Datenpanne bei Psychotherapie-Zentrum Vastaamo
Nach Datendiebstahl über 22. Tsd. Psychotherapie-Patienten mit Lösegeldforderungen konfrontiert.
| incidentID | Datum | Betroffene | Land | Sicherheitsvorfall | href | Land | Tags |
|---|
Datenpanne bei Psychotherapie-Zentrum Vastaamo
In Finnland ist der private Konzern Vastaamo, der landesweit 25 Psychotherapiezentren betreibt, Opfer eines Hackerangriffs geworden. Dabei wurden vertrauliche Patientendaten (insbesondere zu Therapiesitzungen) gestohlen. Einfallstor war eine über das Internet erreichbare Mysql-Datenbank ohne root-Passwort. Während dem 26. November 2017 und dem 13. März 2019 war die Datenbank ohne Firewallschutz von jeder beliebigen IP-Adresse aus erreichbar. Wie aus einer im Oktober 2020 abgeschlossenen technischen Untersuchung hervorging, hatte die Angreifer bei mindestens zwei Gelegenheiten im Dezember 2018 und im März 2019 auf die Datenbank zugegriffen. Aufgrund einer unzureichenden Protokollierung konnte allerdings weder das genaue Datum der Panne noch die vom Angreifer verwendeten IP-Adressen identifiziert werden.
Die Täter hinterließen im September 2020 eine Lösegeldforderung in Höhe von 40 Bitcoins auf dem Server. Die Forderung entsprach zu diesem Zeitpunkt etwa 450.000 Euro. Nachdem die Klinik die Lösegeldzahlung verweigerte, gingen die Täter dazu über, von den betroffenen Patienten um 200 Euro zur Vermeidung der Veröffentlichung zu erpressen. Er verlangte 500 Euro, wenn nicht innerhalb von 24 Stunden gezahlt wurde. Über 22.000 Opfer meldeten Erpressungen der Polizei. Die Ermittler gehen davon aus, dass es noch etwa 10.000 weitere Opfer gibt, die sich noch keine Strafanzeige erstatteten.
Vastaamo machte den Angriff öffentlich, nachdem am 23. Oktober 2020 ein Benutzer mit dem Pseudonym Ransom_man im Dark Web eine große komprimierte Datei mit den Daten hochgeladen hatte. Mit demselben Pseudonym kündigte er die Erpressung der Patienten auf einem finnischsprachigen Forum im Dark Net an. Beim Packen der Datei hat der Täter versehentlich sein Home-Verzeichnis mit einbezogen. Die Datei wurde wieder gelöscht, jedoch gab es bereits einige Downloads. Der Privatermittler Antti Kurittu, Teamleiter bei der Nixu Corporation, war einer der Personen, denen der Download vor der Löschung gelang. Er fand im SSH-Verzeichnis des Home-Verzeichnis known_hosts und andere Hinweise zu Projekten und Datenbanken, die Rückschlüsse auf den bekannten finnischen Hacker Julius "Zeekill" Kivimäki ergaben. Dieser wurde im Jahr 2015 von einem finnischen Gericht wegen über 50.000 Online-Delikten zu einer zweijährigen Haftstrafe auf Bewährung sowie einer Strafzahlung in Höhe von 6.558 Euro verurteilt. Bei den Delikten handelte es sich um Hacking, Datendiebstahl, Kreditkartenbetrug, den Betrieb eines großen Bot-Netzes und eine Bombendrohung. 50.000 Server soll er durch Ausnutzung einer Schwachstelle in Adobe's Cold Fusion Web Application Software kompromittiert haben. Mit gestohlenen Kreditkarten kaufe er sich Luxusgüter und Einkaufsgutscheine. Außerdem beteiligte er sich an einer Geldwäscheaktion, um sich eine Reise nach Mexico zu finanzieren. Die Bombendrohung richtete sich gegen den Vorstand von Sony Online Entertainment, John Smedley. Ein Flugzeug der American Airlines, bei dem Smedley als Passagier an Bord war, musste aufgrund der Drohung notlanden. Auch der Sicherheits-Experte Brian Krebs wurde Opfer von Kivimäki. Er meldete unter Spoofing der Mobilfunknummer von Krebs unter der US-Notfallnummer 911, dass russische Täter in sein Haus eingebrochen seien und seine Frau erschossen hätten. In Folge kam es zu einem Einsatz der Polizei von Fairfax, die den Journalisten mit Waffen bedrohten, bis sich der Vorfall als SWATing herausstellte.
Der Konzern bekam von der finnischen Datenschutzaufsichtsbehörde am 7. Dezember 2021 ein Bußgeld in Höhe von 608.000 Euro. Sie gelangte bei ihren Untersuchungen zu der Auffassung, dass Vastaamo bereits im März 2019 Kenntnis davon haben musste, dass unautorisiert auf Pateintendaten zugegriffen wurde. Bereits seit Februar 2021 ist Vastaamo insolvent.
Nachtrag vom 3.11.2022:
Der inzwischen 25-jährige Kivimäki, der bei Europol als einer der meist gesuchten Flüchtigen gilt, wurde in Abwesenheit von einem finnischen Gericht in Helsinki Ende Oktober 2022 zu einer Haftstrafe verurteilt. Neben der Erpressung der Klinik wurde er auch für die Erpressung von betroffenen Patienten sowie für die Veröffentlichung der Patientendaten im Darknet schuldig befunden.
Nachtrag vom 5.02.2023:
Die französische Polizei hat Kivimäki bei einer Kontrolle im Großraum Paris festgenommen. Er gab sich als Rumäne aus, wurde von den Beamten jedoch erkannt.
Nachtrag vom 19. Oktober 2023:
Der festgenommene Kivimäki wurde am 18. Oktober 2023 von der Staatsanwaltschaft in Finnland angeklagt. Dem Täter werden Erpressung in ca. 21.000 Fällen und die Verbreitung von privaten Informationen in 9.589 Fällen vorgeworfen. Die Staatsanwaltschaft fordert eine Haftstrafe in Höhe von sieben Jahren.
Die Gerichtsverhandlung soll zwischen dem 13. November 2023 und dem Februar 2024 stattfinden.
Nachtrag vom 31. Januar 2024:
Laut Medienberichten ist es den finnischen Ermittlungsbehörden gelungen, Monero-Transaktionen nachzuverfolgen. Monero-Transaktionen gelten nicht zurückverfolgbar.
Nachtrag vom 8. Februar 2024:
Eines der Indizien im aktuellen Prozess ist laut Angaben der Ermittler ein Social Media-Post einer Hand, das so hochaufgelöst ist, dass sich die Fingerabdrücke der abgebildeten Person herauslesen und als Kivimäkis identifizieren ließen.
Nachtrag vom 9. April 2024:
Der Angeklagte Julius K. im Fall Vastaamo ist am 19. Februar 2024 erneut untergetaucht, nachdem er unter Auflagen aus der Untersuchungshaft entlassen wurde. Sechs Tage später erfolgte seine Festnahme in einer Airbnb-Wohnung in Helsinki.
Die Ermittlungen ergaben, dass das von K. im Internet hochgeladene Foto von einem Server mit den Patientendaten stammte. Dadurch besteht eine direkte Verbindung zu den Erpressern.
Auch das Unternehmen Scanfi, dessen CEO K. war, geriet ins Visier der Untersuchung. Scanfi suchte im Internet nach Sicherheitslücken und informierte die betroffenen Unternehmen. Es stellte sich heraus, dass die mit dem Datenleck bei Vastaamo in Verbindung stehenden IP-Adressen auch mit Scanfi in Verbindung gebracht werden konnten.
Um langwierige Zivilprozesse zu vermeiden, hat K. bereits außergerichtliche Einigungen mit rund 1.200 Opfern erzielt.
Ein Urteil in dem Fall wird am 30. April 2024 erwartet.
Nachtrag vom 03.05.2024:
Julius Kivimäki ist nun wegen Erpressungsversuchen gegen mehr als 30 Tsd. Personen zu mehr als sechs Jahren Haft verurteilt worden.
Nachtrag vom 12.09.2025:
Nachdem Kivimäki seit Februar 2023 in Haft saß, ließ das Gericht ihn nun zumindest für die Dauer des Prozesses, der im November weitergehen soll, frei.
Nachtrag vom 16.09.2025:
Neben Kivimäki wurde nun eine weitere Person angeklagt. Die finnische Staatsanwaltschaft hat am 15. September 2025 Anklage gegen den 28-jährigen US-Bürger Daniel Lee Newhard wegen Beihilfe zur Erpressung des Psychotherapiezentrums Vastaamo erhoben. Der Beschuldigte weist die Vorwürfe zurück.
Update vom 22.12.2025:
Der Geschäftsführer der Klinik, Ville T., wurde im Dezember 2025 schlussendlich freigesprochen.
28.10.2022: Finnische Polizei
24.10.2020: Twitter
25.10.2020: Talouselama
11.01.2021: dfg-ev
08.02.2023: The Register
03.11.2022: KrebsonSecurity
27.10.2021: Finnische Polizei
05.02.2023: KrebsonSecurity
18.10.2023: Security Week
30.01.2024: Bleeping Computer
06.02.2024: Heise Online
08.04.2024: Golem
02.05.2024: The Cyber Express
11.09.2025: Helsinki Times
16.09.2025: DataBreaches.net
18.12.2025: Helsinki Times
