Der Pharmariese Amgen hat einen Datenverstoß bestätigt, bei dem sowohl Patientengesundheitsdaten als auch proprietäre Unternehmensdaten offengelegt wurden, was neue Besorgnis über die Auswirkungen des Amgen-Datenlecks auf die Privatsphäre der betroffenen Personen aufwirft. Das Unternehmen gibt an, dass der Vorfall von Cloud-Speichersystemen ausgegangen sei und dass es nun betroffene Personen benachrichtige, obwohl mehrere wichtige Details, einschließlich der Frage, ob Ransomware eingesetzt wurde oder ob eine Lösegeldforderung gestellt wurde, noch unbestätigt bleiben.
Was beim Amgen-Datenleck passiert ist
Nach den verfügbaren Informationen gelangten Bedrohungsakteure in Cloud-basierte Speichersysteme, die mit den Geschäftstätigkeiten von Amgen verbunden sind, und entwendeten eine Mischung sensibler Daten: geschützte Gesundheitsinformationen (PHI) von Patienten sowie proprietäre Unternehmensinformationen. Amgen hat mit der Benachrichtigung der Betroffenen begonnen, ein Schritt, der nach den Regeln zur Offenlegung von Gesundheitsdatenverstößen erforderlich ist, sobald ein Unternehmen bestätigt hat, dass personenbezogene Gesundheitsdaten kompromittiert wurden.
Was noch nicht klar ist und was die Ermittler noch zu klären versuchen, ist, ob die Angreifer im Rahmen der Eindringung Ransomware eingesetzt haben oder ob Amgen eine Lösegeldforderung oder einen Erpressungsversuch im Zusammenhang mit den gestohlenen Daten erhalten hat. Dies sind entscheidende offene Fragen. Ein reiner Datendiebstahl und eine ransomware-gestützte Erpressungskampagne bergen unterschiedliche Risiken für das Unternehmen und die Patienten, deren Daten entwendet wurden, insbesondere im Hinblick darauf, ob die gestohlenen Daten öffentlich gemacht, verkauft oder für Zahlungen zurückgehalten werden.
Warum Datenverstöße im Gesundheitswesen Patienten besonders gefährden
Datenpannen im Gesundheitswesen haben in der Regel Folgen, die über einen typischen Unternehmensdatenverstoß hinausgehen. Kontonummern von Finanzdiensten können innerhalb von Tagen storniert und neu ausgestellt werden. Krankenakten, Diagnosen, Verschreibungsverläufe und andere PHI lassen sich dagegen nicht einfach zurücksetzen. Sobald diese Informationen offengelegt sind, bleiben sie offen und können jahrelang gegen Patienten verwendet werden, und zwar auf eine Weise, die schwieriger zu erkennen ist als eine betrügerische Kreditkartenabbuchung.
Genau das macht Gesundheitseinrichtungen zu so attraktiven Zielen. PHI enthalten oft genügend Informationen (Namen, Geburtsdaten, Versicherungsdaten, Krankengeschichten), um Identitätsdiebstahl, Versicherungsbetrug und gezielte Phishing-Betrügereien zu ermöglichen, die sich auf die tatsächlichen Gesundheitszustände eines Patienten beziehen und so glaubwürdig erscheinen. Kombiniert mit proprietären Unternehmensdaten, die Forschung, klinische Studiendaten oder interne Geschäftsunterlagen umfassen können, kann ein einziger Verstoß gleich mehrere Risikobereiche schaffen: auf der einen Seite die Privatsphäre der Patienten, auf der anderen die Integrität von Unternehmen und Forschung.
Der Gesundheitssektor ist auch deshalb ein häufiges Ziel, weil er diesen doppelten Wert bietet und weil viele Anbieter und ihre Zulieferer auf komplexe, miteinander vernetzte Cloud-Systeme angewiesen sind, die die potenzielle Angriffsfläche erweitern. Da Unternehmen zunehmend automatisierte Tools und KI-gestützte Systeme in ihre Infrastruktur integrieren, haben Angreifer gezeigt, dass sie Schwachstellen in diesen neueren Technologien ebenso leicht ausnutzen können wie in älteren. Ein jüngstes Beispiel, ausführlich beschrieben in unserem Bericht über einen KI-Agenten, der Hugging Face durch eine Zero-Day-Schwachstelle kompromittiert hat, zeigt, wie schnell Angreifer dazu übergehen können, genau die Automatisierungs- und Cloud-Tools auszunutzen, auf die Unternehmen angewiesen sind.
Wie VPNs und Verschlüsselung zur Sicherheit von Gesundheitsdaten beitragen
Obwohl kein einzelnes Tool einen Datenverstoß auf Organisationsebene verhindert, bleiben Verschlüsselung und sichere Verbindungen grundlegend, um den Schaden zu begrenzen, wenn Systeme kompromittiert werden. Daten, die sowohl im Ruhezustand als auch bei der Übertragung verschlüsselt sind, sind selbst dann weitaus weniger wertvoll für Angreifer, wenn es ihnen gelingt, sie zu exfiltrieren. Für Gesundheitseinrichtungen bedeutet dies die Verschlüsselung gespeicherter PHI in Cloud-Systemen und die Sicherstellung, dass Daten, die zwischen internen Systemen, Anbietern und Cloud-Anbietern übertragen werden, über verschlüsselte und authentifizierte Kanäle laufen.
Für einzelne Patienten und Mitarbeiter, die aus der Ferne auf Gesundheitsportale oder Unternehmenssysteme zugreifen, bieten VPNs und verschlüsselte Verbindungen eine zusätzliche Schutzschicht gegen das Abfangen über ungesicherte Netzwerke, insbesondere wenn sie von öffentlichen WLANs oder privaten Geräten aus auf sensible Gesundheitsportale zugreifen. Sie sind kein Ersatz für die Sicherheitspraktiken der Organisation selbst, aber sie verringern das Risiko, dass Daten bei der Übertragung abgefangen werden – ein Teil eines viel größeren Sicherheitskonzepts, das Zugriffskontrollen, Überwachung und Planung der Reaktion auf Vorfälle umfasst.
Was das für Sie bedeutet
Wenn Sie eine Benachrichtigung von Amgen erhalten haben oder möglicherweise erhalten werden, nehmen Sie diese ernst, auch bevor alle Details des Vorfalls bestätigt sind. Überprüfen Sie zunächst das Benachrichtigungsschreiben sorgfältig auf Angaben dazu, welche Daten betroffen sind. Überwachen Sie Ihre Versicherungsabrechnungen und Leistungsbescheide auf unbekannte Forderungen – ein häufiges Anzeichen für medizinischen Identitätsdiebstahl. Erwägen Sie, eine Betrugswarnung oder eine Kreditsperre bei den großen Kreditauskunfteien einzurichten, da gestohlene PHI oft mit genügend persönlichen Details kombiniert werden, um betrügerische Konten zu eröffnen. Seien Sie vorsichtig bei nachfolgenden Mitteilungen, die angeblich von Amgen oder seinen Partnern stammen, insbesondere solchen, die Sie auffordern, auf Links zu klicken oder zusätzliche persönliche Daten anzugeben, da Benachrichtigungen über Datenpannen häufig von Betrügern ausgenutzt werden, die sekundäre Phishing-Kampagnen durchführen.
Der gesamte Umfang des Amgen-Datenlecks, einschließlich der Frage, ob Ransomware eine Rolle gespielt hat oder ob Erpressungsforderungen gestellt wurden, könnte einige Zeit in Anspruch nehmen, um geklärt zu werden. In der Zwischenzeit haben betroffene Patienten praktische Möglichkeiten, ihre Gefährdung zu begrenzen: Konten überwachen, Kredite gegebenenfalls sperren lassen und auf verdächtige Mitteilungen achten. Gesundheitsorganisationen werden weiterhin hochwertige Ziele für Angreifer sein, aber informierte, proaktive Patienten sind viel besser in der Lage, die Folgen zu erkennen und einzudämmen, wenn es zu solchen Datenpannen kommt.
