Datenschutzvorfall bei D-Trust: Angriff auf Antragsportal für elektronische Signatur- und Siegelkarten

+++ Update zu den Nachrichten vom 20. und 23.01.2025 +++

Die D-Trust GmbH, ein Unternehmen der Bundesdruckerei-Gruppe, ist Ziel eines Cyberangriffs auf das Antragsportal für Signatur- und Siegelkarten geworden. D-Trust gibt unter anderem den elektronischen Heilberufsausweis (eHBA) und Praxisausweise (SMC-B) heraus. Der Angriff wurde laut D-Trust am 13. Januar 2025 festgestellt. Dabei seien „möglicherweise personenbezogene Daten von Antragstellern entwendet worden. Ausgegebene Signatur- und Siegelkarten wurden nicht kompromittiert und können weiter genutzt werden. PINs, Passwörter, Zahlungsinformationen sowie andere Systeme sind nicht betroffen.”

Die BLZK bittet alle Mitglieder, die einen eHBA von D-Trust besitzen oder beantragt haben, um besondere Vorsicht gegenüber Phishing-Mails oder auch Anrufen, in denen persönliche Informationen abgefragt werden.

D-Trust erklärt zum Vorfall weiter:

„Nach Aufdecken des Angriffs hat D-Trust umgehend die Situation ausgewertet und Sofortmaßnahmen ergriffen, um den Schutz der Daten im Portal sicherzustellen. Die entsprechenden Aufsichtsstellen wurden benachrichtigt, die Betroffenen werden individuell informiert. Es wurde Strafanzeige gegen Unbekannt gestellt. Ein spezialisiertes IT-Sicherheitsteam der D-Trust arbeitet eng mit den zuständigen Behörden zusammen, um die Hintergründe des Angriffs aufzuklären. Die D-Trust bedauert die dadurch entstehenden Umstände und steht bei Rückfragen unter kontakt@d-trust.net zur Verfügung.“

Weiter meldet die D-Trust, am 23. Januar 2025 sei ein Schreiben des Chaos Computer Clubs eingegangen, in dem der Verein die Verantwortung für den Angriff auf das Antragsportal einem „anonymen Sicherheitsforscher“ zuschreibe. Dieser habe nach eigenen Angaben Anfang Januar Daten aus dem Antragsbearbeitungssystem entwendet und im Nachgang gelöscht, so dass den Betroffenen kein weiterer Schaden entstehe. Laut D-Trust werden die in dem Schreiben gemachten Aussagen aktuell ausgewertet.

Information für die Zahnärztinnen und Zahnärzte in Bayern

Hat ein Zahnarzt oder eine Zahnärztin im Antragsportal von D-Trust vor dem 13. Januar 2025 einen Antrag gestellt, könnten die Daten – wie oben geschildert – gehackt worden sein. Laut Erklärung von D-Trust sind die Funktion und Sicherheit der elektronischen Heilberufsausweise von dem Cyberangriff nicht beeinträchtigt.

Vorgehen der BLZK

Die BLZK hat unmittelbar nach der Bekanntgabe des Datenschutzvorfalls durch D-Trust erste Informationen zum Sachverhalt am 20. Januar 2025 online veröffentlicht und befindet sich in enger Abstimmung mit der Bundeszahnärztekammer und den Landeszahnärztekammern.

Ebenfalls wurde unter Wahrung der 72-Stunden-Regel der Landesdatenschutzbeauftragte in Bayern informiert. Es besteht ein Auftragsdatenverarbeitungsvertrag zwischen der BLZK und der D-Trust GmbH, aus dem sich die Pflicht ergibt, dass wir alle Mitglieder informieren, deren Daten von dem Vorfall betroffen wurden. Die BLZK hat betroffene Zahnärztinnen und Zahnärzte per Brief benachrichtigt. Für die SMC-B hat die KZVB zuständigkeitshalber entsprechende Maßnahmen getroffen.

Fragen & Antworten (Q&A) zum Cyberangriff auf D-Trust

Welche Ausweisdaten sind genau betroffen?

Es sind keine Kopien von Ausweisen oder Bilddateien/Fotos entwendet worden. Personenbezogene Daten aus den D-Trust vorliegenden Identifizierungen beziehen sich immer auf Namen, Geburtsdaten, E-Mail-Adresse und/oder Adress- und Ausweisdaten.

Ist eine Sperrung der möglicherweise betroffenen Ausweisdokumente notwendig?

Der Identitätsdiebstahl kann viele Facetten haben. Im Zusammenhang mit „Phishing" sollten Sie immer aufmerksam sein, wenn Sie Anfragen per E-Mail oder Telefon erhalten. Bitte seien Sie in den kommenden Monaten besonders wachsam beziehungsweise sensibilisieren Sie Ihre Nutzer entsprechend. Informationen zum Thema finden Sie unter anderem auf der Internetseite des Bundesamts für Sicherheit in der Informationstechnik (Webseite des BSI unter „Methoden der Cyber-Kriminalität").

In Zweifels- oder Verdachtsfällen wenden Sie sich bitte immer direkt an Ihren Ansprechpartner bei der D-Trust oder an kontakt@d-trust.net.

Zur Meldung von D-Trust auf deren Website: Datenschutzvorfall bei der D-Trust