Gigantischer Datenklau bei Krankenkasse AOK?
19 Millionen Versicherte könnten von möglichem AOK-Datenleck betroffen sein: Jetzt Schadensersatz sichern

Verbraucher müssen sich Sorgen um die Sicherheit ihrer Daten machen. Weltweit sind zahlreiche Organisationen durch eine Sicherheitslücke in der Software "MOVEit Transfer" bedroht, darunter auch mehrere Allgemeine Ortskrankenkassen (AOK) in Deutschland. Die betroffenen AOK sowie der AOK-Bundesverband hatten den Dienstleister TÜVIT mit der forensischen Analyse des Hackerangriffs beauftragt. Die Untersuchung habe keine Hinweise auf einen Abfluss von Sozialdaten geliefert. Sozialdaten umfassen persönliche Informationen über den Versicherten wie Adresse, Geburtsdatum, Rentenversicherungs- und Steueridentifikationsnummer. 

Das Online Magazin Heise zitierte folgendermaßen: "Im Rahmen einer forensischen Untersuchung hat der von der AOK-Gemeinschaft beauftragte Dienstleister TÜVIT die digitalen Spuren analysiert, die die Angreifer beim Zugriff auf die Datenaustausch-Software MOVEit Transfer hinterlassen haben. Dabei konnten bisher keine Hinweise darauf gefunden werden, dass über die Sicherheitslücke in der Software der Schutz von Sozialdaten verletzt worden wäre".

Betroffen vom AOK-Datenleck sind die Kassen aus Baden-Württemberg, Bayern, Bremen/Bremerhaven, Hessen, Niedersachsen, Rheinland-Pfalz/Saarland, Sachsen-Anhalt, AOK Plus in Sachsen und Thüringen sowie der Bundesverband . Diese Krankenkassen haben insgesamt etwa 19 Millionen Versicherte. Sofort nach Entdeckung des Datenlecks am 1. Juni 2023 wurden laut der Krankenkasse AOK Maßnahmen ergriffen, um die Datensicherheit zu gewährleisten. Zudem wurde das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert. 

Das BSI hat in einer Mitteilung vom 2. Juni 2023 bestätigt, dass es bei der Software "MOVEit Transfer" eine Sicherheitslücke gibt, die bereits aktiv ausgenutzt wird und es zu durch einen Datenleck zu einem Datenabfluss gekommen ist. Ob die AOK vom Datenabfluss betroffen ist, war für die Behörde unklar. Der IT-Sicherheitsdienstleister Mandiant berichtete, dass in zahlreichen Fällen große Mengen von Dateien aus den Systemen der Anwender gestohlen wurden. Das BSI stufte den Handlungsbedarf bei Unternehmen, die das Programm nutzen, als dringend ein. Sie sollten sofort die Updates des Herstellers installieren und ihre Systeme auf eine Kompromittierung und ein mögliches Datenleck überprüfen, da Hacker anscheinend seit einigen Tagen die Sicherheitslücke ausnutzen. Der Software-Anbieter hat bereits Sicherheits-Updates zur Verfügung gestellt. 

Versicherte der Krankenkasse AOK haben ganz grundsätzlich ein Recht darauf zu erfahren, ob sie vom aktuellen Datenleck betroffen sind. Das Unternehmen muss Ihnen nach Artikel 15 der europäischen Datenschutzgrundverordnung (DSGVO) innerhalb eines Monats darüber Auskunft erteilen. So sieht es auch Artikel 12 DSGVO vor. Letztlich könnte aus Sicht der Kanzlei Dr. Stoll & Sauer den betroffenen Mitgliedern durch das AOK-Datenleck ein sogenannter immaterieller Schaden entstanden sein, wenn hochsensible Daten gestohlen worden sind. Die Gefahr, Opfer von kriminellen Cyber-Attacken zu werden, ist enorm gestiegen. Auch ein Identitätsdiebstahl ist im Bereich des Möglichen. Und die Chancen auf Schadensersatz stehen gut.

Unsere Kanzlei beobachtet seit einigen Monaten, dass die meisten deutschen Gerichte für die betroffenen Verbraucher sehr großzügig bei Verstößen gegen die Datenschutzgrundverordnung (DSGVO) urteilen. Sie sprechen oft hohe Schadensersatzsummen den klagenden Verbrauchern zu. Beispielsweise hat das Landgericht Zwickau Facebook aufgrund eines Datenlecks zur Zahlung von Schadensersatz in Höhe von 1000 Euro verurteilt. Das Unternehmen hätte Vorkehrungen für die Verhinderung eines Datenlecks treffen müssen, so das Gericht in seiner Urteilsbegründung. Am Landgericht Oldenburg wurden in der Summe sogar 3000 Euro ausgeurteilt. 2000 Euro Schadensersatz für das Datenleck und 1000 Euro Schmerzensgeld für die verweigerte Auskunft, ob der Kunde vom Datenleck betroffen war oder nicht. In anderen Datenschutz-Fällen sind sogar bereits 5000 Euro Schadensersatz betroffenen Verbrauchern zugesprochen worden.

Am 4. Mai 2023 hat der Europäische Gerichtshof (EuGH) den Verbrauchern starken Rückenwind bei Verstößen gegen den Datenschutz gegeben. Im Mittelpunkt der Entscheidung stand die Frage, wann Unternehmen bei Datenschutzverstößen zur Zahlung von Schadensersatz verpflichtet sind. Gemäß dem EuGH-Urteil vom 4. Mai 2023 (Az.: C-300/21) besteht ein Anspruch auf Schadensersatz nur dann, wenn ein materieller oder immaterieller Schaden infolge eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) entstanden ist. Unsere Kanzlei betrachtet dieses Urteil als einen Erfolg für den Verbraucherschutz. Insbesondere durch unzureichenden Schutz personenbezogener Daten auf Plattformen wie Facebook, Deezer, Twitter und anderen kommt es zu Datenlecks. Der Fall bei der Krankenkasse AOK könnte ähnlich gelagert sein. Betroffene müssen in Zukunft mit negativen Konsequenzen rechnen, da ihnen ein Schaden entstanden ist und sie Ansprüche gegenüber den betreffenden Unternehmen geltend machen können. Nutzen Sie unseren Online-Check, um Ihre Situation zu überprüfen.