Oracle in der Kritik, weil das Unternehmen zu zwei Hacks schweigt

Fast einen Monat lang blieb der Datendiebstahl bei Oracle Health unbemerkt. Nun erpresst ein Hacker namens "Andrew" amerikanische Krankenhäuser. Besonders brisant ist aber die Art und Weise, wie der Tech-Gigant Oracle mit der Krise umgeht.

Hacker stehlen Patientendaten von Oracle-Health-Servern

Eine schwerwiegende Datenpanne bei Oracle Health hat zur Kompromittierung sensibler Patientendaten in zahlreichen US-Krankenhäusern geführt. Wie jetzt bekannt wurde, verschaffte(n) sich der oder die Angreifer Zugang zu Legacy-Servern der ehemaligen Cerner-Plattform, die Oracle im Jahr 2022 für 28 Milliarden Dollar (etwa 25,8 Milliarden Euro) übernommen hatte.

Nach Informationen, die Bleeping Computer vorliegen, ereignete sich der unberechtigte Zugriff nach dem 22. Januar 2025. Oracle Health bemerkte den Vorfall eigenen Angaben zufolge erst einen Monat später. Die Angreifer nutzten dabei gestohlene Kundenzugangsdaten, um auf die Server zuzugreifen und kopierten anschließend Daten auf einen externen Server.

Die betroffenen Gesundheitseinrichtungen werden inzwischen von einem Hacker erpresst, der sich "Andrew" nennt und Millionenbeträge in Kryptowährung fordert. Der Erpresser droht mit der Veröffentlichung oder dem Verkauf der gestohlenen Patientendaten und hat bereits Websites eingerichtet, um Druck auf die Krankenhäuser auszuüben.


Besonders kritisiert wird laut TechCrunch Oracles Umgang mit dem Vorfall. Das Unternehmen informierte betroffene Kunden zwar über die Datenpanne, weigert sich jedoch, die Patienten direkt zu benachrichtigen. Stattdessen überträgt Oracle die Verantwortung an die Krankenhäuser, zu prüfen, ob die Datenpanne gegen Datenschutzbestimmungen verstößt und entsprechende Mitteilungen erforderlich sind.

Nicht der einzige Vorfall

Die Datenpanne bei Oracle Health ist nicht der einzige Sicherheitsvorfall, mit dem der Technologiekonzern derzeit konfrontiert ist. Parallel wird von einer möglichen Kompromittierung der Oracle-Cloud-Anmeldedienste berichtet, bei der Authentifizierungsdaten von angeblich sechs Millionen Nutzern gestohlen wurden. Oracle hat diesen zweiten Vorfall bislang bestritten, obwohl mehrere unabhängige Sicherheitsexperten die Echtheit der gestohlenen Daten bestätigen.

Interne Quellen berichten von mangelnder Transparenz auch gegenüber den eigenen Mitarbeitern. Ein Oracle-Mitarbeiter erklärte gegenüber TechCrunch, dass Teams tagelang keinen Zugriff auf Kundenumgebungen hatten, ohne über die Gründe informiert worden zu sein.

Kritik an Oracles Kommunikationsstrategie

Sicherheitsexperten kritisieren Oracles Kommunikation scharf. Statt offizieller Mitteilungen auf dem Firmenbriefpapier erhielten betroffene Kunden lediglich einfache Schreiben. Zudem soll Oracle Health die Kommunikation auf Telefongespräche beschränkt und schriftliche Anfragen vermieden haben - eine Vorgehensweise, die den betroffenen Krankenhäusern die Dokumentation des Vorfalls erschwert. Es liegt der Verdacht nahe, dass das Unternehmen den Ball hier flach halten will, um den oder die Vorfälle möglichst herunterspielen zu können.

Was haltet ihr von Oracles Umgang mit diesem Datenleck? Sollten Unternehmen bei Sicherheitsvorfällen zu mehr Transparenz verpflichtet werden? Teilt eure Meinung in den Kommentaren!


Siehe auch: