Wenn Altsysteme zur Zeitbombe werden: Was der One-Medical-Angriff über M&A-Sicherheit verrät

Dieser Fall verdient besondere Aufmerksamkeit, weil er ein Muster sichtbar macht, das weit über das Gesundheitswesen hinausreicht. Wer ein Unternehmen übernimmt, übernimmt nicht nur dessen Kunden und Umsatz, sondern auch dessen Datenschulden. Altsysteme laufen nach einer Übernahme häufig weiter, weil die Migration aufwendig ist und andere Prioritäten drängen. Das Resultat: Jahre später liegen Daten auf Systemen, die in keinem aktuellen Sicherheitskonzept mehr auftauchen – und von niemandem aktiv überwacht werden.

Das ist kein Amazon-Problem. Es ist ein strukturelles Problem jeder Übernahme, bei der die IT-Sicherheit nachrangig behandelt wird.

Die eigentliche Schwachstelle war dabei nicht Amazon selbst, sondern ein externer Dienstleister, dessen Speichersystem kompromittiert wurde. Damit wiederholt sich das Muster, das wir zuletzt beim Angriff auf den Abrechnungsdienstleister deutscher Universitätskliniken gesehen haben: Die eigenen Systeme bleiben intakt – die Angreifer kommen durch die Lieferkette. Die Angriffsfläche eines Unternehmens endet nicht an den eigenen Systemgrenzen. Sie umfasst jeden Partner, jeden Dienstleister und jede übernommene IT-Infrastruktur, die noch irgendwo läuft.

Was folgt daraus?

• M&A-Prozesse brauchen ein Sicherheits-Audit der übernommenen Systeme – nicht irgendwann, sondern als fester Bestandteil des Integrationsprozesses. Wer das überspringt, übernimmt blinde Flecken.
• Drittanbieter müssen in das eigene Risikomanagement einbezogen werden – auch dann, wenn sie nur archivierte Daten halten. Archivierte Gesundheitsdaten sind für Angreifer genauso wertvoll wie aktuelle.
• Datensparsamkeit ist keine Empfehlung, sondern eine Schutzmaßnahme – Daten, die nicht mehr gebraucht werden, sollten gelöscht werden. Gesundheitsdaten von 2019 sind 2026 noch genauso verwertbar wie damals.

Die Lehre aus dem One-Medical-Angriff ist dieselbe wie aus jedem vergleichbaren Vorfall der vergangenen Jahre. Cyberresilienz beginnt nicht im Sicherheitscenter des eigenen Unternehmens. Sie beginnt bei der Frage, wer eigentlich für die Systeme verantwortlich ist, die im Hintergrund laufen – und ob irgendjemand weiß, dass es sie noch gibt.