RehaVital im Darknet gelistet: Qilin behauptet Datendiebstahl beim Gesundheitsverbund
Am 21. Juli 2026 erschien die RehaVital Gesundheitsservice GmbH auf der Leak-Seite von Qilin. Belegt ist zunächst nur die Veröffentlichung durch die Tätergruppe – nicht, welche Systeme betroffen sind oder ob Rezept- und Patientendaten abgeflossen sind. RehaVital ist die Zentrale eines Verbunds mit über 130 Mitgliedsunternehmen und mehr als 1.000 Standorten.
Belegt ist die Listung – nicht der Angriff
Am 21. Juli 2026 um 17:10 Uhr tauchte die RehaVital Gesundheitsservice GmbH auf der Darknet-Leak-Seite der Ransomware-Gruppe Qilin auf. Die Täter behaupten Datendiebstahl; Datenmenge und Lösegeldforderung sind nicht öffentlich. Eine öffentliche Stellungnahme von RehaVital lag bis Redaktionsschluss nicht vor.
RehaVital ist kein einzelnes Sanitätshaus, sondern die Zentrale eines bundesweiten Verbunds mit über 130 Mitgliedsbetrieben, mehr als 1.000 Standorten und rund 1,4 Mrd. € Außenumsatz (2024). Ein möglicher Angriff hätte deshalb potenziell Auswirkungen weit über die 44 direkt Beschäftigten hinaus.
Quellen: rehavital.de, Lobbyregister beim Deutschen Bundestag (Jahresabschluss 2024), HHS.gov (2024, Qilin-Warnung).
Übersicht: Qilin-Listung RehaVital am 21.07.2026, 17:10 Uhr – Status im öffentlichen Tracker: Claimed / nicht bestätigt. Zahlen aus Jahresabschluss 2024.
Was belegt ist – und was nicht
| Aussage | Status |
|---|---|
| RehaVital auf Qilin-Leak-Seite gelistet | belegt (21.07.2026, 17:10) |
| Qilin behauptet Datendiebstahl | Täterbehauptung |
| Konkrete Datenmenge / Lösegeld | nicht öffentlich |
| Verschlüsselung von Systemen | nicht bestätigt |
| Betroffene Systeme / Plattformen | nicht bekannt |
| Öffentliche Stellungnahme RehaVital | lag bis Redaktionsschluss nicht vor |
| Angriffsweg (Phishing, VPN, RDP, MFA-Lücke) | nicht bekannt |
Eine Erwähnung auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter, kein Beleg für einen erfolgreichen Angriff oder Datenabfluss.
Wer ist RehaVital?
Die RehaVital Gesundheitsservice GmbH sitzt am Überseering in Hamburg und ist im Handelsregister Hamburg unter HRB 56 777 eingetragen. Geschäftsführer: Jens Sellhorn, Aufsichtsratsvorsitzender: Detlef Möller. RehaVital fungiert als Einkaufs-, Dienstleistungs- und Interessenverbund für Unternehmen der medizinischen Hilfsmittelversorgung. Der Verbund arbeitet an der Schnittstelle zwischen Sanitätshäusern, Lieferanten, Krankenkassen, Versorgungspartnern und digitalen Plattformen (Tochter CSE Healthcare, App careMed.one, seit Mai 2026 „fit & vital plus“ mit Rezeptupload).
Welche Datenkategorien bei einem Gesundheitsverbund besonders sensibel sind
Ob im konkreten Fall Daten abgeflossen sind, ist offen. Grundsätzlich verarbeitet eine Verbundzentrale dieser Größe folgende Datenarten:
Gerade ein Rezeptupload kann besonders schützenswerte Gesundheitsdaten betreffen. Ob eine solche Plattform vom mutmaßlichen Vorfall betroffen ist, ist derzeit vollkommen offen.
Wer oder was ist Qilin?
Qilin, früher als Agenda bekannt, ist ein seit 2022 beobachtetes Ransomware-as-a-Service-Modell. Eine Kerngruppe entwickelt Schadsoftware und Infrastruktur; angeschlossene Affiliates führen die Angriffe durch. Das US-Gesundheitsministerium hat bereits 2024 vor Angriffen auf Gesundheitseinrichtungen gewarnt und dokumentierte einen Fall mit gestohlenen VPN-Zugängen ohne MFA und 18 Tagen Aufenthalt im Netzwerk.
Ausführliches Profil im Wasacon-Steckbrief: Qilin Ransomware – Darkweb-Profil & Opfer-Wall.
So läuft ein typischer Qilin-Angriff ab
Für den konkreten Vorfall ist der Angriffsweg unbekannt. Forensische Untersuchungen anderer Qilin-Vorfälle zeigen aber ein wiederkehrendes Muster:
Qilin nutzt Spear-Phishing, gestohlene VPN-/RDP-/Citrix-Credentials und ungepatchte Fernzugänge. In dokumentierten Fällen wurde VPN ohne MFA missbraucht.
Bei einem dokumentierten Qilin-Fall hielten sich die Angreifer 18 Tage im Netzwerk auf, bevor die Ransomware ausgeführt wurde. Ziel: Admin-Konten, Passwort-Tresore, Domänenrechte.
Legitime Fernwartungssoftware, PsExec, SMB, RDP – Ausbreitung über Windows- und Linux-Systeme, häufig gezielt auf VMware-ESXi-Infrastrukturen.
Archivierung mit WinRAR/7-Zip, Transfer via Rclone/MegaSync zu externen Speichern. Verbanddaten (Verträge, Mitglieder, Kommunikation) sind kompakt und erpresserisch wertvoll.
AV/EDR deaktivieren, Ereignisprotokolle leeren, Volume-Shadow-Copies löschen, Backup-Systeme angreifen.
Locker in Rust/Go, doppelte Erpressung: Verschlüsselung + Leak-Seiten-Countdown. Zusätzliche Druckmittel: „Call-Lawyer“-Funktion und DDoS.
Vier realistische Szenarien
Qilin hat Ordner kopiert, aber nicht verschlüsselt. Verbandsbetrieb läuft, Datenumfang wird intern geprüft.
Einzelne Fileserver oder Mail-Systeme betroffen. Kernbetrieb bleibt teilweise erhalten.
Zentrale Systeme (Mitgliederverwaltung, Buchhaltung, Mail) betroffen. Abrechnungen und Versorgungsplattformen unter Druck.
Qilin übertreibt Umfang oder Erfolg des Zugriffs – auch das kommt im Ransomware-Umfeld regelmäßig vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Die wichtigsten Unternehmenszahlen 2024
| Position | Betrag |
|---|---|
| Eigene Umsatzerlöse | 8.800.000 € |
| Sonstige betriebliche Erträge | 32.420.000 € |
| Summe Umsatz + sonstige Erträge | 41.210.000 € |
| Personalaufwand | 3.890.000 € |
| Sonstige betriebliche Aufwendungen | 34.830.000 € |
| Ergebnis vor Steuern | 522.320 € |
| Jahresüberschuss | 255.904 € |
| Außenumsatz Mitgliedsunternehmen | ≈ 1.400.000.000 € |
Sehr hohe „sonstige betriebliche Erträge/Aufwendungen“ dürften mit der Verbundfunktion (Rückvergütungen, Boni, Einkauf) zusammenhängen und sind nicht mit klassischem operativem Umsatz gleichzusetzen. Einkaufsvolumen 2022: 444 Mio. € (+10,4 %).
Variante 1: IT-Budget aus dem eigenen Umsatz
Diese rein umsatzbezogene Betrachtung wäre für RehaVital wahrscheinlich zu niedrig, da sie den Verbundumsatz von 1,4 Mrd. €, über 1.000 angeschlossene Standorte und Lieferkettenrisiken ignoriert.
Variante 2: Risikoorientiertes Sicherheitsbudget
Plus ggf. 200.000–500.000 € einmalige Modernisierung (Server, Netz, Identitäten, Backup). Ein nachhaltiges Cybersecurity-Budget von 300.000–500.000 € / Jahr entspräche 3,4–5,7 % der eigenen Umsatzerlöse – bzw. < 0,04 % des Verbund-Außenumsatzes von 1,4 Mrd. €.
Welche Maßnahmen hätten besonders hohe Priorität?
VPN, Microsoft 365, Admins, Cloud, Fernwartung, externe Dienstleister – phishingresistente Schlüssel für Privilegierte.
Externer MDR-Dienstleister für Endpunkte, Identitäten, Firewalls, Cloud-Protokolle. Ziel: Anomalien vor der Verschlüsselung erkennen.
Getrennt vom AD, geschützt gegen Löschung, regelmäßig vollständig zurückgesichert. HHS empfiehlt bei Qilin ausdrücklich Air-Gap-Backups.
Buchhaltung, Mitgliederverwaltung, Rezeptplattform, Entwicklung, Arbeitsplatznetz, Backup-Infrastruktur strikt getrennt.
Externe Zugänge, Softwareanbieter, Schnittstellen, Agenturen, Fernwartung kontrollieren. Zentraler Zugang = Risiko für viele Betriebe.
Incident-Response-Plan mit externen Forensikern, Datenschutz, Rechtsberatung, Ersatzkommunikation und geübten Wiederanlaufplänen.
Was RehaVital jetzt transparent beantworten sollte
Bei personenbezogenen Daten mit Risiko: Art. 33 DSGVO – Meldung an die Aufsichtsbehörde binnen 72 Stunden. Bei hohem Risiko zusätzlich Art. 34 DSGVO (Benachrichtigung Betroffener). Eine NIS-2-Einstufung ist branchen- und größenabhängig.
Wasacon-Perspektive: Verbundzentralen sind Multiplikatoren – und Ziele
Eine Verbundzentrale wie RehaVital ist für Angreifer attraktiver als ein einzelnes Sanitätshaus: Über sie lassen sich Kontakte, Verträge, Zugangsdaten und Portale hunderter Betriebe erreichen. Eine Qilin-Listung ist noch kein Beweis für schlechte IT – aber ein guter Anlass, das Sicherheitsniveau ehrlich zu prüfen.
Konkret heißt das für Gesundheits- und Hilfsmittel-Verbünde: strukturierte Zugriffs- und Rechtekonzepte mit MFA, unveränderbare Offsite-Backups mit echten Rücksicherungstests und ein externer IT-Betrieb mit MDR-Überwachung, Patch- und Änderungsmanagement, Logauswertung und geübten Notfallabläufen.
FAQ zur Qilin-Listung RehaVital
Fazit
Die Darknet-Listung von RehaVital ist wegen der zentralen Stellung des Unternehmens im deutschen Hilfsmittelmarkt ernst zu nehmen. Die Zentrale in Hamburg beschäftigt zwar nur 44 Mitarbeiter und erzielt eigene Umsatzerlöse von rund 8,8 Mio. €. Dahinter steht jedoch ein Netzwerk mit über 130 Mitgliedern, mehr als 1.000 Standorten und rund 1,4 Mrd. € Außenumsatz.
Bislang ist nicht belegt, welche Daten Qilin tatsächlich besitzt und ob Patienten-, Rezept- oder ausschließlich Verwaltungsdaten betroffen sind. Gerade deshalb ist eine schnelle und nachvollziehbare Kommunikation entscheidend. Bis belastbare forensische Ergebnisse oder eine offizielle Stellungnahme vorliegen, gilt: Die Qilin-Listung ist bestätigt – der genaue Umfang eines möglichen Datenabflusses hingegen nicht.
Stand: 24. Juli 2026. Sämtliche Angaben der Täterseite sind unbestätigt. Quellen: rehavital.de, Lobbyregister beim Deutschen Bundestag (Jahresabschluss 2024), HHS.gov (2024, Qilin-Warnung), BSI.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
