Eine warnende Geschichte: Lehren aus dem Datenleck bei Star Health Insurance

Im August 2024 sorgte ein Cyberangriff auf Star Health Insurance für Schlagzeilen, da das Unternehmen Opfer eines massiven Datenlecks wurde. Über 31 Millionen Kunden – etwa so viele wie die Bevölkerung Malaysias – sahen sich mit der Offenlegung ihrer persönlichen Daten konfrontiert. Namen, Adressen, Steuerdaten, Krankengeschichten – Informationen, die eigentlich privat bleiben sollten, waren plötzlich den Angreifern schutzlos ausgeliefert. 

Dieser Vorfall ist kein Einzelfall. Er ist vielmehr Teil eines besorgniserregenden Trends. Cyberkriminelle nehmen zunehmend Unternehmen aus dem Gesundheits- und Versicherungswesen ins Visier. Warum? Weil diese Organisationen über hochsensible und wertvolle Daten verfügen und ihnen oft die notwendigen Sicherheitsvorkehrungen fehlen, um diese Daten zu schützen. 

Laut einem Bericht von IBM ist das Gesundheitswesen seit 13 Jahren in Folge der teuerste Sektor für Datenschutzverletzungen; die durchschnittlichen Kosten einer Datenschutzverletzung beliefen sich im Jahr 2023 auf 10.93 Millionen US-Dollar.

Ein kurzer Überblick über das Geschehen 

Ein Hacker mit dem Pseudonym „xenZen“ behauptete, in die Systeme von Star Health eingedrungen zu sein und 7.24 Terabyte sensibler Daten entwendet zu haben. Und jetzt wird es – um es mal vorsichtig auszudrücken – interessant: Der Datenverstoß wurde erst am 20. September bekannt, nicht etwa durch die Veröffentlichung seitens Star Health, sondern durch die Vorgehensweise des Hackers.

Die Vorgehensweise des Hackers

Was diesen Datendiebstahl so besonders machte, war nicht nur das Ausmaß oder die Menge der gestohlenen Daten – es war die Vorgehensweise der Hacker. XenZen nahm sich nicht einfach nur fremdes Eigentum; sie machten es zu einer Waffe. Mithilfe von Telegram-Chatbots schufen sie eine beunruhigend einfache Benutzeroberfläche, die es jedem ermöglichte, sensible persönliche Daten abzurufen.

Zu guter Letzt forderte der Hacker ein Lösegeld in Höhe von 68,000 Dollar – eine so lächerlich geringe Summe, dass sie die Missachtung des Ausmaßes der angerichteten Verwüstung verdeutlichte.

Die Auswirkungen des Datenlecks auf Star Health

Der Datenverstoß ließ die Aktien von Star Health nach Bekanntwerden der Nachricht um 11 % einbrechen . Doch der finanzielle Schaden war erst der Anfang. Vertrauen – ein Gut, das viel schwerer wiederherzustellen ist – wurde schwer beschädigt. Hinzu kommen die nicht quantifizierbaren Folgen: potenzielle Geschäftsabschlüsse, die nicht zustande kommen, und Chancen, die stillschweigend verloren gehen, da Kunden und Partner es sich zweimal überlegen, ob sie inmitten einer solchen Krise mit einem Unternehmen zusammenarbeiten wollen.

Dies wirft die Frage auf: Was blieb unkontrolliert?

Der Datendiebstahl bei Star Health legte nicht nur Daten offen, sondern enthüllte eklatante Sicherheitslücken, die viel zu lange unentdeckt blieben. Jeder einzelne Fall erzählt von verpassten Gelegenheiten, die Kontrollen zu verstärken und bessere Sicherheitsvorkehrungen zu treffen.

Identitätsdiebstahl und Missbrauch von Zugangsdaten 

Eine der schockierendsten Enthüllungen betraf die Vorgehensweise des Hackers: Er gab sich als CISO des Unternehmens aus. Mithilfe der offiziellen E-Mail-Zugangsdaten des CISO spann der Angreifer ein Netz aus Lügen und Täuschungen, das den Sicherheitschef ins Rampenlicht rückte. Doch wie Cybersicherheitsexperten anmerkten, ist die Darstellung widersprüchlich. Die Zugangsdaten, die mit dem Datenleck in Verbindung gebracht wurden, ließen sich auf einen Vorfall aus dem Jahr 2022 zurückführen – einen Vorfall mit Infostealer-Malware.

Ausnutzung von IDOR 

Kern des Sicherheitsvorfalls war eine Schwachstelle in der API von Star Health – eine sogenannte Insecure Direct Object Reference (IDOR)-Sicherheitslücke. Nach dem Eindringen nutzte der Hacker diese Sicherheitslücke aus, um auf sensible Daten zuzugreifen und mehrere Sicherheitsebenen zu umgehen. IDOR-Probleme sind zwar nicht neu, doch ihre anhaltende Präsenz in Systemen zeigt, wie viel unbemerkt bleiben kann, wenn APIs nicht gründlich getestet werden. 

Insider-Risikoprobleme 

Die Behauptungen des Hackers über die Beteiligung von Insidern, so unbestätigt sie auch sein mögen, verdeutlichen dennoch ein wichtiges Problem: den Umgang von Unternehmen mit privilegierten Konten. Ob es sich nun um kompromittierte Zugangsdaten oder einen Insider handelte, der den Zugriff missbraucht hat – der Vorfall unterstreicht die Notwendigkeit einer ständigen Überwachung, wer worauf Zugriff hat und wie dieser Zugriff genutzt wird.

Verspätete Antwort 

Am verheerendsten war wohl, wie lange es dauerte, bis der Sicherheitsvorfall entdeckt wurde. Als Star Health endlich davon erfuhr, war der Schaden bereits außer Kontrolle geraten. Der Hacker hatte Telegram-Chatbots und eine Website eingerichtet, um Daten zu verbreiten, sodass das Unternehmen die Folgen bekämpfen musste, anstatt sie zu verhindern.

Der Datendiebstahl bei Star Health ist eine deutliche Erinnerung daran, dass Compliance allein nicht gleichbedeutend mit Sicherheit ist.

Was sollten Sie daraus mitnehmen?

Ein bestandenes Audit oder ein Konformitätszertifikat schützen nicht vor Hackern. Wahre Sicherheit bedeutet, Resilienz aufzubauen, sich an Bedrohungen anzupassen und die eigenen Abwehrmaßnahmen ständig zu überprüfen. Es geht darum, eine Denkweise der Überprüfung, Wachsamkeit und proaktiven Maßnahmen in allen Bereichen des Unternehmens zu verankern.

Verifikation gegenüber Annahmen 

Zu lange haben Unternehmen Compliance als Sicherheitsgarantie betrachtet. Tatsächlich bieten Compliance-Rahmenwerke jedoch Orientierung, aber keinen Schutz. Eine SOC-2-Zertifizierung beispielsweise stellt sicher, dass zu einem bestimmten Zeitpunkt Kontrollmechanismen vorhanden sind . Was aber geschieht, wenn diese Kontrollen nicht mehr mit den sich ständig weiterentwickelnden Cyberbedrohungen Schritt halten?

Passworthygiene neu erfinden 

Kommen wir zum Elefanten im Raum: Passwörter sind nach wie vor eine große Schwachstelle. Der Datendiebstahl bei Star Health ließ sich auf durchgesickerte Zugangsdaten aus einem Malware-Angriff von 2022 zurückführen. Drei Jahre lang kursierten diese Zugangsdaten im Darknet und warteten darauf, missbraucht zu werden.

Unternehmen müssen ihre Passwortverwaltung grundlegend überarbeiten:

• Mitarbeiter sollten nicht mit unzähligen Varianten von „Password123“ jonglieren müssen. Passwortmanager generieren und speichern komplexe, einzigartige Passwörter für jedes Konto. Tools wie LastPass, Dashlane oder Bitwarden reduzieren menschliche Fehler und gewährleisten, dass keine zwei Passwörter identisch sind.
• Die Multi-Faktor-Authentifizierung (MFA) bietet eine entscheidende zweite Schutzebene. Selbst wenn ein Passwort kompromittiert wird, benötigt der Angreifer weiterhin Zugriff auf ein physisches Gerät oder biometrische Daten, um in das Konto einzudringen.
• Machen Sie es zur Richtlinie, dass Passwörter niemals wiederverwendet werden, und implementieren Sie Kontrollen, um sicherzustellen, dass alte Zugangsdaten, die mit Sicherheitslücken (wie denen im Jahr 2022) in Verbindung stehen, sofort gelöscht werden.

Kontinuierliche Risikoüberwachung 

Cyberbedrohungen richten sich nicht nach Ihrem Zeitplan. Sie sind unerbittlich , entwickeln sich ständig weiter und nutzen jede Gelegenheit. Wer sich auf regelmäßige Sicherheitsüberprüfungen verlässt, hinkt immer hinterher.

So sieht kontinuierliches Risikomonitoring in der Praxis aus:

• Bedrohungsanalyse in Echtzeit: Investieren Sie in Tools, die Daten über neu auftretende Bedrohungen sammeln und analysieren. 
• Verhaltensanalyse: Achten Sie auf Anomalien in der Benutzeraktivität. Wenn ein Mitarbeiter beispielsweise um Mitternacht plötzlich Gigabytes an Daten herunterlädt oder sich von einem unbekannten Gerät anmeldet, sollte Ihr System dies sofort melden.
• Endpunkterkennung und -antwort (EDR): Herkömmliche Antivirensoftware reicht nicht aus. EDR-Lösungen bieten Echtzeitüberwachung und automatisierte Reaktionen auf verdächtige Aktivitäten auf Endgeräten wie Laptops und Servern.

Wenn Sie sich dadurch für kontinuierliche Überwachung interessieren und die Daten Ihres Unternehmens schützen möchten, sollten Sie Folgendes überprüfen: SprintoSo können wir Ihnen helfen: 

1. Sprinto Durchsucht Ihre Systeme kontinuierlich nach Schwachstellen und stellt so sicher, dass potenzielle Bedrohungen erkannt werden, bevor sie sich zu Sicherheitslücken ausweiten.
2. Lassen Sie sich sofort benachrichtigen, wenn etwas Ungewöhnliches passiert, damit Sie schnell reagieren und den Schaden minimieren können.
3. Unsere Plattform automatisiert die Einhaltung von Vorschriften und überwacht gleichzeitig aktiv Ihren Sicherheitsstatus, sodass Sie sich nicht zwischen der Einhaltung von Standards und der Gewährleistung von Sicherheit entscheiden müssen – beides gehört zusammen.

Und mit SprintoIhre Sicherheit entwickelt sich mit Ihrem Unternehmen weiter und gewährleistet so, dass Sie auch bei neuen Bedrohungen geschützt bleiben.

APIs sichern 

APIs sind allgegenwärtig. Sie ermöglichen Integrationen, verbinden Systeme und teilen Daten – doch ungesicherte APIs sind auch eine Einladung für Angreifer. Der Datendiebstahl bei Star Health nutzte eine API-Schwachstelle (IDOR), um auf sensible Daten zuzugreifen.

• Stellen Sie sicher, dass jede API durch starke Authentifizierung und Ratenbegrenzung geschützt ist. Verhindern Sie, dass Angreifer sich durch Brute-Force-Angriffe Zugang zu Ihren Systemen verschaffen.
• APIs entwickeln sich ständig weiter, und mit jeder Änderung steigt das Risiko neuer Sicherheitslücken. Überprüfen und testen Sie Ihre APIs regelmäßig, um Schwachstellen wie IDOR oder fehlerhafte Objektauthentifizierung zu identifizieren.
• Implementieren Sie die Prinzipien des Zero Trust Networking. Gehen Sie niemals von einem Vertrauensverhältnis zwischen Systemen aus. Authentifizieren und validieren Sie jede Anfrage, selbst wenn sie aus Ihrem Netzwerk stammt.

Insiderrisiken präzise managen 

Auch wenn es dramatisch klingen mag, gibt es im Hindi ein Sprichwort, das sinngemäß besagt: „Es sind die eigenen Leute, die einen am meisten verletzen.“ Selbst wenn die Handlungen nicht vorsätzlich sind, sind Menschen für 90 % der Datenschutzverletzungen verantwortlich.

Dem kann man entgegenwirken durch: 

• Rollenbasierte Zugriffskontrollen (RBAC): Der Zugriff auf sensible Daten sollte rollenspezifisch beschränkt werden. Ein Mitarbeiter im Marketing benötigt keinen Zugriff auf Finanzdatenbanken, und auch IT-Mitarbeiter sollten differenzierte Berechtigungen erhalten.
• Überwachung privilegierter Konten: Verfolgen und protokollieren Sie die Aktivitäten privilegierter Konten. Sollte ein Administratorkonto plötzlich auf nicht zugehörige Systeme zugreifen, untersuchen Sie dies umgehend.

Und vor allem: Kultur – ein Begriff, der oft zu leblosen PowerPoint-Folien, oberflächlichen Sicherheitschecks oder gelegentlichen Vorträgen und Webinaren verwässert wird. Doch Kultur lässt sich nicht durch eine Präsentation oder eine vierteljährliche Schulung verordnen. Wahre Sicherheitskultur entsteht mit der Zeit durch wirkungsvolles Handeln, inspirierendes Verhalten und konsequent gelebte Werte.

Es beginnt an der Spitze, mit Führungskräften, die mit gutem Beispiel vorangehen und Sicherheit fest in der DNA des Unternehmens verankern. Verstärkt wird dies durch ein Umfeld, in dem sich Mitarbeitende verantwortlich fühlen, aber keine Angst haben – wo sie Phishing-Versuche ohne Furcht vor Repressalien melden können. Eine Sicherheitskultur entsteht, wenn Sicherheit Teil des täglichen Arbeitsablaufs wird und nicht erst im Nachhinein berücksichtigt wird. Sie wird durch kontinuierliches Engagement, offene Gespräche über Risiken und Verantwortlichkeiten sowie spielerische Initiativen aufgebaut, die die Teilnahme angenehm und nicht mühsam gestalten. 

Vor allem geht es um Vertrauen – darum, sicherzustellen, dass jeder seine Rolle beim Schutz der Organisation versteht, ohne sich von Fachjargon oder mit Richtlinien überfrachtet zu fühlen.

Aufbauend auf den Grundlagen

Der Datenverstoß bei Star Health war nicht nur ein technisches Versagen, sondern auch ein Versagen der Denkweise. Allzu oft konzentrieren sich Unternehmen auf die Einhaltung von Vorschriften, anstatt auf Sicherheit. Compliance sieht zwar gut aus, schützt aber nicht vor Angriffen. Entscheidend ist eine Sicherheitsmentalität , die Sicherheit an erste Stelle setzt – ein Wandel, der von Unternehmen verlangt, über Checklisten und Audits hinauszugehen und sich den harten Realitäten ihrer Schwachstellen zu stellen.

Sicherheit durch Design 

Sicherheit muss jedoch in die DNA Ihres Unternehmens integriert werden. Jede Entscheidung – ob es um Infrastruktur, APIs oder Integrationen von Drittanbietern geht – muss unter Berücksichtigung der Sicherheit getroffen werden.

Das heisst:

• Entwicklung von Systemen, in denen sensible Daten segmentiert, verschlüsselt und durch mehrere Schutzebenen geschützt werden.
• Regelmäßige Überprüfungen selbst vermeintlich vertrauenswürdiger interner Prozesse sind unerlässlich, um Schwachstellen aufzudecken. Hätte Star Health beispielsweise routinemäßige API-Sicherheitsprüfungen durchgeführt, wäre die IDOR-Schwachstelle möglicherweise vor ihrer Ausnutzung entdeckt worden.

Sicherheit durch Design bedeutet nicht, Systeme absolut lückenlos zu machen (denn kein System ist das jemals); es geht vielmehr darum sicherzustellen, dass Angreifer selbst im Falle eines Einbruchs nicht ungehindert agieren können. Eine gute Sicherheitsarchitektur schafft mehrere Hürden und erschwert Angreifern die Arbeit dadurch um ein Vielfaches.

Grundierungen gut Reibung

Jahrelang waren Unternehmen darauf bedacht, Reibungsverluste zu minimieren – für Kunden, Mitarbeiter und Lieferanten. Doch im Bereich der Sicherheit ist ein gewisses Maß an Reibung sogar von Vorteil. Sind Prozesse zu reibungslos, werden Systeme leichter angreifbar.

Nehmen wir interne Zugriffskontrollen als Beispiel:

• Schlechte Reibung zwingt die Mitarbeiter, unnötige Schritte für Routineaufgaben durchzuführen, was zu Umgehungslösungen und Nichteinhaltung der Vorschriften führt.
• Gute Reibung erfordert Genehmigungen, die Überwachung risikoreicher Aktionen und die Sicherstellung, dass sensible Aktionen (wie API-Änderungen) Warnmeldungen oder eine mehrschichtige Authentifizierung auslösen.

Prävention neu denken 

Der Datendiebstahl bei Star Health beweist, dass Prävention nicht immer möglich ist. Ein versierter Angreifer findet letztendlich einen Weg hinein. Die entscheidende Frage ist: Wie leicht haben Sie es ihm gemacht?

Wenn Ihre Systeme so konzipiert sind, dass sensible Daten sofort weitergegeben werden, sobald jemand eine Verteidigungsebene durchbrochen hat, liegt das Problem nicht nur im Sicherheitsvorfall selbst, sondern auch in Ihrer Architektur. Der Weg des Angreifers vom ersten Zugriff bis zur Datenexfiltration sollte lang, mühsam und voller Fallstricke sein . Zum Beispiel:

• Warum konnte der Hacker auf sensible Kundendaten zugreifen, ohne dass sofort Warnsignale ausgelöst wurden?
• Warum wurden veraltete Zugangsdaten nicht gesperrt oder in den Systemen gekennzeichnet?
• Warum wurde der API-Datenverkehr nicht auf ungewöhnliche Muster, wie beispielsweise das Volumen der abgerufenen Daten, überwacht?

Man kann nicht jeden Sicherheitsverstoß verhindern, aber man kann dafür sorgen, dass er nicht zu einer Katastrophe eskaliert.

Verantwortlichkeit statt Selbstzufriedenheit 

Die größte Veränderung, die Unternehmen brauchen, ist nicht technischer, sondern psychologischer Natur. Zu viele Firmen behandeln Sicherheit als PR-Maßnahme, als Auszeichnung, mit der sie bei Verkaufsgesprächen prahlen können. ISO-zertifiziert? SOC-2-konform? Schön und gut. Aber sind Sie wirklich sicher?

Sicherheit bedeutet, schwierige Fragen zu stellen:

• Haben wir unsere Systeme auf Ausfallsicherheit getestet? Nicht nur ein Penetrationstest, sondern eine umfassende Fehlersimulation – was passiert, wenn Zugangsdaten kompromittiert oder eine API missbraucht werden?
• Verstehen die Mitarbeiter ihre Rolle im Sicherheitsbereich? Unternehmenskultur entsteht nicht durch PowerPoint-Präsentationen. Sie wird aufgebaut, indem man Mitarbeitern verdeutlicht, warum Sicherheit wichtig ist – nicht nur für das Unternehmen, sondern auch für sie persönlich. Wenn sich eine Phishing-Simulation eher wie ein Test als wie eine Lernerfahrung anfühlt, läuft etwas schief.
• Gehen wir systemische Schwachstellen an und nicht nur Symptome? Eine einzelne Sicherheitslücke nach einem Sicherheitsvorfall zu beheben, ist wie ein Loch in einem sinkenden Schiff zu flicken. Man muss die Ursachen angehen, sei es mangelnde Überwachung, schlechte Passwortsicherheit oder unzureichende Schulung.

Für alle in Indien hier noch ein paar zusätzliche Tipps:

Indien hinkt in Sachen Cybersicherheitsbewusstsein und -vorsorge noch hinterher. Sicherheitslücken wie die von Star Health verdeutlichen systemische Defizite, die indische Unternehmen beheben müssen, um ihre Abwehr zu stärken. Folgendes muss sich ändern:

Richtlinien von CERT-In

Die Richtlinien von CERT-In stellen die Mindestanforderungen dar, nicht die Höchstanforderungen. Die Meldung von Sicherheitsvorfällen innerhalb von sechs Stunden ist gut, aber wie sieht es mit der Erkennung des Vorfalls überhaupt aus? Unternehmen müssen:

• Führen Sie regelmäßige Überprüfungen ihrer Systeme und Prozesse durch.
• Gehen Sie über die Einhaltung gesetzlicher Vorschriften hinaus und wenden Sie global anerkannte Rahmenwerke wie NIST CSF oder CIS Controls an.

Lokale Bedrohungsanalyse 

Indienspezifische Bedrohungen wie der Missbrauch von Aadhar oder gezielte Phishing-Angriffe erfordern lokale Expertise. Sie müssen in Tools und Teams investieren, die diese Nuancen verstehen, anstatt sich ausschließlich auf globale Lösungen zu verlassen.

Und hier ein Appell an den Vorstand: Gebt den CISOs die Autorität, die ihnen zusteht. 

In Indien mangelt es CISOs oft an Befugnissen und Ressourcen, um sinnvolle Veränderungen durchzusetzen. Unternehmen müssen CISOs als strategische Partner und nicht nur als Compliance-Beauftragte behandeln. Das bedeutet:

• Ihnen einen Platz am Tisch bei Vorstandssitzungen zu geben.
• Bereitstellung ausreichender Budgets für proaktive Sicherheitsmaßnahmen.
• Sie für langfristige Sicherheit verantwortlich zu machen, nicht nur für reaktive Lösungen.

Der Weg nach vorn

Der Weg in die Zukunft erfordert mehr als nur Tools oder Frameworks – er erfordert einen grundlegenden Mentalitätswandel. Unternehmen müssen Sicherheit in ihre Unternehmenskultur integrieren, proaktive Maßnahmen wie kontinuierliches Monitoring einführen und überdenken, wie sie Führungskräfte wie CISOs unterstützen. Es geht darum, kritische Fragen zu stellen, konstruktive Reibungspunkte zu schaffen und Systeme zu entwickeln, die Sicherheitslücken nicht nur verhindern, sondern ihnen auch im Ernstfall standhalten können.

Häufig gestellte Fragen