Catalyst RCM: 200.000 Geräte gelöscht — größter Wiper-Angriff auf US-Gesundheitssektor

Am 11. März 2026 löschte eine pro-iranische Gruppe 200.000 Geräte bei Catalyst RCM, einem der größten Abrechnungsdienstleister im US-Gesundheitswesen. Der Angriff ist bemerkenswert, weil er ohne jede Schadsoftware durchgeführt wurde.

Angriffsvektor

Die Angreifer nutzten ein einziges gestohlenes Passwort, um sich Zugang zu einem legitimen IT-Management-Tool zu verschaffen. Von dort aus führten sie eine massenhafte Gerätelöschung durch:

• Keine Malware: Kein Virus, kein Ransomware-Payload
• Keine Ransomware: Keine Verschlüsselung, keine Lösegeldforderung
• Kein Exploit: Kein technischer Schwachstellenangriff
• Nur ein Passwort: Social Engineering oder Credential-Diebstahl

Ausmaß

200.000 gelöschte Geräte machen diesen Vorfall zu einem der größten Wiper-Angriffe in der Geschichte des US-Gesundheitssektors. Die betroffenen Systeme umfassen Arbeitsplatzrechner, Server und medizinische Abrechnungssysteme.

Lessons Learned

Der Fall zeigt dramatisch, wie verwundbar Unternehmen durch fehlende Multi-Faktor-Authentifizierung sind. Ein einziges kompromittiertes Passwort kann ausreichen, um die gesamte IT-Infrastruktur eines Unternehmens zu zerstören.

Handlungsempfehlungen

• MFA überall: Jeder Zugang zu Management-Tools muss mit MFA geschützt sein
• Privileged Access Management: Einschränkung administrativer Rechte
• Monitoring: Anomalie-Erkennung bei Massenoperationen auf Endgeräten
• Disaster Recovery: Tägliche Offline-Backups aller kritischen Systeme