Stand: 28.06.2023

Fragen & Antworten

Was ist passiert und wie ist der Status?
BITMARCK hat eine Cyberattacke identifiziert und erfolgreich abgewehrt. Nachdem unsere Frühwarnsysteme einen Angriff auf BITMARCK-interne Systeme gemeldet haben, haben wir sofort Maßnahmen zur Schadenvermeidung ergriffen. Im Zuge der Sicherheitsmaßnahmen hat BITMARCK auch rigorose Entscheidungen treffen müssen, um Gefahren abzuwenden. Alle beteiligten interne und externe Forensiker, Kriminalbeamte und IT-Sicherheitsexperten bestätigen, dass wir durch diese Entscheidungen einen weitaus größeren Schaden abgewendet haben, als durch die damit verbundenen Einschränkungen für die Versicherten und die Gesetzlichen Krankenversicherungen entstanden sind. Gleichwohl möchten wir die Auswirkungen der ergriffenen Maßnahmen nicht klein reden, sondern entschuldigen uns ausdrücklich bei allen Betroffenen für die Unannehmlichkeiten und Einschränkungen. 

Die Systeme sind wieder angelaufen. Das Gros der Krankenkassen hat keine Einschränkungen mehr. Lediglich einzelne Detailfunktionen stehen bei einigen Krankenkassen aufgrund restriktiverer Sicherheitseinstellungen nicht wie früher zur Verfügung. Über die Bedeutung der betroffenen Funktionen und mögliche Lösungsansätze sprechen wir mit jeder einzelnen Krankenkasse.

Sind Kunden-, Versicherten- oder Patienten-Daten abgeflossen?
Nein, auch nach weitreichenden Analysen ist der aktuelle Kenntnisstand, dass keine Daten abgeflossen sind, weder bei BITMARCK noch bei Kunden oder Versicherten. Auch die in der ePA hinterlegten Patienten-Daten waren durch den Angriff zu keiner Zeit gefährdet. Diese unterliegen im Übrigen aufgrund der gematik-Bestimmungen einem besonderen Schutz. Die Sicherheit der Kunden-, Versicherten- und Patienten-Daten hatte sowohl bei der Abwehr des Angriffs als auch bei der Wiederinbetriebnahme unserer Systeme höchste Priorität.

Warum hat der Wiederanlauf der Systeme so lange gedauert?
Die Cyberattacke wurde äußerst professionell und mit hoher krimineller Energie durchgeführt. Um dem angemessen zu begegnen, empfehlen sämtliche IT-Sicherheitsexperten, Sicherheit vor Schnelligkeit walten zu lassen. Dieser Empfehlung sind wir gefolgt und folgen wir auch weiterhin. Wir überlassen nichts dem Zufall, sondern untersuchen jeden Schritt auf mögliche Risiken.

Ist der Vorfall damit abgeschlossen?
Die Abwehr des Cyberangriffs war erfolgreich und ist abgeschlossen. Jedoch gehört zum Abschluss des gesamten Vorfalls auch ein umfassendes Aufarbeiten auf verschiedenen Ebenen sowie weitere Maßnahmen zur Härtung der Systeme, die im Zuge des Wiederanlaufens nicht vorgenommen werden konnten. Das dauert seine Zeit und ist auch mit substanziellen Investitionen verbunden. 

In der Presse wird aktuell über mehrere Sicherheitsvorfälle im Gesundheitswesen berichtet; beispielsweise über Sicherheitsvorfälle bei adesso, der AOK-Gemeinschaft und dem Medizinischen Dienst Niedersachsen. Besteht bei diesen Vorfällen ein Zusammenhang zum Cyberangriff auf BITMARCK?
Wir haben mit Bekanntwerden jedes einzelnen Sicherheitsvorfalls umgehend geprüft, ob Zusammenhänge bestehen und – sofern nötig – auch präventive Maßnahmen ergriffen, um unsere Systeme zu schützen. Allerdings konnten wir in allen der genannten Fälle einen Zusammenhang mit dem Cyberangriff auf unsere Systeme ausschließen.

Vereinzelt befassen sich Presseberichte mit dem Thema der Zuordnung von BITMARCK zur Kritischen Infrastrukturen nach dem BSI-Gesetz (KRITIS). Wie steht BITMARCK zu diesem Thema?
Die Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz umfasst einen festgelegten Kriterienkatalog. Dieser entschieden darüber, welche Organisationen zur KRITIS gehören – und welche nicht. Vor diesem Hintergrund zählt BITMARCK nicht zur KRITIS. Ein Umstand, den wir durchaus gegenüber der Politik schon thematisiert haben, da wir es für richtig erachten, dass BITMARCK als Arbeitsgemeinschaft der gesetzlichen Krankenkassen als systemrelevant einzustufen ist. Mit diesem Selbstverständnis haben wir auch unsere Informationssicherheit entsprechend professionell organisiert.