Inhaberin: „Ich soll noch mal 25.000 Euro zahlen“

Im September und Oktober bestellte Schleußinger jeweils hochpreisige Medikamente bei Merck. „Ich habe einen Patienten, der regelmäßig Mavenclad verordnet bekommt“, erklärt sie. Das Arzneimittel für die MS-Therapie schlägt mit mehreren tausend Euro zu Buche und ist eigentlich nur direkt zu bestellen.

Erst als Schleußinger im November angemahnt wurde, fiel auf, dass etwas nicht stimmte. „Merck teilte mir mit, dass ich die offenen Rechnungen der beiden vorangegangenen Bestellungen begleichen solle. Ich dachte, es handelt sich bestimmt um eine Überschneidung, denn ich hatte pünktlich bezahlt. So wie sonst auch“, schildert sie.

Rechnung und Absender plausibel

Wie bei hochpreisigen Arzneimitteln üblich, habe sie die Rechnungsdaten exakt geprüft. „Es stand zwar in dem Rechnungsbescheid, dass es eine neue Bankverbindung gebe und sich der Standort nun in Spanien befinde. Aber dabei haben wir uns nichts weiter gedacht, denn ausländische Bankverbindungen sind nicht unüblich“, erklärt sie. Zudem habe der Mailabsender auch keinen Verdacht aufkommen lassen: „Es war meines Erachtens die Adresse, die sonst auch verwendet wurde.“

Schleußinger fertigte Kopien der Kontoauszüge an. „Das alles sendete ich zu Merck, um meine Zahlungen zu bestätigen und nachzuweisen.“ Daraufhin antwortete der Konzern, es sei aber keine Zahlung eingegangen und sie solle nochmal 25.000 Euro bezahlen. „Dann ist aufgefallen, dass die IBAN nicht übereinstimmt, und Merck wandte sich abermals an mich“, so Schleußinger. „Ich sei Opfer von Cyberkriminalität geworden und man wolle das klären. Ich solle es der Polizei melden und alle Mails an Merck schicken, damit man es nachvollziehen könne.“

Problem bekannt

Im vergangenen Jahr hatten Apotheken vermehrt Rechnungen per E-Mail erhalten, die angeblich von Merck stammten. Ein Konzernsprecher erklärte dazu: „Wir nehmen dieses Thema sehr ernst.“ Es habe nur „vereinzelte“ Fälle gegeben, bei denen Rechnungen, die man ordnungsgemäß ausgestellt habe, auf dem Übermittlungsweg manipuliert worden seien. „Nach unseren Erkenntnissen handelt es sich hierbei um gezielte Cyberangriffe auf die IT-Systeme der Rechnungsempfänger, in diesem Fall Apotheken.“

Auf der Startseite des Webshops, über den Apotheken unmittelbar die Produkte beziehen, habe man gut sichtbar einen Warnhinweis platziert. „Dieser weist auf die Wichtigkeit der Überprüfung von Bankverbindungen auf unseren Rechnungen hin“, so der Sprecher.

Schuld von sich gewiesen

Schleußinger ist darüber verärgert: „Die Schuld wird auf mich geschoben, dabei wurde offensichtlich Merck gehackt und nicht unsere Apotheke“, beklagt sie. „Zur Sicherheit habe ich mich an die ADG gewandt und einen Virusscan über meine Software laufen lassen. Diese war einwandfrei.“ Sie kontaktierte daraufhin einen Anwalt. „Er hat mir bestätigt, dass es maßgeblich in der Schuldfrage sei, wer von den Cyberkriminellen angegriffen wurde. Ich bezahle also nicht nochmal 25.000 Euro, da es nicht meine Schuld ist“, stellt Schleußinger klar.

Das Problem soll nun ihr Anwalt lösen. Schleußinger will abwarten. „Wir haben Strafanzeige bei der Polizei gestellt. Merck hatte mich in der Zwischenzeit noch mal aufgefordert, zu zahlen. Das habe ich ignoriert und lasse alles rechtlich prüfen.“ Für die nächste Bestellung kann sie nur hoffen: „Der Patient benötigt das Arzneimittel regelmäßig. Es könnte sein, dass Merck mir die Auslieferung verweigert aufgrund der gefälschten Rechnungen.“

Unter den Teppich gekehrt

Schleußinger ärgert sich auch über die intransparente Kommunikation des Herstellers. „Dieser Cyberangriff muss spätestens im September erfolgt sein. Seitdem sind mehrere Monate vergangen und es erfolgte nur eine unscheinbare Meldung auf der Homepage. Es ist ziemlich an der Realität vorbei, dass ich vor jeder Bestellung, die ich direkt bei den Herstellern auslöse, zunächst nachschaue, ob eine Meldung in dieser Richtung vorliegt“, beklagt sie. „In meinen Augen wurde das alles zu sehr unter den Teppich gekehrt und die Apotheken haben das Nachsehen.“