Boston Scientific und McKesson: Datenlecks legen Patientendaten offen

Was bei Boston Scientific und McKesson passiert ist

Zwei große Namen im amerikanischen Gesundheitswesen, der Medizingerätehersteller Boston Scientific und der Pharmagroßhändler McKesson, haben bestätigt, dass sie sich mit Datenlecks befassen und aktiv daran arbeiten, die betroffenen Dienste wiederherzustellen. Berichten zufolge umfassen die offengelegten Daten offenbar Patientenakten, Sozialversicherungsnummern und Informationen im Zusammenhang mit implantierten Herzgeräten – also der Art von Hardware, die dafür sorgt, dass Herzen im richtigen Rhythmus schlagen.

Beide Unternehmen nehmen Schlüsselpositionen in der Lieferkette des Gesundheitswesens ein. Boston Scientific stellt Herzschrittmacher, Defibrillatoren und andere implantierbare Medizinprodukte her, die von Patienten auf der ganzen Welt genutzt werden. McKesson ist einer der größten Pharmagroßhändler des Landes und wickelt Logistik und Daten für einen enormen Anteil der Medikamente und Medizinprodukte ab, die durch Krankenhäuser und Apotheken fließen. Wenn Unternehmen, die so zentral für die Patientenversorgung sind, ein Datenleck im Gesundheitswesen erleben, können die Auswirkungen Millionen von Menschen betreffen, die möglicherweise nie direkt mit einer der beiden Marken zu tun hatten.

Derzeit geben beide Organisationen an, an der Wiederherstellung der Dienste zu arbeiten, was darauf hindeutet, dass die Vorfälle neben der Offenlegung von Daten auch den normalen Betrieb gestört haben. Diese Kombination – betriebliche Ausfallzeiten plus Datenoffenlegung – wird im Gesundheitssektor zu einem vertrauten Muster.

Warum medizinische Unterlagen und Daten implantierter Geräte besonders sensibel sind

Nicht alle Datenlecks wiegen gleich schwer, und in diesem Fall kommt es auf die Details an. Sozialversicherungsnummern sind bereits ein Hauptziel für Identitätsdiebstahl, da sie Kreditanträge, Steuerbetrug und Betrug bei staatlichen Leistungen ermöglichen. Wenn ein Leck jedoch auch Daten implantierter Herzgeräte betrifft, verlagern sich die Risiken in einen Bereich, über den die meisten Verbraucher selten nachdenken.

Implantierte Geräte wie Herzschrittmacher und Defibrillatoren übertragen häufig Diagnosedaten an Hersteller oder Gesundheitsdienstleister zu Überwachungszwecken. Diese Daten können Informationen über den Herzrhythmus eines Patienten, Geräteeinstellungen und die Krankengeschichte enthalten. In den falschen Händen ist diese Art von Informationen nicht nur ein Datenschutzproblem, sondern ein Fenster zu den aktuellen medizinischen Verwundbarkeiten einer Person. In Kombination mit einer Sozialversicherungsnummer und anderen identifizierenden Details entsteht ein hochdetailliertes Profil, das für gezielten Betrug, Versicherungsbetrug oder einfach zum Weiterverkauf an andere Kriminelle genutzt werden könnte.

Gesundheitsdaten haben zudem eine längere Haltbarkeit als eine gestohlene Kreditkartennummer. Eine Karte kann man in Minuten sperren, aber man kann weder seine Krankengeschichte noch seine Diagnose oder die Tatsache, dass man ein implantiertes Gerät trägt, ändern. Diese Dauerhaftigkeit ist ein Grund dafür, dass Datenlecks im Gesundheitswesen tendenziell Folgen haben, die weit über die ursprüngliche Schlagzeile hinausreichen.

Das größere Muster von Datenlecks im Gesundheitssektor

Boston Scientific und McKesson sind keine Einzelfälle. Der Gesundheits- und Pharmasektor ist zunehmend zum Ziel von Angreifern geworden, die wertvolle persönliche und medizinische Daten stehlen, den Betrieb stören oder beides wollen. Bereits Anfang dieses Jahres bestätigte der Pharmariese Novo Nordisk, dass er mit den Behörden in Kontakt steht wegen eines mutmaßlichen Lecks mit mehr als einem Terabyte gestohlener Daten, was unterstreicht, dass dies kein einmaliges Problem ist, das auf ein einzelnes Unternehmen oder einen Anbieter beschränkt wäre.

Was das Gesundheitswesen so attraktiv macht, ist die schiere Dichte wertvoller Informationen, die an einem Ort konzentriert sind. Ein einzelner Patientenakt kann Versicherungsdetails, Sozialversicherungsnummern, Verschreibungshistorien und zunehmend auch Daten vernetzter medizinischer Geräte enthalten. Für Angreifer ist das eine weitaus ergiebigere Beute als ein typisches Einzelhandels- oder Bankenleck – und es ist ein Grund dafür, warum Vorfälle bei Unternehmen wie Boston Scientific, McKesson und Novo Nordisk immer wieder in den Nachrichten auftauchen.

Schritte, die Patienten jetzt zum Schutz ihrer Daten unternehmen können

Wenn Sie Patient eines der beiden Unternehmen sind – sei es über ein Gerät, ein Rezept oder eine Beziehung zu einem Leistungserbringer – gibt es praktische Schritte, die Sie unternehmen können, während die Ermittlungen laufen.

• Achten Sie auf offizielle Benachrichtigungen über das Leck direkt von Boston Scientific oder McKesson und vermeiden Sie es, auf Links in unerwünschten E-Mails zu klicken, die angeblich von ihnen stammen.
• Setzen Sie eine Betrugswarnung oder eine Kreditsperre bei den großen Kreditauskunfteien ein, wenn Sozialversicherungsnummern offengelegt worden sein könnten.
• Überwachen Sie Arztrechnungen und Versicherungsabrechnungen auf unbekannte Gebühren, die ein Zeichen für medizinischen Identitätsdiebstahl sein können.
• Fragen Sie Ihren Gesundheitsdienstleister oder den Gerätehersteller direkt, welche spezifischen Daten betroffen waren und welche Abhilfemaßnahmen, wie etwa kostenlose Kreditüberwachung, angeboten werden.
• Bewahren Sie Aufzeichnungen über alle Mitteilungen auf, die Sie über das Leck erhalten, falls Sie sie später für Streitigkeiten oder rechtliche Zwecke benötigen.

Was das für Sie bedeutet

Selbst wenn Sie noch nie von Boston Scientific oder McKesson gehört haben, erinnert dieses Datenleck im Gesundheitswesen daran, dass Ihre medizinischen Informationen durch mehr Hände gehen, als Sie vielleicht denken – von Geräteherstellern über Großhändler bis hin zu Versicherern. Sie haben keine direkte Kontrolle darüber, wie diese Unternehmen ihre Systeme sichern, aber Sie haben sehr wohl Kontrolle darüber, wie schnell Sie reagieren, sobald ein Leck öffentlich bekannt wird. Frühzeitiges Handeln bei Kreditüberwachung, Betrugswarnungen und sorgfältiger Prüfung von Arztabrechnungen kann den Schaden erheblich begrenzen.

Gesundheitsorganisationen werden weiterhin Hauptziele bleiben, solange sie so viele sensible, schwer ersetzbare Daten halten. Über Vorfälle wie diese informiert zu bleiben und die spezifischen Risiken in Bezug auf Ihre eigenen medizinischen Geräte oder Beziehungen zu Leistungserbringern zu verstehen, ist eine der wirksamsten Möglichkeiten, sich zukünftig zu schützen.

Für Leser, die diesen Trend verfolgen, lohnt es sich, auch andere aktuelle Vorfälle im Pharma- und Gesundheitsbereich im Auge zu behalten, darunter das Novo-Nordisk-Leck mit mehr als einem Terabyte gestohlener Unternehmensdaten, das zeigt, dass dies eindeutig ein sektorweites Muster ist und kein Einzelfall. Wachsam zu bleiben, wie sich diese Lecks entwickeln und wie Unternehmen darauf reagieren, bleibt eines der besten Werkzeuge, die Patienten haben, um ihre eigene Privatsphäre zu schützen.