Hackerangriff auf Server von Apothekerverlag

Der Apotheker-Verlag wurde erst durch Recherchen des Nachrichtenmagazins “News” darauf aufmerksam, dem eine Festplatte zugespielt wurde. Es soll sich um 27 Millionen Datensätze mit 2.000 Patientennamen und 14.000 Verkaufsdaten handeln, darunter auch “Apothekeninformationen von Bundespräsident Heinz Fischer”, so das Magazin.

Zugriff zwischen 2006 und 2011

“Der illegale Zugriff dürfte zwischen 2006 und Mitte 2011 erfolgt sein. Dann haben wir die Sicherheitsvorkehrungen geändert, der Täter schaffte es offenbar nicht mehr, an die Daten heranzukommen”, sagte Martin Traxler, Geschäftsführer des Österreichischen Apotheker-Verlages, gegenüber der APA. Der betroffene Server steht im Eigentum des Österreichischen Apotheker-Verlages, der führender Software-Anbieter im Apothekensektor ist.

Der Hintergrund, so Traxler: “Aus dem Server, den wir aus Sicherheitsgründen nicht einmal im eigenen Haus stehen haben, wurden Daten von Apotheken analysiert, bei denen es Probleme mit unserer Software gegeben hatte. Ebenso wurden dort Daten bearbeitet, wenn eine Apotheke als neuer Kunde von unserer Software dazu kam und die Daten aus einer alten Software übertragen werden sollten. Nach diesen Arbeiten wurden sie jeweils wieder gelöscht.”

Daten vom Server gestohlen

Die Apotheken waren in den illegalen Angriff nicht involviert, sie hätten völlig korrekt gehandelt. “Wir können auf Grund der vorliegenden Daten aus inzwischen sechs Apotheken mit an Sicherheit grenzender Wahrscheinlichkeit davon ausgehen, dass die Daten von unserem Server durch illegalen Zugriff von außen gestohlen wurden”, so der Verlags-Geschäftsführer. Im Prinzip seien auf dem Computer Daten von bis zu 50 Apotheken vorübergehend vorhanden gewesen.

Auf die Misere war der Verlag über Recherchen von “News” gestoßen. So konnte – laut Traxler – das Medium genau nachfragen, ob namentlich bekannte Patienten an einem bestimmten Tag in den betroffenen Apotheken Arzneimittel erstanden hätten. Die Daten ließen sich hunderten Kunden zuordnen, hieß es in einer Aussendung des Magazins.

Strafanzeige eingebracht

Aufgrund des dringenden Tatverdachts haben der Apotheker-Verlag und die Österreichische Apothekerkammer sofort Strafanzeige bei der Staatsanwaltschaft eingebracht. “Für die Österreichische Apothekerkammer als Körperschaft öffentlichen Rechts stehen Datenschutz und Datensicherheit an oberster Stelle. Wir werden alles daran setzen, dass dieser illegale Hackerangriff lückenlos und rasch aufgeklärt wird”, erklärte Max Wellan, Präsident der Kammer.

Das Software-System des Verlages wird von rund 540 der 1.300 öffentlichen Apotheken in Österreich verwendet. Mit der Ende August ihn Deutschland und in Österreich ins Rollen gekommenen Debatte über die Weiterleitung anonymisierter Patientendaten von Ärzten an das Pharma-Marktforschungsinstitut IMS hat die aktuelle Angelegenheit nichts zu tun.

Leicht Rückschlüsse auf Erkrankung

Laut dem Nachrichtenmagazin “News” samt Faksimile-Bilder sind aus den Daten vom Server des Österreichischen Apotheker-Verlages Kundennummer, Sozialversicherungsnummer, Adresse, Telefonnummer und verschreibender Arzt, die Liste der abgegebenen Medikamente sowie der Zeitpunkt der Abgabe ersichtlich. Die Daten stammten von Apotheken in Wien, Salzburg, Tirol und Vorarlberg.

Aus dem Bericht in der neuesten Ausgabe des Magazins lässt sich gut ablesen, wie schnell man von den Arzneimitteln auf die Erkrankung eines Menschen schließen kann. Bei den zwischen 18. Mai 2006 und 6. Juli 2006 an eine “Martha” aus dem Bundesland Salzburg – so das Faksimile – abgegebenen Arzneimittel handelte es sich gleich um mehrere Antidepressiva (selektive Serotonin-Wiederaufnahme-Hemmer, ein Medikament mit binärem Effekt auf Noradrenalin und Serotonin), Herz- bzw. Blutdruckmedikamente (Betablocker, Kalziumantagonisten, ACE-Hemmer, Entwässerungsmittel), ein Blut verdünnendes Arzneimittel sowie um eine TBC-Medikament und ein Antibiotikum (häufig verwendet in der Zahnheilkunde). Klassischerweise “unverdächtig” ist hingegen ein in österreichischen Apotheken oft verkaufter Kräutertee.

Heinz Fischer als Kunde aufgeführt

Sowohl beim Apotheker-Verlag als auch in der Österreichischen Apothekerkammer verneinte man einen in dem Magazin-Artikel angeführten Verdacht, wonach Exponenten der Kammer und/oder des Apothekerverbandes Zugriff auf solche Daten hätten können oder dies haben wollten. Hier gehe es um Apothekendaten rund um den Verkauf von Apotheken oder um Pachtverhältnisse. Das könne man definitiv ausschließen, die Standesvertreter versuchten es auch gar nicht, hieß es beim Verlag. Dazu auch der Österreichische Apothekerkammerpräsident Max Wellan: “Das ist alles strikt getrennt.” Eine Zugriffsmöglichkeit gäbe es nicht. Und überhaupt: “Die Umsatzdaten einer Apotheke hat die Kammer ja über die Berechnung der Kammerumlage sowieso.” Alles andere sei unwichtig.

Laut Wellan dürften die gestohlenen Datensätzen unterschiedlichen Umfang haben. “Von Bundespräsident Heinz Fischer liegen keine Medikationsdaten vor”, erklärte er. Da sei offenbar nur vermerkt, dass dieser Kunde einer Apotheke gewesen sei.

 (APA)