AOK: Sicherheitslücke in MOVEit-Software behoben

AOK Sicherheitslücke: Eine Schwachstelle in der Datenübertragungssoftware MOVEit wurde erkannt und behoben.

Sicherheitslücken in Softwaresystemen sind ein heikles Thema: Insbesondere dann, wenn Dritte sich potenziell Zugang zu teils sensiblen, personenbezogenen Daten verschaffen könnten. Eine aktuelle Software-Sicherheitslücke in einem weit-verbreiteten Datenübertragungsprogramm gefährdet nun zahlreiche Organisationen, wie das Handelsblatt berichtet.

Dazu zählten auch zahlreiche Allgemeine Ortskrankenkassen (AOK). Die Schwachstelle sei nun behoben worden (vgl. handelsblatt.com, 02.06.2023).

Über MOVEit

Konkret handelte es sich um eine Schwachstelle in der Kommunikationsschnittstelle MOVEit. Die Software des Anbieters "Progress" sei bei vielen Krankenkassen ebenso wie auch staatlichen Behörden im Einsatz gewesen.

Sie sei ISO-zertifiziert, vollumfänglich DSGVO-konform und erfülle zahlreiche Compliance-Standards, wie security-insider.de berichtet. Genutzt wurde sie zur Abwicklung des Datentransfers (vgl. security-insider.de, 05.06.2023).

Verwandt: 5 Jahre DSGVO - Was ist mit Künstlicher Intelligenz? 

Zahlreiche Länder und Unternehmen betroffen

Neben der AOK in mehreren deutschen Bundesländern sind auf internationaler Ebene mehr als 40 Länder von der Sicherheitslücke betroffen, wie Heise berichtet. Allein hierzulande seien mehr als 100 Unternehmen betroffen (vgl. heise.de, 06.06.2023).

Die meisten verwundbaren Systeme sind dabei in den Vereinigten Staaten beheimatet, mit weitem Abstand gefolgt vom Vereinigten Königreich und Deutschland an dritter Stelle, wie Heise in Berufung auf das Shodan-Projekt berichtet (vgl. heise.de, 06.06.2023).

Über die Sicherheitslücke

Progress, das Unternehmen hinter MOVEit, habe Ende Mai im Rahmen einer Sicherheitswarnung über die Schwachstelle informiert. Daraufhin habe die AOK diese Datenpanne dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet. Betroffen waren die AOKs zahlreicher Bundesländer, ebenso wie PLUS und der AOK Bundesverband.

Das BSI habe die Sicherheitslücke zunächst als Bedrohung der höchsten Stufe klassifiziert, wobei mittlerweile von einer "geschäftskritischen Bedrohungslage" die Rede ist (vgl. security-insider.de, 05.06.2023).

Verwandt: Was ist Healthcare CRM?

Sicherheitsmaßnahmen

Nach Bekanntwerden der Sicherheitslücke habe die AOK umgehend die Verbindung getrennt. Nach Behebung des Problems über das Wochenende konnte das System dann am 06.06.2023 auf neuen Servern sowie mit zusätzlichen Sicherheitsmaßnahmen wiederhergestellt werden, wie die AOK berichtete. Zum Einsatz komme dabei eine aktualisierte Version von MOVEit Transfer, in welcher die Lücke nun behoben sei.

Analyse auf möglichen Datenabfluss dauert an

Wie die AOK berichtet, gebe is bislang keine konkreten Hinweise auf einen Datenabfluss. Die Analyse dauere noch an. Geprüft wird konkret, ob die Sicherheitslücke einen Zugriff auf Sozialdaten ermöglicht habe (vgl. www.aok.de, 06.06.2023).

Sozialdaten

Bei Sozialdaten handelt es sich um Daten wie Geburtsdatum, Anschrift, Steuer-ID oder Rentenversicherungsnummer; also personenbezogene Daten über die Versicherten bzw. Kunden der AOK (vgl. handelsblatt.com, 02.06.2023). Diese Art der Daten werden sozialrechtlichen Leistungsträgern gesammelt und gespeichert, um ihre gesetzlichen Aufgaben erfüllen zu können (vgl. Prof. Dr. Joachim Becker, wirtschaftslexikon.gabler.de, 07.06.2023).