Auf den Punkt: Nach dem Ransomware-Angriff der Gruppe Kairos auf den niedersächsischen Wirtschaftsprüfverein Arwini bestätigt die Polizei einen Datenabfluss, dessen tatsächliches Ausmaß noch nicht geklärt ist.
Nach einem Cyberangriff auf die Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen (Arwini e. V.) bestätigt die Polizeidirektion Hannover einen Datenabfluss aus dem System der Prüfstelle. Das genaue Ausmaß ist weiterhin ungeklärt.
Arwini verarbeitet im Auftrag der gesetzlichen Krankenkassen und der Kassenärztlichen Vereinigung Niedersachsen (KVN) Gesundheits- und Abrechnungsdaten gesetzlich Versicherter, um die Wirtschaftlichkeit ärztlicher Verordnungen zu prüfen. Für den Angriff verantwortlich ist die Ransomware-Gruppe Kairos, wie die Polizei gegenüber heise online bestätigte. Zuerst berichtet hatte die Hannoversche Allgemeine Zeitung (HAZ). Arwini erklärte, dass im ungünstigsten Fall bis zu 75.000 Datensätze betroffen sein könnten. Der externe Datenschutzbeauftragte des Vereins, Jürgen Recha, teilte auf Anfrage mit, dass noch unklar sei, ob und welche Daten tatsächlich abgeflossen sind. Auch die Authentizität der von Kairos veröffentlichten Beispielposts auf der Leaksite der Gruppe könne er nicht beurteilen. Angaben zur konkreten Datenhaltung und technischen Verarbeitung machte Arwini nicht. Die AOK erklärte gegenüber der HAZ, dass ihre eigenen Systeme nicht betroffen seien.
Laut einem Sprecher der KVN übermittelt diese quartalsweise pseudonymisierte Datensätze an die Prüfstelle. Patientendaten sind dabei anonymisiert, enthalten sind jedoch arztbezogene Angaben wie Arztnummern und Betriebsstättennummern, damit die Prüfstelle wirtschaftliche Auffälligkeiten einzelnen Praxen zuordnen kann. Die Identität von Ärzten und Praxen ist damit grundsätzlich nachvollziehbar. Eine Prüfvereinbarung aus dem Jahr 2022 sieht zudem vor, dass im Zweifelsfall weitere Informationen wie die Versichertennummer angefordert werden können.
Kairos droht mit dem Verkauf eines Datensatzes von 2,87 Terabyte, der seit dem 11. Mai auf der Leaksite der Gruppe gelistet ist. Diese Größenordnung steht in deutlichem Widerspruch zu den von Arwini genannten 75.000 möglicherweise betroffenen Datensätzen; ob die Angreifer tatsächlich Daten in diesem Umfang erbeutet haben, ist bislang nicht verifiziert. Auf der Leaksite sind Beispieldateien einsehbar, überwiegend Schriftverkehr zwischen Krankenkassen und Ärzten. Die Ermittlungsbehörden stehen laut Polizei im internationalen Austausch, unter anderem mit spanischen Ermittlern.
Beim Landesbeauftragten für den Datenschutz in Niedersachsen ist inzwischen eine Meldung über die Datenschutzverletzung eingegangen. Ob diese fristgerecht erfolgte, wird derzeit geprüft. Die Behörde verweist zudem auf die Informationspflichten gegenüber Betroffenen: Personen, deren Daten möglicherweise betroffen sind, müssen nach Artikel 34 DSGVO unverzüglich informiert werden, sofern ein voraussichtlich hohes Risiko für ihre Rechte und Freiheiten besteht und keine Ausnahmen greifen.
Quelle: www.heise.de · Erschienen 18. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.