen Bewegungen von Angreifern – die beispielsweise über kompromittierte Zugänge von Initial Access Brokern ins Netz gelangen – vorzubeugen, müssen Krankenhausnetzwerke strikt segmentiert werden. Administrative Netze, medizinische Geräte (IoMT) und Patientendaten-Systeme dürfen niemals im selben logischen Netzwerk operieren.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200