Der Hackerangriff auf die Stiftung Radix legt tiefliegende Schwächen im Umgang mit Gesundheitsdaten offen
Der Angriff auf die Schweizer Stiftung Radix stellt eine Zäsur im Umgang mit digitalen Gesundheitsdaten dar. Über 1300 Personen wurden Opfer eines Cyberangriffs, bei dem hochsensible Informationen in die Hände einer kriminellen Hackergruppe gelangten und anschließend im Darknet veröffentlicht wurden.
Ein digitales Trauma mit realen Folgen
Im Fokus steht das "Zentrum für Spielsucht und andere Verhaltenssüchte", das im Auftrag der Schweizer Casinos arbeitet und Personen auf ihre Spieltauglichkeit überprüft.
Die betroffenen Daten stammen aus psychologischen Einschätzungen, finanziellen Auswertungen und therapeutischen Sitzungen. Es geht nicht nur um abstrakte Datenpunkte – sondern um Lebensgeschichten, persönliche Notlagen und private Schicksale.
Was wurde veröffentlicht?
Die im Darknet verbreitete Datenmenge von 1,3 Terabyte enthält unter anderem:
- Adress- und Kontaktdaten
- Schuldenübersichten, Betreibungen, Kontoauszüge
- Lohn- und Arbeitgeberinformationen
- Protokolle von Einzel- und Gruppengesprächen
Ein Fall schildert etwa:
„Spielt täglich, nicht mehr kreditfähig, familiäre Belastung, Ehekrise. Hat Therapie abgebrochen.“
Noch brisanter: Auch besonders verletzliche Gruppen sind betroffen – etwa Rentner, Behördenmitarbeiter, Armeeangehörige. Diese könnten durch die Preisgabe ihrer Daten unter erhöhtem Erpressungsdruck stehen.
Verzögerte und verklausulierte Kommunikation
Ein zentraler Kritikpunkt ist die Art und Weise, wie die Stiftung Radix die Betroffenen über den Vorfall informierte. Zwar wurde laut eigenen Angaben versucht, per E-Mail, SMS oder Brief zu kommunizieren.
Doch viele Empfänger erkannten die Brisanz nicht – denn aus Datenschutzgründen wurde in den Nachrichten weder der Zusammenhang mit Spielsucht noch der Anlass des Schreibens deutlich.
Mehrere Personen erfuhren laut SRF erst durch Medien oder Journalisten vom Datenleck. Eine betroffene Person äußerte:
„Ich wusste nicht, dass ich betroffen bin. Die E-Mail habe ich zwar gesehen, aber sie schien belanglos.“
Datenschutzbeauftragte fordern klare Sprache
Die kantonale Datenschutzbeauftragte Dominika Blonski kritisierte die Kommunikationsstrategie der Stiftung:
„Wenn Sie Betroffene über einen so schwerwiegenden Vorfall informieren, dann müssen Sie sicherstellen, dass die Botschaft verstanden wird.“
Radix verweist in Stellungnahmen darauf, dass man Dritte nicht auf den Inhalt der Nachrichten aufmerksam machen wollte – etwa wenn Familienmitglieder Zugriff auf Postfächer oder Mobiltelefone haben. Die dadurch entstandene Unklarheit war jedoch für viele Betroffene belastend.
Technische Versäumnisse: Keine zusätzliche Sicherung von Gesundheitsdaten
Neben der Kommunikation stehen auch die technischen Schutzmaßnahmen von Radix in der Kritik. Interne Prüfungen und externe Forensikberichte zeigen, dass:
- Passwörter unverschlüsselt gespeichert wurden
- keine erweiterte Verschlüsselung für Gesundheitsdaten bestand
- die Zero-Day-Sicherheitslücke durch ein Mitarbeitergerät ausgenutzt wurde
- sich eine Datei mit internen Zugangsdaten unter den geleakten Dateien befand
Obwohl Radix angibt, seit dem Vorjahr in Cybersicherheit investiert zu haben, konnten die Angreifer offenbar mühelos in die Systeme eindringen. Nach dem Vorfall wurde die gesamte Infrastruktur erneuert und neue Sicherheitsrichtlinien eingeführt.
Neue Schutzmaßnahmen und Aufarbeitung
Seit Mitte Juli 2025 befindet sich die neu aufgebaute IT-Struktur im Betrieb. Die Stiftung versichert, alle internen Prozesse – insbesondere zur Datenhaltung – vollständig überarbeitet zu haben. Dazu zählen:
- Strikte Trennung sensibler Daten
- Gekürzte Löschfristen und archivierte Protokolle
- Zusätzliche Zugriffsbeschränkungen
- Regelmäßige Penetration-Tests
Zudem wurde eine Meldestelle eingerichtet, bei der sich Betroffene Unterstützung holen können.
Verantwortung übernehmen – aber wie weit?
In einer öffentlichen Erklärung betont die Geschäftsleitung von Radix, man sei „zutiefst erschüttert“ und trage Verantwortung. Dennoch bleiben Fragen offen:
Warum wurden bekannte Standards nicht früher umgesetzt? Warum wurden heikle Daten teils über Jahre aufbewahrt? Und wie können Institutionen in Zukunft sicherstellen, dass der Schutz digitaler Gesundheitsdaten nicht nur auf dem Papier existiert?
Der Vorfall bei Radix betrifft nicht nur eine Stiftung, sondern sendet ein Signal an das gesamte Gesundheitssystem. Der Umgang mit digitalen Informationen braucht klare Regeln, transparente Kommunikation und technische Standards auf hohem Niveau. Denn hinter jedem Datensatz steht ein Mensch – mit seiner Geschichte, seiner Verletzlichkeit und seinem Recht auf Schutz.
Quellen
Bildquelle