Datenleck: Barmer Krankenkasse informiert Kunden über Cyber-Angriff

• Barmer informiert Kunden mit Schreiben vom 19. Juni 2023 über ein Datenleck, das beim Dienstleister für das Prämienprogramm der Barmer aufgetreten ist.
• Der Dienstleister unterstützt die Barmer beim Austausch von personenbezogenen Daten. Er prüft Unterlagen, mit denen sich Versicherte für Prämien aus dem Bonusprogramm qualifizieren. Abschließen informiert der Dienstleister die Kunden über das Ergebnis.
• Der Dienstleister informierte die Barmer am 16. Juni 2023 über den Cyber-Angriff auf vorhandene Daten der Barmer.
• Barmer kappte daraufhin alle Verbindungen zum Dienstleister.
• In dem Schreiben an die Kunden versicherte Barmer, dass es keinen Zugriff auf das IT-System der Krankenkasse gab.
• Auf folgende Daten hatten die Kriminellen Zugriff: Vorname, Nachname, Krankenversicherungsnummer, Prämienbetrag und Kontoverbindung (IBAN).
• Barmer informierte nach eigenen Angaben die Sicherheits- und Aufsichtsbehörden über den Vorfall.
• Externe Sicherheitsexperten schaltet die Barmer dazu.

Nach Einschätzung der Kanzlei Dr. Stoll & Sauer ist es gut möglich, dass der Barmer-Dienstleister ähnliche Probleme mit einer Software hat wie die AOK. Bei der AOK sollen Kriminellen über eine Schwachstelle der Software „MOVEit“ an Daten herangekommen sein. Die Software war bei der AOK ebenfalls bei einem Dienstleister zum Einsatz gekommen. Mit der Software sollen Daten zwischen Dienstleister und AOK ausgetauscht worden sein. Die Parallelen zur Krankenkasse Barmer sind offensichtlich. Die Online-Ausgabe der Ärzte-Zeitung berichtete übrigens, dass der Cyber-Angriff bereits am 31. Mai 2023 stattgefunden haben soll.

Welche Risiken drohen den Betroffenen des Vodafone-Datenlecks?

Heutzutage ereignen sich fast täglich Cyber-Vorfälle wie bei der Barmer. Auf den ersten Blick scheint für betroffene Verbraucher nicht viel passiert zu sein. Doch bei genauerem Hinsehen wird deutlich, wie gefährlich ein Datenleck in der Zukunft sein kann. Hier sind einige Fakten:

• Zunächst sind Spam-E-Mails und täuschend echt wirkende E-Mails nur lästig.
• Allerdings werden häufig sogenannte Smishing-SMS verschickt, eine Form des Phishings, bei dem überzeugende Phishing-SMS/Textnachrichten verwendet werden, um potenzielle Opfer dazu zu bringen, auf einen Link zu klicken, private Informationen an den Angreifer zu senden oder Malware auf das Mobiltelefon zu laden.
• Malware wird mit dem Ziel entwickelt, Schaden auf einem eigenständigen Computer oder einem vernetzten PC anzurichten. Sobald dies geschieht, nehmen die Probleme für den Computer oder das Smartphone ihren Lauf. Wenn es den Angreifern gelingt, Zugang zum Bankkonto zu erlangen, kann dies sehr teuer werden.
• Obwohl solche Nachrichten bei genauer Betrachtung in der Regel unglaubwürdig erscheinen, werden sie aufgrund der Fülle an geleakten Informationen immer authentischer.
• Aufgrund der Vielzahl von Datenlecks kursieren im Darknet die unterschiedlichsten Informationen über den gleichen Verbraucher. Kriminellen gelingt es immer wieder, komplette Identitäten nachzubilden. Plötzlich werden Geschäfte abgewickelt, die der Verbraucher nie getätigt hat.
• Es ist auch möglich, E-Mails mit persönlichen Daten wie Geburtstag, Beruf, Wohnort und weiteren Informationen täuschend echt aussehen zu lassen. Der Eindruck wird erweckt, als ob sie tatsächlich einen seriösen Hintergrund hätten. Somit steigt das Risiko für die Betroffenen, tatsächlich eine Phishing-E-Mail zu öffnen, erheblich an.

Was sagt die Rechtsprechung zum Thema Datenleck?

Insbesondere im Fall des Datenlecks bei Facebook sprechen sich deutsche Gerichte vermehrt für Schadensersatzsummen im vierstelligen Bereich aus. Zusätzliche Unterstützung für Betroffene von Datenlecks und Verstößen gegen die Datenschutzgrundverordnung (DSGVO) gibt es vom Europäischen Gerichtshof (EuGH), der durch ein wegweisendes Datenschutzurteil die Rechte der Verbraucher gestärkt hat. Es ging dabei um die Frage, wann Unternehmen bei Datenschutzverstößen Schadensersatz leisten müssen.

Der EuGH stellte fest, dass Ansprüche auf Schadensersatz nur dann bestehen, wenn infolge eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) ein materieller oder immaterieller Schaden entstanden ist (Urteil vom 4. Mai 2023, Az.: C-300/21). Gerade durch den unzureichenden Schutz personenbezogener Daten bei Unternehmen wie Facebook, Deezer, Twitter & Co. oder nun bei der Barmer kommt es zu Datenlecks.

Betroffene müssen zukünftig mit negativen Auswirkungen rechnen, haben einen Schaden erlitten und Ansprüche gegenüber den betroffenen Unternehmen. Dr. Stoll & Sauer bietet betroffenen Verbrauchern von Datenschutzverstößen eine kostenlose Erstberatung im Rahmen des Online-Checks an.