EPD-Infoplattform von eHealth Suisse gehackt

30. September 2022 um 14:52
image

Unbekannte haben von der Website Patientendossier.ch Nutzerdaten abgegriffen. Das BAG erstattet Anzeige, gibt aber Entwarnung.

Am 19. September stellten die Betreiber von Patientendossier.ch unbefugten Zugriff auf ihre Datenbank fest. Cyberkriminelle hatten sich dort eingeschlichen und Informationen entwendet. Die Website dient der Koordinationsstelle eHealth Suisse dazu, Bevölkerung und Gesundheitspersonal über das elektronische Patientendossier (EPD) zu informieren.
Es habe sich vermutlich um einen Bruteforce-MySQL-Angriff gehandelt, um an das Passwort eines Administrators heranzukommen und sich dadurch Zugang zur Datenbank zu verschaffen, heisst es beim Bundesamt für Gesundheit (BAG) auf Anfrage von inside-it.ch. Entwendet wurden Kontaktdaten von Nutzenden, die ein Kontaktformular für Fragen oder die Bestellung von Informationsmaterial benutzt hatten. In diesen finden sich die für solche Vorgänge notwendigen Angaben: Namen und E-Mail-Adressen sowie teilweise Anschriften. Der Kontakttext sei ebenfalls einsehbar gewesen, so das BAG weiter.
Von EPD-Nutzern hinterlegte Gesundheitsdaten oder sensible Kundeninformationen seien zu keinem Zeitpunkt vom Angriff betroffen gewesen, versichert das Bundesamt in einer Mitteilung. Auf der Informationswebsite werden solche Angaben weder gespeichert noch verarbeitet.
Das BAG schreibt auch, dass die Sicherheitslücke schnell gefunden und geschlossen worden sei. 3 bis 5 Tage sollen die Cyberangreifer im System gewesen sein, präzisiert das Bundesamt gegenüber inside-it.ch. Der Betrieb der Website sie nun wieder sicher. Mit den produktiven EPD-Plattformen gebe es keinerlei technologischen oder inhaltlichen Zusammenhang.
Betrieben wird die Plattform von der Digitalagentur Netnode aus Luzern. Neben eHealth Suisse zählen auch das Kantonsspital Aarau und Swiss Medtech zu den aktuellen Kunden des 11-köpfigen Drupal-Spezialisten. Die Firma war bis Redaktionsschluss für eine Stellungnahme nicht zu erreichen.
Der Vorfall wurde dem Nationalen Zentrum für Cybersicherheit NCSC gemeldet. Das BAG hat zudem gemeinsam mit der Gesundheitsdirektoren-Konferenz GDK Anzeige erstattet. Die beiden Organisationen verantworten zusammen mit eHealth Suisse die Website. Sie hätten den Datenschutz- und Öffentlichkeitsbeauftragte (Edöb) über einen möglichen Diebstahl von Nutzer-Kontaktdaten sowie betroffene Nutzende über den Vorfall informiert, teilen sie mit.

Loading

Mehr zum Thema

image

Die Schlinge um Lockbit zieht sich zu

Eine internationale Polizeiaktion hat die Ransomware-Bande empfindlich getroffen. Dennoch lässt sich ein Comeback der Cyberkriminellen nicht ganz ausschliessen.

publiziert am 22.2.2024
image

Haufenweise Kundendaten von Schweizer Personalvermittler gestohlen

Die Firma Das Team ist eines der jüngsten Opfer der Ransomware-Bande Black Basta. Sie publizierte eine Vielzahl heikler Daten im Darkweb.

publiziert am 22.2.2024 4
image

"Verständnis für Einfluss des Cyberraums auf Gesellschaft fehlt"

Die Swiss Cyber Security Days verzeichneten über 2200 Besucherinnen und Besucher. Einig war man sich, dass Cybersicherheit eine gemeinschaftliche Aufgabe ist.

publiziert am 22.2.2024
image

"Wir legen den Schwerpunkt auf die Störung der Bedrohungsakteure"

An den Swiss Cyber Security Days in Bern ging es in den Keynotes nicht nur um Verteidigung, sondern auch um offensive Aktionen. Zum Beispiel durch das FBI.

publiziert am 21.2.2024