Reha-Activ bestätigt Cyberangriff – Patientendaten betroffen
Öffentliche Bekanntmachung nach Art. 34 DSGVO – Gesundheits-, Versicherungs- und Zahlungsdaten können betroffen sein
Update 16.06.2026: Reha-Activ e.K. hat den Cyberangriff in einer öffentlichen Bekanntmachung nach Art. 34 Abs. 3 lit. c DSGVO bestätigt. Laut Unternehmen wurden Daten verschlüsselt und nach derzeitigem Kenntnisstand auch personenbezogene Daten kopiert und entwendet. Kriminalpolizei und LDI NRW sind informiert.
Auf einen Blick
Die Ransomware- und Erpressergruppe DragonForce hat das deutsche Medizintechnikunternehmen REHA-ACTIV auf ihrer Leak-Seite im Darknet veröffentlicht. Damit reiht sich das Unternehmen in eine wachsende Zahl europäischer Healthcare-Firmen ein, die derzeit Ziel professioneller Cybercrime-Gruppen werden. Die Veröffentlichung dient als Druckmittel – ein klassisches Double-Extortion-Muster.
Bekanntmachung nach Art. 34 Abs. 3 lit. c DSGVO
Rösrath, 16.06.2026 – Wichtige Information für Kundinnen, Kunden, Patientinnen und Patienten.
Was ist passiert?
„Unbekannte Täter haben sich unerlaubt Zugang zu unseren Computersystemen verschafft und sich dort über einen längeren Zeitraum aufgehalten. Am Ende haben sie Daten verschlüsselt und Geld gefordert. Nach derzeitigem Kenntnisstand ist davon auszugehen, dass dabei auch personenbezogene Daten kopiert und entwendet wurden." Der Vorfall wurde der Kriminalpolizei angezeigt, die LDI NRW informiert und IT-Sicherheitsfachleute hinzugezogen.
Wer kann betroffen sein?
Kundinnen und Kunden bzw. Patientinnen und Patienten, die mit Reha-Activ im Zusammenhang mit der Versorgung mit Reha- und Hilfsmitteln in Kontakt standen – sowie deren angegebene Angehörige.
Welche Daten können betroffen sein?
- Persönliche Angaben: Name, Anschrift, Telefonnummer, E-Mail
- Gesundheitsdaten: Diagnosen, Behandlungen, Hilfsmittel-Versorgung, Angaben zu einer Schwerbehinderung
- Versicherungsdaten: Kranken- oder Pflegeversicherungsnummer
- Zahlungsdaten: Bankverbindung / Kontodaten
- Wohnsituation (im Zusammenhang mit der Hilfsmittel-Versorgung)
WICHTIG: Schutz vor Folgebetrug
Kriminelle nutzen solche Vorfälle oft aus, um Betroffene ein zweites Mal zu täuschen – teils unter Nennung echter Daten. Reha-Activ stellt klar:
- Reha-Activ fragt niemals telefonisch, per E-Mail oder SMS nach Passwörtern, PINs, Bank- oder Kreditkartendaten.
- Reha-Activ fordert niemals Geldüberweisungen, um Daten zu „schützen" oder „freizukaufen".
- Bei unerwarteten Kontakten keine persönlichen Daten weitergeben, keine Links in verdächtigen E-Mails/SMS anklicken.
- Kontoauszüge prüfen, verdächtige Abbuchungen der Bank melden.
Info-Hotline: 02205 – 8000-0 (Mo–Fr 9–17 Uhr)
Aktuelle Infos: www.reha-activ.de
Datenschutzbeauftragter: Mike Emenako · [email protected]
Aufsichtsbehörde: LDI NRW, Postfach 20 04 44, 40102 Düsseldorf · 0211 38424-0 · [email protected]
Darknet-Listing – Fakten
Veröffentlicht
Juni 2026
Gruppe
DragonForce
Branche
Medizintechnik / Healthcare
Status
Offiziell bestätigt (16.06.2026, Art. 34 DSGVO)
Wer ist REHA-ACTIV?
REHA-ACTIV ist ein deutsches Medizintechnik- und Gesundheitsunternehmen, das seit mehr als 30 Jahren Menschen mit gesundheitlichen Einschränkungen unterstützt. Das Unternehmen ist u. a. in den Bereichen Rehatechnik, Hilfsmittelversorgung und Gesundheitsversorgung tätig. Gerade Healthcare-Unternehmen gelten als besonders sensible Ziele, da dort häufig personenbezogene Gesundheitsdaten, Patientendokumentationen, Verträge und interne medizinische Unterlagen verarbeitet werden.
Wer steckt hinter DragonForce?
DragonForce taucht seit einiger Zeit verstärkt im Umfeld von Ransomware- und Datenerpressungsangriffen auf. Die Akteure nutzen klassische Double-Extortion-Methoden:
Eindringen
Phishing, gestohlene Zugangsdaten oder Exploits ungepatchter Edge-Devices.
Exfiltration
Sensible Daten werden vor der Verschlüsselung systematisch abgezogen.
Verschlüsselung & Erpressung
Ransomware-Deployment auf Server- und Endgeräte-Ebene, Lösegeldforderung.
Leak-Veröffentlichung
Bei Nichtzahlung Veröffentlichung der Daten auf der eigenen Darknet-Seite.
Warum Healthcare-Unternehmen besonders attraktiv sind
Hohe Verfügbarkeitsanforderungen
Kritische Systeme dulden kaum Ausfallzeiten – maximaler Erpressungsdruck.
Sensible Gesundheitsdaten
Patientenakten und medizinische Unterlagen sind besonders schützenswert.
Zeitdruck bei Betriebsunterbrechungen
Versorgung und Verwaltung dürfen nicht stillstehen – Angreifer wissen das.
Komplexe IT-Landschaften
Altsysteme und Speziallösungen erschweren konsistente Härtung.
Was behauptet DragonForce?
Auf der Leak-Seite wurde REHA-ACTIV mit einem eigenen Eintrag versehen. Reha-Activ hat den Vorfall inzwischen bestätigt: Daten wurden verschlüsselt, Lösegeld gefordert und nach derzeitigem Kenntnisstand auch personenbezogene Daten kopiert und entwendet. Die Listung im Darknet dient – wie bei vielen modernen Ransomware-Gruppen üblich – als Druckmittel, um Verhandlungen oder Lösegeldzahlungen zu erzwingen.
Was Unternehmen jetzt tun sollten
Der Fall zeigt erneut, wie wichtig moderne Sicherheitsmaßnahmen geworden sind. Besonders relevant sind 2026:
Konsequente MFA
Mehrfaktor für alle Admin-, VPN- und Cloud-Zugänge – ohne Ausnahmen.
Netzwerksegmentierung
Medizingeräte, Office-IT und Verwaltung strikt trennen.
XDR / SOC-Überwachung
24/7-Telemetrie auf Endpoints, Server und Cloud-Workloads.
Offline-Backups
Air-gapped Backups + getestete Restore-Prozesse.
Patch-Management
Geregelte Update-Zyklen für OS, Hypervisor und Edge-Devices.
Darknet-Monitoring
Frühwarnung bei geleakten Zugangsdaten und Unternehmensnennungen.
Awareness & Schulung
Phishing-Erkennung und sicheres Verhalten regelmäßig trainieren.
Incident Response
Dokumentierter Plan + getestete Eskalationskette – nicht erst im Ernstfall.
💡 Frühe Erkennung entscheidet: Ob ein Angriff gestoppt werden kann oder Angreifer sich wochenlang unbemerkt im Netzwerk bewegen, hängt fast immer von der Detection-Geschwindigkeit ab.
Aktueller Stand
Reha-Activ hat den Cyberangriff am 16.06.2026 offiziell bestätigt und Betroffene über eine Bekanntmachung nach Art. 34 DSGVO informiert. Untersuchungen durch Kriminalpolizei, IT-Sicherheitsfachleute und Datenschutz-Aufsicht (LDI NRW) laufen. Wasacon beobachtet die Entwicklung weiter.
Wasacon in deiner Region
Healthcare-IT-Security, Darknet-Monitoring und EDR/XDR für Unternehmen im Kreis Heinsberg und Umgebung:
Häufige Fragen
Darknet-Check & Healthcare-IT-Audit
Wasacon prüft, ob dein Unternehmen bereits im Darknet auftaucht – und ob deine IT-Architektur gegen moderne Double-Extortion-Angriffe gehärtet ist.
Ransomware & Healthcare – tiefer in die Recherche
Mehr Hintergrund zu DragonForce, Healthcare-Angriffen und Sofortmaßnahmen:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Rechtlicher Hinweis: wasacon.com erwirbt, exfiltriert, lädt herunter, besitzt, hostet, greift auf, konsultiert, verbreitet oder veröffentlicht keine unrechtmäßig erlangten Daten. Diese Plattform indexiert ausschließlich öffentlich sichtbare Informationen, die von Ransomware-Betreibern und offenen Webquellen veröffentlicht wurden, ohne auf die zugrunde liegenden gestohlenen Inhalte zuzugreifen oder diese zu erlangen. Der Dienst wird zur Unterstützung des öffentlichen Bewusstseins, der legitimen Forschung und der Cyber-Resilienz bereitgestellt. Über diese Website werden keine gestohlenen persönlichen oder vertraulichen Daten gesammelt oder verbreitet.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
