Krebszentrum in Hawaii kompromittiert Daten von 1,2 Millionen Menschen

Ein Cyberangriff auf ein Krebsforschungszentrum in Hawaii führte zur Kompromittierung sensibler Daten von über 1,2 Millionen Personen aus den 1990er Jahren. Die Universität reagiert mit Benachrichtigungen und umfassenden Sicherheitsreformen.

Ein massiver Ransomware-Angriff auf das Krebsforschungszentrum der Universität Hawaii hat historische Datenbanken mit hochsensiblen Sozialversicherungs- und Führerscheinnummern aus den 1990er Jahren offengelegt. Die Universität bestätigte am 27. Februar 2026 das volle Ausmaß des bereits Ende 2025 erfolgten Angriffs. Betroffen sind vor allem Teilnehmer einer großen Langzeitstudie sowie über eine Million Personen aus alten Wähler- und Führerscheinregistern.

Anzeige

Warum 73% der deutschen Unternehmen auf Cyberangriffe nicht vorbereitet sind und welche neuen Gesetze die Haftung verschärfen, erklärt dieser Experten-Report. Stärken Sie Ihre IT-Sicherheit mit einfachen Maßnahmen und schützen Sie Ihr Unternehmen effektiv vor kostspieligen Ransomware-Attacken. Kostenloses E-Book: Cyber Security Trends 2024 herunterladen

Historische Daten als Einfallstor für Hacker

Der Cyberangriff zielte spezifisch auf Server der Epidemiologie-Abteilung des Krebszentrums. Dort wurden Forschungsdateien verschlüsselt und möglicherweise gestohlen. Der Kern des Datenschatzes: historische Rekrutierungsunterlagen der Multiethnic Cohort Study. Diese Langzeitstudie beobachtet seit 1993 die Gesundheit von Männern und Frauen in Hawaii und Los Angeles.

Die kompromittierten Dateien umfassen Daten von 87.493 direkten Studienteilnehmern. Die eigentliche Brisanz liegt jedoch in den angegriffenen historischen Staatsdatenbanken. Hier wurden Führerscheindaten aus dem Jahr 2000 und Wählerregistrierungen von 1998 der Stadt Honolulu entwendet. In dieser Zeit waren Sozialversicherungsnummern dort noch Standard als primäre Identifikationsmerkmale – was den Diebstahl besonders gravierend macht.

Die Universität betont, dass klinische Studien, Patientenversorgung und allgemeine Studentenakten nicht betroffen seien. Einige der gestohlenen Forschungsdateien enthielten jedoch gesundheitsbezogene Informationen der Studienteilnehmer.

Verhandlungen mit Erpressern und massive Benachrichtigungswelle

Nach Entdeckung des Vorfalls schaltete die Universität externe Cybersicherheitsexperten ein und informierte die Strafverfolgungsbehörden. In einem umstrittenen Schritt verhandelte die Universität mit den Erpressern. Sie sicherte sich ein Entschlüsselungstool und Zusicherungen, dass die gestohlenen Daten vernichtet wurden. Bislang gebe es keine Hinweise, dass die Informationen im Dark Web veröffentlicht oder missbraucht wurden, so die Behörden.

Nun steht die logistische Mammutaufgabe an, über 1,2 Millionen Menschen zu informieren. An die 87.493 identifizierten Studienteilnehmer gingen bereits Briefe. Für die rund 1,15 Millionen Betroffenen der historischen Datenbanken nutzt die Universität etwa 900.000 gefundene E-Mail-Adressen für digitale Benachrichtigungen sowie öffentliche Bekanntmachungen.

Ab Montag, dem 2. März 2026, werden spezielle Callcenter eingerichtet. Die Universität bietet allen Betroffenen zudem kostenlose Kreditüberwachung für zwölf Monate und eine Identitätsdiebstahl-Versicherung bis zu einer Million Dollar an.

Systemweite Sicherheitsreform als Konsequenz

Als Reaktion auf den Angriff hat die Universität umfassende Sicherheitsupgrades umgesetzt. Die IT-Infrastruktur des Krebszentrums wurde komplett neu aufgesetzt und abgehärtet. Dazu gehören moderne Endpoint-Protection-Software, Hardware-Upgrades und verpflichtende Cybersicherheitsschulungen für alle Mitarbeiter. Sensible Forschungsserver wurden physisch in das zentrale Rechenzentrum der Universität verlegt.

Über technische Lösungen hinaus hat die Hochschule ihre Governance strukturell reformiert. Ein neu gegründeter Informationssicherheitsrat für die Forschung koordiniert nun die Cybersicherheitsprotokolle aller Fachbereiche. Eine separate Taskforce aktualisiert die institutionellen Richtlinien und empfiehlt Investitionen in die Sicherheit.

Anzeige

Der Vorfall zeigt, wie schnell psychologische Angriffsmuster und technische Lücken zu Rekord-Schäden führen können. Schützen Sie Ihre Organisation mit einer gezielten 4-Schritte-Anleitung vor Phishing und modernen Hacker-Methoden. Kostenloses Anti-Phishing-Paket jetzt sichern

Universitätspräsidentin Wendy Hensel kündigte eine umfassende Überprüfung aller IT-Systeme an allen zehn Standorten der Universität an. Der Direktor des Krebszentrums, Naoto T. Ueno, bedauerte den Vorfall zutiefst und betonte das Commitment zu Transparenz und verbessertem Datenschutz.

Altdaten: Die Achillesferse der Forschung

Der Vorfall in Hawaii beleuchtet ein grundsätzliches Problem akademischer Einrichtungen: den Umgang mit massiven historischen Datensätzen. Universitäten horten oft Jahrzehnte alte Forschungsdaten, die zu Zeiten laxerer Datenschutzstandards erhoben wurden. Die offengelegten Daten von 1998 und 2000 zeigen, wie solche „Altlasten“ – besonders mit Sozialversicherungsnummern als Schlüssel – auch lange nach ihrer Erhebung ein enormes Risiko darstellen.

Cybersicherheitsexperten beobachten, dass der Bildungs- und Forschungssektor immer häufiger Ziel von Ransomware-Kartellen wird. Die Täter wissen um den Wert sensibler geistiger Eigentums, medizinischer Forschung und riesiger Mengen personenbezogener Daten an Universitäten, die oft mit dezentraler IT und knapperen Budgets als Unternehmen operieren.

Die Entscheidung der Universität, mit den Hackern zu verhandeln, unterstreicht das Dilemma von Forschungseinrichtungen. Obwohl Verhandlungen mit Kriminellen generell abgelehnt werden, müssen Institutionen das Risiko eines dauerhaften Datenverlusts und der öffentlichen Bloßstellung sensibler Informationen gegen die ethischen und finanziellen Implikationen von Lösegeldforderungen abwägen.

Die Folgen des Datendiebstahls werden die Universität noch Monate beschäftigen, während Betroffene ihre Kreditprofile sichern. Langfristig dürfte die IT-Überprüfung zu erheblichen strukturellen Veränderungen und höheren Sicherheitsinvestitionen im gesamten Universitätssystem führen. Der Fall ist eine Warnung an Forschungseinrichtungen weltweit: Es wird immer dringender, Alt-Datenbanken zu überprüfen, strikte Aufbewahrungsrichtlinien durchzusetzen und nicht mehr benötigte historische Datensätze sicher zu löschen.