Progress hat Admins der Dokumentenaustausch-Plattform ShareFile – die ehemals unter Citrix ShareFile bekannt war – angeschrieben und sie aufgefordert, die Server umgehend herunterzufahren. Grund dafür ist demnach eine reale Bedrohungssituation durch Angreifer.

Ein Betroffener hat einen Screenshot der E-Mail von Progress auf Reddit geteilt. Das Unternehmen schreibt dort, dass es Grund zur Annahme hat, dass eine glaubwürdige Sicherheitsbedrohung von außerhalb besteht. Betroffen sind Progress ShareFile Storage Zone Controller. Es gebe keine Hinweise auf unbefugte Zugriffe auf ShareFile-Konten oder Daten. Als Vorsichtsmaßnahme hat Progress jedoch den Zugriff auf ShareFile-Konten über ShareFile-Controller temporär deaktiviert.

ShareFile-Admins müssen aktiv werden

Progress weist dringend darauf hin, dass IT-Verantwortliche die Server herunterfahren müssen, auf denen die Storage-Zone-Controller laufen. Das sei ein dringend nötiger, zusätzlicher Schritt, um die Sicherheit der Daten zu gewährleisten.

Die temporären Zugriffsbeschränkungen habe das Unternehmen bereits umgesetzt, die zusätzlichen Maßnahmen von Admins seien als Vorsichtsmaßnahme nötig. Progress arbeite mit eigenen und externen IT-Sicherheitsexperten an der Untersuchung der potenziellen Bedrohung. Auf der Status-Seite zu ShareFile bestätigt Progress, dass das Unternehmen das Problem untersuche. Konkretere Hinweise etwa zum Auslöser nennt der Hersteller jedoch an keiner Stelle.

ShareFile war bereits im Visier von Angreifern, als die Plattform noch unter der Citrix-Flagge segelte. Mitte 2023 warnte die US-amerikanische Cybersicherheitsbehörde CISA vor beobachteten Angriffen auf den Datenaustauschdienst.

(dmk)

Cyberangriffe und Datenlecks im Gesundheitswesen sorgen regelmäßig für Schlagzeilen. Grund dafür sind oft veraltete Software, fehlende Verschlüsselung und eine Informationspflicht gegenüber Betroffenen, die kaum gelebt wird. Wie groß ist das strukturelle Versagen und wer trägt die Verantwortung?

Darüber spricht Marie-Claire Koch mit Manuel Dimmler, Softwareentwickler, der sich aus der Not heraus intensiv mit IT-Sicherheit beschäftigt. Er ist nicht nur vom Fach, sondern auch persönlich betroffen: Seine Familie war innerhalb von eineinhalb Jahren mit mehreren Datenschutzvorfällen im Gesundheitswesen konfrontiert – darunter auch ein Cyberangriff auf den Medizintechnikhersteller Zuther+Hautmann.

Bei den ZAR-Rehakliniken stieß Dimmler mehrfach auf Sicherheitslücken: Patientendaten inklusive medizinischer Befunde waren ohne Passwort und ohne Authentifizierung frei aus dem Internet abrufbar. Dass gemeldete Lücken oft nur punktuell geschlossen werden statt systematisch, hält er für symptomatisch.

Patienten bleiben dem weitgehend ausgeliefert. „Man kann ja nicht zu einer Reha-Klinik hingehen und sagen: ‚Ich würde gerne hier eine Reha machen, wie sicher ist ihre Software?‘ Da würden die einen erstmal komisch anschauen,“ sagt Dimmler. Außerdem geht es darum, dass Sicherheitsforscher eher kriminalisiert werden und welche konkreten Maßnahmen Dimmler für überfällig hält.

(mack)

Look behind you, a three headed monkey!

Um die politischen Entwicklungen der letzten Tage besser verstehen zu können, hilft es vielleicht, an Guybrush Threepwood zu denken. Guybrush Threepwood ist die Hauptfigur der Computerspielreihe Monkey Island und ein sehr tollpatschiger Kerl, der eigentlich ein mächtiger Pirat sein will. Zu den Finten, um seine Gegner abzulenken und zu übertölpeln, gehört auch der Ausspruch mit einem dreiköpfigen Affen. Schau! Da, hinter dir! Ein dreiköpfiger Affe. Und schon ist der Gegner abgelenkt und Guybrush kann so auch Gegner überwinden, an denen er normalerweise nicht vorbeigekommen wäre.

Die letzten Wochen waren leider voller dreiköpfiger Affen, die uns informationspolitisch immer wieder abgelenkt haben. Geht man dem Ziel dieser Finten aber genauer auf den Grund, so zeigt sich doch eine oftmals bösartige Doppelmoral und leider ein ebenso äußerst fragliches Verhalten, das einer Demokratie nicht würdig ist. Aber diese Degitalisierung wird ein Fechtkampf über mehrere Runden, also: en garde.

Kapitel 1: Die Krankschreibung

Am 1. Juli hat sich der Koalitionsausschuss auf ein Eckpunktepapier für unterschiedliche Reformen geeinigt. „Ein Programm für Aufschwung und Beschäftigung“ wird das betitelt. Inhaltlich ist vieles unscharf, aber bereits ein Punkt fiel durch seine Absonderlichkeit auf und muss eher als Finte gesehen werden, denn als sinnhafte Politik: die Abschaffung der telefonischen Krankschreibung.

„Die Zahl der Krankentage in Deutschland ist zu hoch“, sagte dazu Kanzler Merz. Das klingt noch geradezu diplomatisch. Denn der eigentliche Kern dieser Regelung scheint eher ein tiefes Misstrauen von einigen wenigen Arbeitgebern zu sein. Oder wie ein Sprecher der „Unternehmer Baden-Württemberg“ dazu zitiert wird: „Wir können uns keinerlei Missbrauch mehr leisten und diesen auch nicht länger dulden.“

Allerdings stehen Unternehmer*innen-Verbände wie diese mit ihrer Sichtweise auf die Reformvorhaben als „wichtiges gesellschaftspolitisches Signal“ eher isoliert da. Hausärzte warnen vor einer Flutung von Praxen. Das Deutsche Institut für Wirtschaftsforschung (DIW) warnt sogar vor mehr Fehltagen. Die Abschaffung der telefonischen Krankschreibung, um damit den Krankenstand senken zu wollen, geht im Kern am Problem vorbei. Der aktuelle Krankenstand und die Meldung und Erfassung sind eigentlich eine bemerkenswerte Geschichte von teilerfolgreichen Digitalisierungsmaßnahmen in Kombination mit Folgen der Corona-Pandemie.

Auf der Suche nach den tieferen Gründen für den hohen Krankenstand kommen aus unterschiedlichen Quellen dann ganz andere Gründe hervor als nur ein vermeintlich sprunghafter Anstieg massenhaften „Blaumachens“. Das Zentralinstitut für Kassenärztliche Versorgung kommt 2025 zu dem Ergebnis, dass sowohl die Einführung der elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) als auch hohe Infektionswellen nach der Corona-Pandemie maßgeblich für höhere Krankenstände sind. Ähnlich sieht das auch der Spitzenverband der Betriebskrankenkassen.

Damit gibt es beim Krankenstand in Deutschland also tatsächlich eine wirksame Digitalisierungsmaßnahme mit der eAU, nur ist das Ergebnis politisch anscheinend nicht so genehm. Krankenstände werden statistisch besser erfasst, sind damit aber erst einmal höher als in einer Zettelwelt. Die Transparenz über den eigentlichen Krankenstand hat also zugenommen, das scheint jedoch nicht zu gefallen. Ein generell höheres Krankheitsniveau ist aber auch eine Folge der Corona-Pandemie, deren Folgen ja auch politisch hätten einzudämmen versucht werden können.

Die Befürchtung eines Anstiegs eines massenhaften „Blaumachens“ durch die telefonische Krankschreibung ist in Relation auch nicht anhand der realen Zahlen von Arbeitsunfähigkeit belegbar, weil die telefonische Krankschreibung bei gerade einmal 0,8 bis 1,2 Prozent aller Krankschreibungen liegt (Zahlen bis 2024). Das kann also nicht den ach so hohen Krankenstand begründen.

Einen möglichen Effekt auf vermeintliches „Blaumachen“ könnte man vielleicht in stärker aufkommenden Videosprechstunden sehen, allerdings liegt deren Anteil auch bei unter einem Prozent. Online-Krankschreibungen über Tele-Gesundheitsanbieter wie Teleclinic könnten ebenso als mögliche Quelle massenhaften Blaumachens gesehen werden, weil es hier doch relativ einfach sein kann, an eine Krankschreibung zu kommen. Nur sind Anbieter wie Teleclinic zugleich auch auf das Gesundheitswesen angepasste Abrechnungsoptimierer: Jede Videosession eine neue Ärzt*in, um möglichst alle Abrechnungsziffern immer voll mitnehmen zu können. Das Ganze dann digital skaliert, um mit möglichst wenigen Kosten viel Ertrag aus dem Gesundheitswesen ziehen zu können. Grundlage für so ein wirtschaftsoptimiertes Gesundheitsunternehmen wie Teleclinic schuf aber ausgerechnet das Gesetz zur digitalen Modernisierung von Versorgung und Pflege aus dem Jahr 2021. Minister damals war ein gewisser Jens Spahn (CDU), das sollte der Transparenz halber dann doch gesagt werden.

Diese Finte mit dem „Hier, ein Blaumacher, der dem Sozialsystem auf der Tasche liegt“ geht also eher nach hinten los. Die Koalition scheint das inzwischen auch verstanden zu haben, wird doch jetzt vom Pragmatismus bei Krankschreibungen gesprochen, wie auch immer der juristisch und praktisch genau funktionieren soll.

Aber vielleicht ist der Wirbel um die telefonische Krankschreibung ja auch eher Ablenkung von weiteren Vorhaben.

Kapitel 2: Geheimnisdienst

Allein die letzten Tage waren von unzähligen unschönen politischen Finten geprägt, auf unterschiedlichen Ebenen. Eine Chatkontrolle, die über einen Verfahrens­trick auf EU-Ebene doch wieder möglich gemacht wurde. Ein Bundespolizeigesetz, das im letzten Änderungsantrag noch schnell die Möglichkeit biometrischer Echtzeitüberwachung schuf. Schau! Hinter dir! Hier schnell ein Änderungsantrag und eine neue Abstimmung! Als netzpolitisch engagierte Person kannst du gar nicht so schnell gucken. Mit Transparenz und nachvollziehbarer Politik hat das nichts mehr zu tun. Ein solches Verhalten muss geradezu als Versuch gewertet werden, sich bewusst demokratischer Kontrolle zu entziehen.

Mehr Möglichkeiten bei gleichzeitig weniger Kontrolle wollen auch der Bundesnachrichtendienst und der Verfassungsschutz, die zu „echten“ Geheimdiensten werden sollen, wie Anna, Daniel und Markus zum Entwurf der Reform des Nachrichtendienstrechts feststellen.

Fintenreich ist im Gesetzentwurf die Formulierung etwa im Kontext von Schwachstellen von IT-Sicherheitssystemen. Unter anderem geht es darum, „Schwachstellen in Wert bringen zu können“. „Vor allem im Bereich der 0‑Day-Schwachstellen schafft die Übermittlung einen erheblichen Mehrwert.“ Alles, was an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet wird, soll unverzüglich mit den Nachrichtendiensten geteilt werden. Das BSI würde damit zu einem Hoflieferanten für Schwachstellen, wie Dennis-Kenji Kipker bei heise schreibt.

Aus Sicht der Sicherheitsforschung oder betroffener Organisationen und Unternehmen ergibt sich hier ein mehrfaches Dilemma in der aktuellen Situation: Das verantwortungsvolle Melden von Sicherheitslücken würde dazu führen, dass der deutsche Geheimdienst Schwachstellen „in Wert bringen möchte“ oder, deutlich formuliert, vielmehr offensiv ausnutzen wird. Das kann nicht im Sinne der Sicherheit an sich sein, denn Sicherheitslücken schauen nicht auf die Nation derer, die sie ausnutzen, sie sind einfach ein Risiko für alle.

Das BSI würde also von der Community der IT-Sicherheit mit Misstrauen beäugt werden, weil es zur Zusammenarbeit mit Geheimdiensten gesetzlich verpflichtet wäre. Für eine Behörde, deren Sinn und Zweck es ist, IT-Sicherheit und damit Vertrauen in digitale Systeme zu schaffen, wäre das eine Hypothek, die letztlich zu weniger IT-Sicherheit führen wird – für uns alle.

Das bewusste Offenhalten von Sicherheitslücken führte bei großen staatlichen Akteuren in der Historie ohnehin nicht selten zu erheblichen Problemen, weil selbst diese Akteure schon nicht unbedingt alles geheimhalten konnten, was diese in ihrem offensiven Cyber-Arsenal haben. Große Cyberattacken wie WannaCry und NotPetya, beide erfolgten 2017, hatten ihren Ursprung in Schwachstellen, die über die Shadow Brokers wohl aus den Arsenalen amerikanischer staatlicher Cyber-Akteure kamen.

Die Finte mit dem Verweis auf Bedrohungen von außen, die unbedingt mit allen Mitteln abgewehrt werden müssen, geht also wieder nach hinten los und streut nur Misstrauen und Unsicherheit, die uns alle negativ betreffen würde.

Kapitel 3: Die Informationsfreiheit

In die vor Misstrauen und zweifelhaftem Demokratieverständnis strotzenden Gesetzesvorhaben reiht sich zuletzt eine Maßnahme, die geradezu unbeschränktes Vertrauen in das Handeln staatlicher Organisationen suggeriert. Im Eckpunktepapier wird im Bereich des Bürokratierückbaus das Informationsfreiheitsgesetz erwähnt. Es soll „weiterentwickelt werden“. Die fintenreiche Formulierung der Weiterentwicklung ist eigentlich de facto eine Abschaffung des Informationsfreiheitsgesetzes (IFG).

Der Widerstand gegen diese Pläne ist infolgedessen entsprechend groß, von ganz unterschiedlichen Seiten. Journalist*innen und deren Organisationen wie etwa das Europäische Zentrum für Presse- und Medienfreiheit sind tief besorgt über die Auswirkungen auf die Pressefreiheit und sehen die Gefahr, dass Korruption, die Veruntreuung öffentlicher Gelder und andere Missstände unentdeckt bleiben. Die Bundesdatenschutzbeauftragte hält die Pläne folgerichtig für undemokratisch. Es gibt einen offenen Brief von einem breiten Bündnis von mehr als 100 Organisationen.

Nichts im geplanten Gesetzesvorhaben, was bisher als Grund für eine Anpassung des IFGs vorgebracht wurde, ist belastbar. Anfragen, die die öffentliche Sicherheit gefährden würden, können heute schon abgelehnt werden. Schwärzungen der Namen von Beschäftigten in der Verwaltung sind ebenso möglich und bei vielen Behörden gang und gäbe. Keines der Schutzargumente ist glaubhaft bei kritischer Prüfung.

Es ist, um auf die ehemalige Justizministerin Sabine Leutheusser-Schnarrenberger (FDP) zu verweisen, nichts anderes als ein Vorwand, eine Finte. Ein dreiköpfiger Affe, da schau! Hinter dir! Informationsfreiheit ist „eben der Aufwand, der in einer Demokratie anfällt“, wie Leutheusser-Schnarrenberger das treffend zusammenfasst.

Am Ende dieser Kolumne bleibt nach den letzten Tagen eine Frage übrig: Guybrush Threepwood will mit seinen Finten auf den dreiköpfigen Affen ja irgendwie ein Pirat sein. Bei vielen aktuellen Gesetzesvorhaben stellt sich die Frage, was die tollpatschig bis fintenreich agierende Regierung eigentlich sein will? Steigbügelhalter für autoritäre Zustände? Quelle von Misstrauen, das die soziale Schieflage noch weiter verstärken könnte? Bereiter einer Wirtschaftsherrschaft, einer Korporatokratie?

In einem solchen politischen System wird das Digitale dann weniger zu einem Hilfsmittel für Transparenz, Demokratie und Teilhabe sein, sondern zu einem Herrschaftsinstrument werden. Es ist der Regierung dringend anzuraten, sich der Folgen und der Wahrnehmung ihres Handelns gewahr zu werden. Denn aktuell fühlen sich Teile der Bevölkerung wahrscheinlich wie Guybrush Threepwood nach einer ziemlich sinnfreien Übung im Schwertkampf:

I can’t help but feel I’ve been ripped off.
I’m sure you’re feeling something similar.

Offenlegung: Die Autorin ist ehrenamtlich Vorsitzende des Innovationsverbunds Öffentliche Gesundheit e.V., der zu den Unterzeichnern des offenen Briefes gegen die Abschaffung des Informationsfreiheitsgesetzes gehört.