Es war der vermutlich bisher stärkste Cyber-Angriff auf das Gesundheitswesen der USA: Die Ransomware ALPHV/BlackCat infizierte den Versicherer UnitedHealth und dessen Technik-Dienstleister Change Healthcare. Die Folge: Rezepte können nur eingeschränkt eingelöst und abgerechnet werden.
Vor Kurzem fiel UnitedHealth, einer der größten Versicherer der USA, einem Ransomware-Angriff zum Opfer. Er betraf mehrere hundert Millionen Menschen – mehr als jeder Angriff zuvor.
Konkret gelang es der Ransomware-Gang „ALPHV“ , auch BlackCat genannt, die Server von Change Healthcare zu infizieren. Dies ist ein Tochterunternehmen, das UnitedHealth 2022 für 8 Milliarden Dollar gekauft hat.
Change verwaltet die Einlösung von Rezepten für Medikamente und die Auszahlungen an Apotheken, im Jahr rund 15 Milliarden Rezepte oder 1,5 Billionen Dollar. Darüber hinaus betreibt das Unternehmen Plattformen, die Ärzten und Kliniken bei Diagnosen helfen, Patientenfeedbacks aufnehmen, Termine planen und mehr.
Der ALPHV-Angriff hat 111 Dienstleistungen von Change Healthcare ausgeknockt. Apotheken konnten keine Zahlungsansprüche an Versicherungen einreichen, Patienten keine Rezepte einlösen, Terminkalender fielen aus und mehr. Betroffen waren hunderte Millionen Menschen, direkt oder indirekt, vor allem in den USA, aber auch Kanada, Taiwan, Neuseeland und anderen Ländern.
Das Gesundheitsministerium der USA schaltete sich rasch ein . Es koordinierte die Reaktion der verschiedenen Akteure – Ärzte, Kliniken, Versicherungen, Apotheken, Verbände –, wodurch das Schlimmste vermutlich verhindert werden konnte. Dennoch kostet der Ausfall von Change Healthcare die US-Gesundheitsversorger am Tag schätzungsweise 100 Millionen Dollar , und zahlreiche Patienten erhalten keine notwendigen Medikamente.
Immerhin fährt Change Healthcare die Systeme derzeit wieder hoch . Es erwartet, die Rezepte wieder ab Mitte März verarbeiten zu können. Sicherheitsexperten vermuten, dass UnitedHealth das Lösegeld von 350 Bitcoin – aktuell gut 25 Millionen Dollar – bezahlt hat. Das Unternehmen selbst nimmt dazu aber keine Stellung.
Wenn die Strafverfolgung fruchtlos bleibt
Die Ransomware-Gang, die hinter diesem bisher größten Angriff auf das Gesundheitswesen steht, ist nicht unbekannt. Man kennt ALPHV/BlackCat von zahlreichen spektakulären Angriffen, etwa auf den Schweizer Vermögensverwalter Finaport, das Hamburger Logistikunternehmen Oiltanking, die ecuadorianische Hauptstadt Quito, die Regierung von Kärnten und viele weitere.
Vor gut einem Jahr galt die Ransomware von ALPHV als eine der größten Gefahren aus dem Cyberspace. Die russischen Hacker arbeiten mit anderen überwiegend russischen Cyberkriminellen zusammen, welche als „Vertriebler“ die Ransomware auf die Systeme ihrer Opfer schleusen. Fieserweise verschlüsselt BlackCat nicht nur die Daten, um ein Lösegeld zu verlangen, sondern droht auch mit der Veröffentlichung sensibler Daten sowie DoS-Angriffen. Experten sprechen daher von einer „dreifachen Erpressung“.
Im Dezember des vergangenen Jahres gelang es dem Justizministerium der USA, die Webseite von BlackCat/ALPHV zu konfiszieren . Über sie koordinierte die Bande ihre Aktivitäten und veröffentlichte Leaks. Die Hacker konnten die Seite kurz wieder „entkonfiszieren“, woraufhin sie ein comicartiges Bild einer schwarzen Katze posteten und ankündigten, zur Vergeltung jegliche Beschränkungen aufzuheben, so dass ihre „User“ auch „kritische Infrastruktur“ angreifen können. Zwei Stunden später übernahm das Justizministerium die Seite wieder.
Das Ministerium spricht von einem entscheidenden Schlag . An den Ermittlungen waren auch deutsche, britische, dänische, australische und spanische Ermittler beteiligt; ihr größter Erfolg dürfte jedoch gewesen sein, die Schlüssel für die Entschlüsselung zu sichern, womit mehr als 500 Opfer der Ransomware-Gang ihre Daten wiederherstellen konnten.
Die Hacker selbst bleiben auf freiem Fuß. Solange sie im sicheren Hafen Russland operieren, das seit Angriff auf die Ukraine weniger denn je mit internationalen Strafverfolgern kooperiert, droht ihnen von westlichen Ermittlern wenig Gefahr. Vermutlich wird der russische Geheimdienst Angriffe auf die Infrastruktur im Westen nicht nur tolerieren, sondern auch gutheißen oder sogar unterstützen.
Offenbar bekam ALPHV aber dennoch kalte Füße. Denn nachdem die Hacker eine Zahlung von 350 Bitcoins empfangen hatte – just die Summe die sie von UnitedHealth gefordert hatten – zeigte ihre (neue) Darknet-Webseite an, dass sie vom FBI und der britischen Polizei konfisziert worden sei. Die beiden Polizeibehörden dementierten dies aber, weshalb Ars Technica annimmt , dass die Hacker damit in Rente gehen.
Ransomware wurde unvermeidbar
So oder so: Die Welt muss damit leben, dass sie von Ransomware geplagt wird, und dass eine digitale Infrastruktur desto eher zu deren Zielscheibe wird, je wichtiger sie ist. Bei einer starken Cybersicherheit könnte dies lediglich lästig sein, wie Schnaken im Sommer, idealerweise sogar ein Frühwarnsystem, das hilft, essenzielle Server zu stählen.
Gerade Dienstleistungen, wie sie Change Healthcare erbringt – das Einlösen und Abrechnen von Rezepten – schreien danach, sich durch eine Blockchain gegen Ransomware zu immunisieren. Für die bereits betroffenen Patienten und Kunden ist dies freilich zu spät. Sie sehen zwar einer baldigen Inbetriebnahme der Abrechnungssysteme entgegen – müssen aber weiter fürchten, dass ihre privaten Daten ins Darknet gelangen.