IT-Sicherheit · Analyse
Diagnosebezogene Daten im Auswertungssystem: Der Cyberangriff auf HelloBetter
Am Abend des 6. September 2026 verschaffen sich Unbekannte Zugriff auf das Business-Intelligence-System des Hamburger DiGA-Anbieters HelloBetter und auf die damit verbundene Datenbank. Am Morgen des 7. September bemerkt das Unternehmen den Zugriff und beendet ihn. Bis dahin seien „Daten in bedeutsamen Umfang entwendet“ worden. So steht es in einem Schreiben nach Artikel 34 der Datenschutz-Grundverordnung, das heise online vorliegt und das in ähnlicher Form auch auf der Website des Anbieters veröffentlicht wurde. HelloBetter hat den Vorfall dem Bundesamt für Sicherheit in der Informationstechnik und dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit gemeldet.
HelloBetter ist die Marke der GET.ON Institut für Online Gesundheitstrainings GmbH mit Sitz in Hamburg. Das Unternehmen bietet digitale Therapieprogramme an, die Ärztinnen, Ärzte und Psychotherapeuten auf Rezept verordnen können. Sechs dieser Anwendungen sind dauerhaft im DiGA-Verzeichnis des Bundesinstituts für Arzneimittel und Medizinprodukte aufgenommen: für Stress und Burnout, Schlafstörungen, Panikstörungen, chronische Schmerzen, Depressionen bei Diabetes und Vaginismus. Schon aus der Nutzung eines bestimmten Programms lässt sich auf eine Diagnose schließen. Genau deshalb wiegt ein Abfluss aus einem Auswertungssystem hier schwerer als eine gewöhnliche Adressliste.
Der Fall ist ein Lehrstück über ein System, das oft neben der eigentlichen Anwendung steht: ein Werkzeug zur Datenauswertung, das Bestände zusammenführt, die in der Therapieanwendung selbst getrennt wirken. heise schließt aus den Gegenmaßnahmen des Unternehmens, dass dieses Werkzeug zuvor aus dem Internet erreichbar war und dass die Angreifer sich möglicherweise eigene Konten eingerichtet haben. HelloBetter selbst nennt weder das Produkt noch die ausgenutzte Schwachstelle. Genau das solltest du dir merken, wenn in deinem Unternehmen Analyseplattformen an Produktionsdaten hängen.
Das Auswertungssystem – und was die Gegenmaßnahmen verraten
HelloBetter bezeichnet das angegriffene System als Business-Intelligence-System und die damit verbundene Datenbank. heise ergänzt, es handele sich um ein Open-Source-Programm zur Datenauswertung; welches Produkt und welche Schwachstelle, sage das Unternehmen nicht. BI-Systeme sind dafür gebaut, Daten aus verschiedenen Quellen zusammenzuführen und auszuwerten – etwa, wie Programme genutzt werden. Genau diese Bündelung macht sie für Angreifer interessant: Was in der Therapieanwendung getrennt oder pseudonymisiert liegen mag, kann in der Auswertungsdatenbank wieder zusammenkommen.
Die zeitliche Abfolge ist kurz und folgenreich. Zugriff am Abend des 6. September, Entdeckung und Abbruch am Morgen des 7. September. Dazwischen liegt eine Nacht, in der nach Darstellung des Unternehmens bereits Daten „in bedeutsamen Umfang“ kopiert wurden. Eine Zahl, eine Liste der Tabellen oder eine Angabe, über wie viele Stunden der Zugriff bestand, enthält das veröffentlichte Schreiben nicht.
„Daten in bedeutsamen Umfang entwendet“
Die Gegenmaßnahmen sind die präziseste öffentliche Spur zum Einfallsweg, und sie müssen vorsichtig gelesen werden. HelloBetter hat den Zugriff auf eine ausschließlich intern erreichbare Verbindung beschränkt. Das legt nahe, dass das System zuvor von außen erreichbar war; es beweist nicht, über welche Lücke der Einstieg gelang, und es sagt nicht, ob ein Patch bereits verfügbar war. Das Unternehmen hat außerdem alle Konten und Berechtigungen entfernt, die im Untersuchungszeitraum angelegt wurden. Das legt nahe, dass im relevanten Zeitraum neue Zugänge entstanden – möglicherweise durch die Angreifer, möglicherweise auch aus anderen Gründen. heise formuliert das als Möglichkeit, nicht als festgestellte Tatsache. Dieselbe Zurückhaltung gilt hier.
Wer hinter dem Angriff steht, ist öffentlich nicht bekannt. Eine Erpressergruppe hat sich nach den ausgewerteten Berichten nicht zu dem Vorfall bekannt. HelloBetter selbst nennt keine Täter.
Welche Daten in Frage kommen – und warum schon die Diagnose wiegt
Nach dem aktuellen Stand der Untersuchung könnten Kontakt- und Stammdaten betroffen sein: E-Mail-Adresse, Name, Geburtsdatum und Versichertennummer. Dazu kommen Antworten aus Fragebögen, Angaben zum Programmverlauf, gegebenenfalls Freitexte aus Tagebuchfunktionen und Anfragen an den Support. Zahlungsdaten sind laut HelloBetter nicht betroffen. Eine Zahl der Betroffenen nennt das Unternehmen nicht.
Ein erheblicher Teil dieser Daten liege „pseudonymisiert und verschlüsselt“ vor, schreibt HelloBetter, könne aber nicht vollständig ausschließen, dass einzelne Informationen lesbar waren und Personen identifizierbar sind. heise weist zu Recht darauf hin, dass Pseudonymisierung und Verschlüsselung nicht dasselbe sind. Ob eine Verschlüsselung schützt, hängt vor allem davon ab, ob die Angreifer auch an die Schlüssel kamen. Einen Hinweis gibt die Maßnahme, alle möglicherweise betroffenen Zugangsdaten und Verschlüsselungsschlüssel auszutauschen. Das ist keine Bestätigung, dass Schlüssel abgeflossen sind. Es ist die vorsichtige Konsequenz, dass man es nicht ausschließen will.
Für die Betroffenen wiegt bereits die Art der Anwendung schwer. Eine DiGA für Panikstörungen, Depressionen oder Vaginismus ist keine Fitness-App. Die bloße Zuordnung einer Person zu einem Programm kann eine gesundheitliche Information sein. Fragebögen und Tagebuch-Freitexte können darüber hinaus Angaben enthalten, die niemand in einer Phishing-Mail oder gegenüber Dritten wiederfinden will. Das Unternehmen rät deshalb zu besonderer Vorsicht bei Nachrichten und Anrufen und zur Änderung des HelloBetter-Passworts – und, implizit, jedes wiederverwendeten Kennworts.
Seit Januar 2025 müssen DiGA-Hersteller für die Zulassung ein Datensicherheitszertifikat auf Basis der BSI-Richtlinie TR-03161 vorlegen. heise erinnert an diese Anforderung und hält fest, dass offenbleibt, wie der Vorfall damit zusammenhängt. Eine Bewertung, ob das Zertifikat hier versagt hat, lässt sich aus den öffentlichen Angaben nicht ableiten. Der Vorfall zeigt aber die Lücke zwischen einer zertifizierten Anwendung und einem Auswertungssystem, das an ihren Daten hängt.
Zeitstrahl des Ablaufs
Abend, 6. September 2026:
Nach Angabe von HelloBetter verschaffen sich Angreifer Zugriff auf das Business-Intelligence-System und die verbundene Datenbank. Quelle: Betroffeneninformation, zitiert nach heise.Morgen, 7. September 2026:
Das Unternehmen bemerkt den Zugriff und beendet ihn. Bis dahin seien Daten in bedeutsamem Umfang entwendet worden. Meldung an BSI und Hamburgischen Datenschutzbeauftragten. Quelle: dieselbe Information.Nach dem Vorfall:
Zugriff auf eine ausschließlich intern erreichbare Verbindung beschränkt, Datenbank aktualisiert, möglicherweise betroffene Zugangsdaten und Verschlüsselungsschlüssel ausgetauscht, im Untersuchungszeitraum angelegte Konten und Berechtigungen entfernt, Information der Nutzenden nach Art. 34 DSGVO. Quelle: heise.29. September 2026:
12. November 2026:
Eine spätere öffentliche Zwischenbilanz von HelloBetter mit einer Zahl der Betroffenen, einem benannten Produkt oder einer Aussage zum Missbrauch über die damalige Lage hinaus ist bei dieser Recherche nicht auffindbar.
Was heißt das für dein Unternehmen?
Der Fall spielt bei einem zertifizierten Gesundheitsanbieter, das Muster gilt für jede Organisation mit einem Auswertungssystem neben der eigentlichen Anwendung.
- 1.
Die Analyseplattform ist Teil der Produktionsumgebung, nicht ihr harmloser Anhang.
Ein BI-System sieht nach internem Werkzeug aus und enthält oft genau die Daten, die in der Kernanwendung besonders geschützt werden. Inventarisiere, welche personenbezogenen Bestände dort landen, wer darauf zugreifen kann und ob das System aus dem Internet erreichbar ist. Was du für Auswertungen nicht brauchst, gehört nicht in diese Datenbank – und schon gar nicht im Klartext. - 2.
Systeme, die auswerten, gehören nicht ins offene Netz.
HelloBetter hat den Zugriff nach dem Vorfall auf eine intern erreichbare Verbindung beschränkt. Das ist die richtige Richtung, kommt hier aber nach dem Abfluss. In deinem Unternehmen sollten Admin- und Analyseoberflächen hinter VPN, starken MFA-Verfahren und einem klar begrenzten Benutzerkreis liegen, bevor jemand sie von außen findet. - 3.
Pseudonymisierung und Verschlüsselung nicht in einem Satz vermischen.
Beide helfen, ersetzen einander aber nicht. Verschlüsselung schützt nicht, wenn der Schlüssel daneben liegt. Pseudonymisierung schützt nicht, wenn Stammdaten in derselben Umgebung die Zuordnung erlauben. Prüfe getrennt: Wo liegen die Schlüssel? Wer kann re-identifizieren? Was passiert, wenn ein Angreifer eigene Konten anlegt? - 4.
Im Vorfall neu angelegte Konten als eigenen Alarm behandeln.
Dass HelloBetter alle im Untersuchungszeitraum angelegten Konten entfernt hat, ist eine nachvollziehbare Sofortmaßnahme. Besser ist, das Anlegen privilegierter Konten laufend zu überwachen und ungewöhnliche neue Zugänge sofort zu sperren – nicht erst in der Aufarbeitung. - 5.
Die Betroffeneninformation an die Sensibilität der Daten anpassen.
Bei Therapie- und Gesundheitsdaten reicht eine allgemeine Warnung vor Phishing nicht. Die Menschen müssen verstehen, welche Art von Angaben in fremde Hände gelangt sein kann, ohne dass du Diagnosen in einer Sammelmail ausbreitest. HelloBetter nennt Kategorien, keine Einzelfälle. Genau diese Abstufung solltest du vorbereiten, inklusive eines Wegs, das Passwort zu ändern, ohne einem Link in einer unaufgeforderten Mail zu folgen. - 6.
Zertifikate ersetzen keine Architekturentscheidung.
Eine DiGA-Zulassung und ein Sicherheitszertifikat sagen etwas über geprüfte Anforderungen, nicht automatisch über jedes angebundene Auswertungssystem. Frag in deinem Unternehmen, welche Systeme außerhalb des zertifizierten Kerns dieselben Daten sehen.
Wenn du prüfen willst, wie gut in deinem Unternehmen Auswertungssysteme, Verschlüsselung und die Erreichbarkeit aus dem Internet wirklich aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall HelloBetter zeigt vor allem eines: Der Schaden entsteht oft nicht in der Anwendung, die du nach außen zeigst, sondern in dem System, mit dem du sie auswertest.
Häufige Fragen
Quellen
- heise online: Digitale Gesundheitsanwendungen: HelloBetter meldet Datenpanne nach Cyberangriff, 29.9.2026, 11:10 Uhr, Marie-Claire Koch. Zentrale Quelle: Betroffeneninformation nach Art. 34 DSGVO, die der Redaktion vorliegt.
- heise online (englische Fassung): Digital health applications: HelloBetter reports data breach after cyberattack.
- dastechno: HelloBetter: Cyberangriff trifft Daten von DiGA-Nutzern. Darstellung auf Grundlage der heise-Berichterstattung.
- GET.ON Institut für Online Gesundheitstrainings GmbH: Datenschutzerklärung Online-Therapieprogramme. Angaben zum Verantwortlichen (Marke HelloBetter, Sitz Hamburg), nicht der Vorfallstext selbst.
- KonBriefing: Cyberangriffe Deutschland aktuell. Eintrag zum Vorfall bei GET.ON/HelloBetter am 6. September 2026.
