Der für Staubsauger- und Rasenmähroboter bekannte Hersteller Ecovacs ist offenbar Opfer eines IT-Einbruchs geworden. Die kriminelle Online-Bande Space Bears behauptet, dort umfangreich Daten abgesaugt zu haben, und droht deren Veröffentlichung an.

Bislang ist lediglich der Eintrag im Darknet-Auftritt der Ransomware-Bande Space Bears aufgetaucht. Demnach haben die Täter circa zwei Terabyte an Daten gestohlen. Welcher Art diese Daten sind, erklären sie jedoch nicht.

Es könnte sich um Daten aus der Entwicklung handeln. Potenziell sind aber auch sensible Kundeninformationen betroffen – die Haushaltsroboter erstellen in der Regel Karten von Räumen oder Gärten, um sich darin kontrolliert zu bewegen.

Unterschiedliche Roboterarten

Der chinesische Hersteller hat mehrere populäre Geräteklassen im Portfolio, die recht weite Verbreitung gefunden haben. Die Deebot-Staubsauger- und Wischroboter etwa, oder die Winbot-Fensterputzautomaten sowie die Mähroboter der Goat-Reihe sind populär und verkaufen sich etwa auf Amazon teils tausendfach jeden Monat.

Eine Anfrage von heise online hat Ecovacs nicht umgehend beantworten können, eine Bestätigung des IT-Vorfalls steht daher noch aus. Wir liefern Herstellerinformationen hier nach, sofern wir sie erhalten.

Die Cybergang Space Bears behauptete bereits Ende des Jahres 2024 beim französischen IT-Sicherheits- und Cloud-Dienstleister Atos Daten nach einem Einbruch kopiert zu haben. Das Unternehmen konnte bis Silvester 2024 keine Belege für eine Kompromittierung oder Ransomware auf etwaigen Atos- oder Eviden-Systemen finden. Drei weitere Tage später legte Atos nach und schrieb, dass die Behauptungen von Space Bears unbegründet seien und dass der Hersteller nicht kompromittiert worden sei. Es ist daher gut möglich, dass Space Bears auch dieses Mal nur bluffen.

(dmk)

Chinesische Angreifer sind mit viel Geduld in die IT nordamerikanischer Einrichtungen eingedrungen und haben dort umfangreich spioniert. Das berichtet Googles Threat Intelligence Group (GTIG). Betroffen sind demnach Forschungseinrichtungen, Militär, Behörden und andere Organisationen in Kanada sowie den USA. Spätestens im September 2023 drangen die Angreifer in Redcap-Server ein; dies sind Electronic Data Capture Server, die für die Sammlung wissenschaftlicher Daten, insbesondere bei klinischen Studien, genutzt werden.

Weil solche Studien lange laufen können, erlaubt Redcap den parallelen Betrieb auch älterer Softwareversionen. Dabei können Sicherheitslücken offen bleiben, nach denen die als UNC6508 bezeichneten Angreifer suchen. In einem konkreten Fall den die GTIG beschreibt, haben die Täter nach ihrem Eindringen drei Monate zugewartet, bevor sie Malware namens Infinitered installiert haben.

Infinitered sammelt Zugangsdaten, öffnet eine Hintertür für spätere Zugriffe auf das System, und infiziert drei Redcap-Systemmodule; Letzteres stellt sicher, dass Inifinitered bei jedem Update der Serversoftware eingenistet bleibt. Ein weiteres Jahr verstrich, bevor sich die Angreifer der geernteten Zugangsdaten in ein Administratorkonto einloggten. Damit konnten sie auf andere Ressourcen im Netz der betroffenen Organisation zugreifen.

Content Compliance als Bumerang

Dabei nutzten sie eine Funktion als Hebel, mit der die Organisation den E-Mail-Verkehr ihrer Mitarbeiter auf verpönte Inhalte überwacht (Domain Content Compliance Rules). Die Täter legten eine lange Liste von Stichworten an und E-Mail-Adressen an. Enthielt ein E-Mail einen dieser Suchbegriffe, wurde es automatisch heimlich mittels BCC: an eine von den Angreifern kontrollierte Gmail-Adresse weitergeleitet.

So erhielten die Angreifer fremde Daten frei Haus. Die GTIG hat UNC6508 mit hoher Wahrscheinlichkeit der Volksrepublik China zugeordnet. Eine offenbar manuell erstellte Stichwortliste gibt Einblick darin, wofür sich die Auftraggeber speziell interessieren: konventionelle Waffen, offensive Software und andere Militärbelange, außenpolitische Strategien, Diplomatie, unbemannte Fahrzeuge, KI, medizinische Forschung und Pathogene, darunter das Chikungunya-Virus.

Die GTIG hat zahlreiche Opfer, die wohl all die Google Cloud nutzen, ausgemacht und verständigt. Zur Vorbeugung empfiehlt Google unter anderem konsequenten Einsatz von Zweifaktor-Authentifizierung (2FA), Gerätebindung von Cookies (DBSC) um etwaige Kopien unbrauchbar zu machen, das Anlegen von Logs und deren regelmäßige Auswertung, automatische Regeln zur Reduktion unautorisierter Ausleitung sensibler Daten, Einspielen aller Redcap-Update und aktive Ausschau nach Infinitered anhand verräterischer Spuren.

(ds)

In rund 350 verschiedenen Datenbanken lagern Gesundheitsdaten aus Deutschland. Zu den größten dieser sogenannten Medizinregister zählen das „Deutsche Herzschrittmacher-Register“ mit den Daten von mehr als einer Million Patient:innen oder das „TraumaRegister DGU“, das Daten von über 100.000 Personen enthält.

Gesundheitsministerin Nina Warken (CDU) will diese Daten für Forschende zugänglich machen. Dafür soll es einheitliche Vorgaben und Qualitätsstandards geben, das steht im Regierungsentwurf des Medizinregistergesetzes, der derzeit im Bundestag verhandelt wird. Ein neues Zentrum für Medizinregister (ZMR) soll die Register auf Datenschutz und Datenqualität prüfen. Qualifizierte Register werden dann in einem Verzeichnis aufgeführt, dürfen zu einem festgelegten Zweck kooperieren und auch anlassbezogen Daten zusammenführen.

In einer Anhörung des Gesundheitsausschusses am vergangenen Mittwoch äußerten verschiedene Verbände und Fachleute deutliche Kritik an den Regierungsplänen: Der Entwurf verstoße gegen europäisches Recht, es drohe die Gefahr einer Reidentifizierung von Personen und die Widerspruchsmöglichkeiten der Patient:innen seien unzureichend. Abhilfe könne teilweise ein Änderungsantrag der Grünen schaffen, für den sich einige der Sachverständigen aussprachen.

Regelungen zum Datenschutz seien „mangelhaft“

Am deutlichsten fiel die Kritik von Thilo Weichert vom Netzwerk Datenschutz Expertise aus. Er bescheinigte dem Regierungsentwurf, „gegen Europarecht sowie nationales Verfassungsrecht“ zu verstoßen. Als Grund führte der ehemalige Landesdatenschutzbeauftragte von Schleswig-Holstein an, dass die Regierung zentrale grundrechtliche Vorgaben und deren Konkretisierung in der europäischen Datenschutz-Grundverordnung (DSGVO) missachte. Der Entwurf sei daher „mangelhaft“.

Die DSGVO sieht vor, dass Betroffene bei jeder sie betreffenden Datenverarbeitung informiert werden müssen. Die Bundesregierung will die Betreiber von Medizinregister jedoch nur dazu verpflichten, allgemein und einmalig über die Zwecke ihrer Datenbank zu informieren. Die Betroffenen könnten so nicht nachvollziehen, was mit ihren Daten passiert, so Weichert: „Ich bin sehr skeptisch, dass diese Regelung dann vor dem Europäischen Gerichtshof oder auch vorm Bundesverfassungsgericht standhält.“

Außerdem seien die Schutzvorkehrungen für die Register unzureichend, was für die Betroffenen „ein lebenslanges, unverhältnismäßiges Risiko“ bedeute. Dass das Gesetz eine Speicherdauer der Gesundheitsdaten von bis zu 100 Jahren vorsehe, vergrößere dieses Problem noch, sagte Weichert. Angesichts einer solchen Zeitspanne könne die Regierung nicht ernsthaft von einer Löschfrist sprechen.

Das Risiko der Reidentifizierung

Auch die Bundesärztekammer kritisiert in ihrer Stellungnahme den unzureichenden Datenschutz.

Der Gesetzentwurf sieht vor, dass die Daten qualifizierter Medizinregister miteinander verknüpft werden können. Die Betreiber sollen dafür registerübergreifende Pseudonyme auf Grundlage des unveränderbaren Teils der Krankenversichertennummer von Versicherten (KVNR) erstellen. Damit aber lägen den Registerbetreibern faktisch sowohl die identifizierenden Klardaten der Betroffenen als auch die pseudonymisierten Daten vor. Medizinregister sollten jedoch grundsätzlich nur mit pseudonymisierten Daten arbeiten, so die Forderung der Bundesärztekammer. Außerdem sollte die Registerarchitektur konsequent dem Grundsatz der Datenminimierung folgen.

Auch Thilo Weichert warnte vor der Gefahr der Reidentifizierung. Der Entwurf trage dazu bei, dass die Krankenversichertennummer zu einem „Kennzeichen von allgemeiner Bedeutung“ für den Gesundheitsbereich werde. Damit erhöhe sich das Risiko der Reidentifizierung massiv. Es bedürfe dann nur noch „eines geringen Zusatzwissens“, so Weichert in der Anhörung, um festzustellen, zu wem ein Datensatz gehört.

Bei der Krankenversichertennummer handele es sich gemäß der DSGVO zudem um eine „nationale Kennziffer“. Eine solche Ziffer ist aber nur dann zulässig, wenn der Persönlichkeitsschutz der Betroffenen gewahrt bleibt, erklärte Weichert. Garantien dafür sehe der Gesetzentwurf nicht vor.

Widerspruchsrechte stärken

Die Bundesarbeitsgemeinschaft Selbsthilfe unterstrich, dass der Datenschutz insbesondere für vulnerable Gruppen wichtig ist. „Wir haben Menschen, die HIV-infiziert sind, unter unseren Mitgliedern. Da ist natürlich der Datenschutz ein ganz großes Thema“, sagte Siiri Ann Doka vom Dachverband, der bundesweit mehr als einhundert Selbsthilfeverbände behinderter und chronisch kranker Menschen vertritt.

Die BAG Selbsthilfe sehe sich in einem Zwiespalt, sagte Doka. Einerseits begrüße ihr Verband es, wenn Medizinregister eingerichtet werden. Andererseits gebe es „erhebliche Risiken für die Daten der Patienten“. Dieses Spannungsverhältnis ließe sich auflösen, wenn Patient:innen stärker eingebunden werden. Alle stehen vor der gleichen Frage: „Will ich die Forschung fördern und im Grunde anderen auch Hilfestellung für ihre Erkrankung geben? Oder muss ich mich auf den Schutz meiner Daten konzentrieren?“

Zur Patientenbeteiligung zähle auch, dass Betroffene eine Möglichkeit erhalten, sich möglichst barrierearm darüber zu informieren, was mit ihren Daten passiert, und deren Nutzung gegebenenfalls differenziert widersprechen zu können, sagte Doka. Die BAG Selbsthilfe spreche sich daher für eine zentrale Vertrauensstelle aus, die auch die Widersprüche von Patient:innen aufnehme.

Forderung nach einer unabhängigen Vertrauensstelle

Der Verband greift damit einen Änderungsantrag der Fraktion Bündnis 90/Die Grünen auf. Er sieht vor, eine unabhängige Vertrauensstelle beim Robert Koch-Institut einzurichten. Sie soll unter anderem Pseudonymisierungsverfahren vereinheitlichen und Widersprüche von Patient:innen entgegennehmen.

Auch die Bundesdatenschutzbeauftragte stellt sich hinter diesen Vorschlag. Die Vertrauensstelle könne „einen wesentlichen Beitrag zu einer einheitlichen und transparenten Registerlandschaft leisten“ und zugleich die Betroffenenrechte stärken, schreibt Louisa Specht-Riemenschneider in ihrer Stellungnahme. Allerdings betont sie, dass dann geklärt werden müsse, wie die Vertrauensstelle finanziell und personell ausgestattet wäre.

Das hier mit Blick auf den Regierungsentwurf grundsätzlich Klärungsbedarf besteht, hat die Anhörung ebenfalls gezeigt. Denn für das neue Zentrum für Medizinregister sieht das Gesetz bislang gerade einmal vier Personen vor. „Wie wollen Sie so die notwendige fachliche Kompetenz zusammenbekommen“, fragte der sichtlich entgeisterte Thilo Weichert am Mittwoch, „um die zahlreichen Aufgaben zu erfüllen, die ein solches Zentrum wahrnehmen muss?“

Auch diese Frage sollte der Bundestag noch klären, bevor er im Plenum über den Gesetzentwurf abstimmt.