Folgen des NHS-Cyberangriffs: Datendiebstahl bei Bedfordshire und Essex Trusts offengelegt

Zusammenfassung

Nach dem verheerenden Ransomware-Angriff auf den Pathologie-Dienstleister Synnovis im Juni 2024 haben zwei große englische NHS Foundation Trusts – Bedfordshire Hospitals und Mid and South Essex (MSE) – das Ausmaß des Diebstahls von Patientendaten offengelegt. Während Bedfordshire Hospitals NHS Foundation Trust bestätigte, dass fast 33.000 Patientendaten kompromittiert wurden, meldete der Mid and South Essex NHS Foundation Trust 2.380 betroffene Datensätze. Der Angriff, der der mit Russland in Verbindung gebrachten Cybergruppe Qilin zugeschrieben wird, betraf Diagnose- und Testergebnisse, die vom Drittanbieter Synnovis verarbeitet wurden.

Was ist passiert?

• Der Vorfall: Am 3. Juni 2024 wurde der Pathologiedienstleister Synnovis Opfer eines schweren Ransomware-Angriffs. Dies führte zu massiven Ausfällen in mehreren Londoner Krankenhäusern und Gesundheitseinrichtungen.
• Urheber: Der Angriff wurde der russischen Ransomware-Gruppe Qilin zugeschrieben.
• Enthüllung in Bedfordshire: Im Juni 2026 gab der Bedfordshire Hospitals NHS Foundation Trust bekannt, dass die Daten von 32,927 seiner Patienten gestohlen wurden.
• Enthüllung in Essex: Der Mid and South Essex NHS Foundation Trust bestätigte, dass 2.380 Patientendaten betroffen waren.
• Art der gestohlenen Daten: Bei den gestohlenen Informationen handelt es sich um diagnostische und pathologische Berichte, darunter Patientennamen, NHS-Nummern, Geburtsdaten und Testergebnisse (z. B. Blut-, Urin- und Gewebetests).
• Verzögerte Benachrichtigung: Die betroffenen Patienten werden erst jetzt benachrichtigt. Der MSE Trust wurde im Dezember 2025 informiert, und Bedfordshire gab die Zahlen im Juni 2026 bekannt. Die enorme Verzögerung liegt an der unstrukturierten und fragmentierten Natur der gestohlenen Pathologiedaten, deren Zuordnung zu einzelnen Patienten langwierige forensische Analysen erforderte.

Warum es wichtig ist

Pathologie- und Diagnosedaten sind hochgradig sensibel. Im Gegensatz zu Kreditkartennummern können Krankheitsgeschichten und NHS-Nummern nicht geändert werden, was den Diebstahl dauerhaft und für Cyberkriminelle im Darknet äußerst wertvoll macht. Der Vorfall verdeutlicht das Risiko der Auslagerung kritischer Infrastrukturen wie der Pathologie an Drittanbieter (Synnovis/SYNLAB). Die massive Verzögerung zwischen dem Angriff (Juni 2024) und der Benachrichtigung der Patienten (Ende 2025/2026) zeigt zudem, wie schwierig forensische Untersuchungen bei unstrukturierten Daten sind. Betroffene waren über Monate hinweg unvorbereitet Phishing- und Identitätsdiebstahlsrisiken ausgesetzt.

Beweise

• NHS England Berichte: Kontinuierliche Fortschrittsmeldungen zur IT-Forensik des Synnovis-Angriffs.
• Offizielle Stellungnahmen: Erklärungen der betroffenen Trusts in Bedfordshire und Essex.
• Medienberichterstattung: Ausführliche Artikel von BBC News, digitalhealth.net und dem Health Service Journal (HSJ).

Analyse

Der Synnovis-Angriff verdeutlicht das systemische Risiko in den Lieferketten des Gesundheitswesens. Wenn der NHS Dienstleistungen in großen öffentlich-privaten Partnerschaften (wie Synnovis, einem Joint Venture aus SYNLAB und Londoner Trusts) bündelt, entstehen Single Points of Failure. Obwohl die unmittelbaren betrieblichen Auswirkungen (wie verschobene Operationen) vor allem London betrafen, zeigt der forensische Datenpfad, dass der Abfluss von Daten auch andere Regionen wie Essex und Bedfordshire betraf. Der forensische Engpass – der fast zwei Jahre dauerte, um betroffene Personen zu identifizieren – offenbart eine kritische Schwachstelle in der Cyber-Abwehr. Die Unfähigkeit, unstrukturierte Datenbank-Dumps schnell zu analysieren und zuzuordnen, verzögert den Opferschutz und lässt Patienten in der Zwischenzeit schutzlos gegenüber Spear-Phishing und medizinischem Identitätsbetrug.

Praktische Erkenntnisse

1. Risikomanagement bei Drittanbietern: Organisationen im Gesundheitswesen müssen strenge Anforderungen an Datenresidenz, Verschlüsselung im Ruhezustand und detaillierte Datenflüsse für Drittanbieter durchsetzen.
2. Datenstrukturierung und -herkunft: Unternehmen sollten automatisierte Metadaten-Tagging- und Data-Lineage-Systeme einführen, damit im Falle eines Datenabflusses betroffene Datensätze innerhalb von Stunden statt Jahren identifiziert werden können.
3. Wachsamkeit der Patienten: Betroffene Personen müssen dringend vor gezielten Phishing-Versuchen gewarnt werden. Angreifer könnten spezifische Details der gestohlenen medizinischen Testergebnisse nutzen, um Vertrauen vorzutäuschen.
4. Sorgfaltspflicht bei der Auftragsvergabe: Trotz des Vorfalls wählte der Mid and South Essex NHS Trust im August 2024 SYNLAB als bevorzugten Partner für einen neuen, langfristigen Pathologie-Vertrag aus. Dies zeigt, wie gering die Auswahl an spezialisierten medizinischen Dienstleistern im Markt ist.

Offene Fragen

• Welche Maßnahmen wird der NHS ergreifen, um die forensischen Ermittlungszeiten bei zukünftigen Sicherheitsvorfällen drastisch zu verkürzen?
• Wurden die gestohlenen Pathologiedaten bereits im Darknet gehandelt oder für gezielte Erpressungsversuche verwendet?
• Wie wird die Regierung Drittanbieter im Gesundheitswesen für Sicherheitsmängel haftbar machen, die sensible öffentliche Gesundheitsdaten gefährden?

Quellen

1. BBC News: Thousands of patient records taken in cyber attack
2. AOL News: Thousands of patient records taken in cyber attack
3. Digital Health: Bedfordshire Hospitals discloses patient records stolen in Synnovis cyber attack
4. Health Service Journal: Bedfordshire and Essex Trusts data breach details
5. NHS England: Official statement on Synnovis cyber attack