HelloBetter meldet Datenpanne nach Cyberangriff
Der Hamburger Anbieter digitaler Gesundheitsanwendungen (DiGA) HelloBetter hat seine Nutzerinnen und Nutzer darüber informiert, dass Angreifer am Abend des 6. September 2026 Zugriff auf das „Business-Intelligence-System“ des Unternehmens und die damit verbundene Datenbank verschafft haben. Das Schreiben liegt heise online vor und wurde auch auf der Website des Anbieters veröffentlicht.
Diagnosebezogene Daten in fremden Händen
Die Daten sind besonders heikel. HelloBetter bietet sechs dauerhaft ins DiGA-Verzeichnis aufgenommene DiGA an, die sich auf Stress, Burnout, Schlafstörungen, Panikstörungen, chronische Schmerzen, Depressionen bei Diabetes und Vaginismus beziehen. Ärzte und Psychotherapeuten können sie auf Rezept verordnen. Schon aus der bloßen Nutzung eines Programms lässt sich auf eine Diagnose schließen.
Nach dem aktuellen Stand der Untersuchung könnten Kontakt- und Stammdaten betroffen sein, also E-Mail-Adresse, Name, Geburtsdatum und Versichertennummer. Dazu kommen Antworten aus Fragebögen, Angaben zum Programmverlauf, gegebenenfalls Freitexte aus Tagebuchfunktionen sowie Anfragen an den Support. Zahlungsdaten sind laut HelloBetter nicht betroffen.
Maßnahmen und Gegenmaßnahmen
Ein „erheblicher Teil“ der Daten liege pseudonymisiert und verschlüsselt vor, schreibt das Unternehmen. Es könne jedoch „nicht vollständig ausschließen“, dass einzelne Informationen für die Angreifer lesbar waren und Personen identifizierbar werden können. Dabei vermischt das Schreiben zwei Dinge: Pseudonymisierung und Verschlüsselung sind technisch nicht dasselbe. Ob die Verschlüsselung wirklich schützt, hängt vor allem davon ab, ob die Angreifer auch an die Schlüssel kamen. Einen Hinweis darauf gibt die Liste der Gegenmaßnahmen: HelloBetter hat nach eigenen Angaben „alle möglicherweise betroffenen Zugangsdaten und Verschlüsselungsschlüssel“ vollständig ausgetauscht.
Strengere Sicherheitsvorgaben für DiGA
Für die Zulassung als DiGA müssen Hersteller beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) strenge Anforderungen an Wirksamkeit, Datenschutz, Datensicherheit und Nutzerfreundlichkeit nachweisen. Seit Januar 2025 müssen DiGA-Hersteller zudem ein Datensicherheitszertifikat auf Basis der BSI-Richtlinie TR-03161 vorlegen.
Hinweise auf Missbrauch der Daten
Betroffene sollen trotzdem besonders auf Phishingmails, verdächtige Nachrichten und Anrufe achten, ihr HelloBetter-Passwort ändern und Absenderadressen genau prüfen. In einer Bewertung auf Trustpilot äußert sich eine betroffene Person kritisch und besorgt um ihre Daten.
Seit Januar 2025 müssen DiGA-Hersteller zudem ein Datensicherheitszertifikat auf Basis der BSI-Richtlinie TR-03161 vorlegen. Offen bleibt unter anderem, wie viele Menschen betroffen sind, welche Sicherheitslücke die Angreifer ausnutzten, ob dafür bereits ein Patch verfügbar war und ob die Schlüssel zusammen mit den Daten gespeichert waren.
Exklusives Aktionsangebot
1 Jahr mit 50 % Rabatt: 1 Jahr heise+ mit 50 % Rabatt lesen, danach dauerhaft 20 % im Jahresabo sparen. Inklusive aller Online- und Magazin-Inhalte. Exklusives Aktionsangebot: Lesen Sie heise+ ein Jahr lang mit 50 % Rabatt und sparen Sie danach dauerhaft 20 % im Jahresabo. Entdecken Sie alle Inhalte auf heise online und unsere Magazin-Inhalte.
Kommentare