SickKids: Möglicher Diebstahl personenbezogener Daten nach Angriff auf Drittanbieter-Anwendung

Vorfall betraf Bewerbungsportal

Am 21. August 2026 meldete das Hospital for Sick Children in Toronto, Kanadas größtes Kinderkrankenhaus, einen neuen Cybersecurity-Vorfall mit möglichem Diebstahl personenbezogener Daten.

Der Angriff soll mit einer von einem Drittanbieter betriebenen Softwareanwendung zusammenhängen. Für einen gewissen Zeitraum war die Website für Bewerbungen nicht verfügbar. SickKids leitete daraufhin eine Untersuchung ein, um das Ausmaß des Zugriffs zu klären und festzustellen, welche Informationen möglicherweise abgegriffen wurden.

Das Krankenhaus machte keine Angaben dazu, wann der Angriff stattgefunden hat. Weder der Name der betroffenen Anwendung noch der verantwortliche Anbieter, die von den Angreifern eingesetzte Technik oder die Dauer einer möglichen Datenexposition wurden veröffentlicht.

Potenziell betroffen sind mehrere Personengruppen:

• aktuelle Beschäftigte;
• ehemalige Beschäftigte;
• Bewerberinnen und Bewerber;
• Beschäftigte verbundener Organisationen;
• Mitarbeitende der SickKids Foundation.

SickKids hat nicht konkretisiert, welche Datenkategorien tatsächlich exfiltriert wurden. Daher lässt sich derzeit nicht feststellen, ob der Vorfall ausschließlich administrative Informationen oder auch sensiblere arbeitsbezogene Daten betrifft.

Klinische Systeme und Patientendaten offenbar nicht betroffen

Nach Angaben des Krankenhauses waren weder klinische Systeme noch Patienteninformationen von dem Vorfall betroffen. Dadurch sind die unmittelbaren Auswirkungen auf die medizinische Versorgung begrenzt. Der Vorfall unterscheidet sich damit von einem Angriff, der Diagnosen, Therapien oder den Stationsbetrieb unterbrechen könnte.

Die mögliche Datenexposition betrifft vielmehr Personen, die aktuell oder in der Vergangenheit in einem beruflichen Verhältnis zu SickKids oder verbundenen Organisationen standen. Die in einer Recruiting- oder Personalmanagement-Anwendung gespeicherten Daten von Beschäftigten und ehemaligen Beschäftigten könnten Identifikationsdaten, Kontaktdaten oder Angaben zur Bewerbung enthalten. Das Krankenhaus hat diese Kategorien jedoch nicht bestätigt.

Auch bei den Bewerberinnen und Bewerbern ist unklar, ob alle Nutzerinnen und Nutzer des Portals oder nur eine Teilmenge betroffen sind. Die Untersuchung muss klären, auf welche Konten, Datensätze und Funktionen der Anwendung zugegriffen werden konnte.

Das Fehlen klinischer Daten beseitigt die Risiken für die Betroffenen nicht. Berufliche und personenbezogene Informationen können genutzt werden, um glaubwürdige Phishing-Nachrichten zu erstellen, sich als die Organisation auszugeben, gezielte Betrugsversuche durchzuführen oder Identitätsdiebstahl zu erleichtern.

Zweijährige Bonitätsüberwachung für Betroffene

SickKids erklärte, die potenziell betroffenen Personen direkt informiert zu haben. Den Betroffenen wurde außerdem eine zweijährige Bonitätsüberwachung angeboten.

Eine Bonitätsüberwachung kann dabei helfen, Kreditanträge, Kontoeröffnungen oder ungewöhnliche Änderungen im Zusammenhang mit der Identität eines Opfers zu erkennen. Sie verhindert jedoch nicht die missbräuchliche Verwendung der Daten und ersetzt keinesfalls Vorsicht bei eingehenden Nachrichten.

Wer eine Benachrichtigung erhält, sollte prüfen, ob sie tatsächlich vom Krankenhaus oder vom beauftragten Dienstleister stammt. Passwörter, Authentifizierungscodes oder Dokumente sollten nicht über Links übermittelt werden, die ohne unabhängige Prüfung per E-Mail oder SMS eingegangen sind.

Besondere Vorsicht ist außerdem bei Nachrichten geboten, in denen Bewerbungen, Sozialleistungen, Gehaltsabrechnungen, Versicherungen oder interne Abläufe erwähnt werden. Bei einem Betrugsverdacht sollte das Finanzinstitut direkt kontaktiert und der Vorfall über offizielle Kanäle gemeldet werden.

Indicators of Compromise wie Domains, E-Mail-Adressen, Schadsoftware-Dateien oder Hashes wurden nicht veröffentlicht. Daher lässt sich keine technische Liste von Elementen erstellen, nach denen Nutzerinnen und Nutzer auf ihren Geräten suchen könnten.

Ein früherer Ransomware-Angriff hatte bereits Teile des Krankenhauses lahmgelegt

Der neue Vorfall reiht sich in einen früheren Ransomware-Angriff auf SickKids aus dem Jahr 2022 ein. Damals waren mehrere Systeme nicht verfügbar; ihre Wiederherstellung dauerte Wochen.

Zu den betroffenen Komponenten gehörten:

• die Systeme der Krankenhausapotheke;
• Befunde aus der bildgebenden Diagnostik;
• interne Tools zur Erfassung der Arbeitszeiten des Personals.

Der Angriff wurde der LockBit-Operation zugerechnet. Die Gruppe erklärte später, sie habe sich beim Krankenhaus entschuldigt, kostenlos einen Decryptor bereitgestellt und den für die Aktion verantwortlichen Affiliate ausgeschlossen.

Der frühere Vorfall unterscheidet sich wesentlich vom aktuellen Ereignis. 2022 standen die betrieblichen Auswirkungen im Vordergrund, da vom Krankenhaus genutzte Systeme nicht verfügbar waren. Beim jüngsten Vorfall betrifft die bekannte Auswirkung dagegen eine Drittanbieter-Anwendung und den möglichen Zugriff auf Daten von Beschäftigten und Bewerbern.

Dennoch haben beide Vorfälle eines gemeinsam: die Abhängigkeit einer Gesundheitseinrichtung von Systemen, die nicht unbedingt klinischer Natur sind. Ein Bewerbungsportal verarbeitet möglicherweise keine direkten Behandlungsdaten, doch seine Kompromittierung kann Informationen offenlegen, die für nachfolgende Angriffe genutzt werden können.

Weitere aktuelle Fälle erhöhen den Druck auf das Gesundheitswesen

SickKids gehört zu mehreren Gesundheitseinrichtungen, die in derselben Woche einen Datenschutzverstoß bekannt gegeben haben.

Baylor Genetics berichtete, dass ein im Juni erfolgtes Datenleck Informationen zu medizinischen Tests, Laborergebnissen, Krankenversicherungen und Sozialversicherungsnummern umfasste. Diese Datenkategorien können potenziell für Finanzbetrug und Identitätsdiebstahl genutzt werden.

CareCloud, ein Anbieter von Systemen für elektronische Patientenakten, erklärte hingegen, dass ein im März aufgetretener Vorfall 3,7 Millionen Menschen betraf.

Die Fälle unterscheiden sich hinsichtlich Umfang und Art der betroffenen Daten, verdeutlichen jedoch dasselbe Problem: Die Angriffsfläche im Gesundheitswesen umfasst neben klassischen Krankenhaussystemen auch Dienstleister, administrative Plattformen, Cloud-Dienste und Anwendungen für das Personal.

Für den Fall SickKids wurden weder CVEs noch konkrete Schwachstellen oder technische Details genannt, die eine Zuordnung zu einer bekannten Sicherheitslücke ermöglichen würden. Ebenso wurde kein Eintrag im Katalog Known Exploited Vulnerabilities (KEV) der CISA genannt. Entsprechend gibt es weder ein Aufnahmedatum noch eine Frist zur Behebung, über die berichtet werden könnte.

Die Untersuchung muss klären, ob der Zugriff durch eine Schwachstelle in der Anwendung, kompromittierte Zugangsdaten, eine Fehlkonfiguration oder eine andere Technik ermöglicht wurde. Bis SickKids und der Anbieter weitere Informationen veröffentlichen, bleibt der Umfang der Kompromittierung auf die bislang kommunizierten Angaben begrenzt: möglicher Diebstahl personenbezogener Daten, eine vorübergehende Nichtverfügbarkeit des Recruiting-Portals und keine öffentlich bekannt gewordenen Hinweise auf einen Zugriff auf klinische Systeme oder Patientendaten.