CareCloud-Datenleck bestätigt: 3,75 Millionen betroffene Personen

Ein CareCloud-Datenleck hat die medizinischen Aufzeichnungen und persönlichen Daten von mehr als 3,75 Millionen Menschen offengelegt, so Bundesgesundheitsbehörden. CareCloud ist ein Gesundheitstechnologieunternehmen, dessen Software und Systeme von medizinischen Anbietern im ganzen Land genutzt werden. Das bedeutet, dass die Reichweite des Lecks weit über den eigenen Kundenstamm von CareCloud hinausgeht und auch Patienten von Praxen betrifft, die auf der Plattform des Unternehmens basieren.

Bundesgesundheitsbehörden beziffern die genaue Zahl der betroffenen Personen auf 3.756.469 – eine Zahl, die diesen Vorfall zu den größeren in diesem Jahr gemeldeten Datenlecks im Gesundheitswesen macht. Da CareCloud Infrastruktur und Dienstleistungen für Gesundheitsdienstleister bereitstellt und Patienten nicht direkt behandelt, haben viele der betroffenen Personen möglicherweise nie direkt mit CareCloud interagiert, dennoch wurden ihre Daten in dessen Systemen gespeichert oder verarbeitet.

Die offengelegten Informationen umfassen Berichten zufolge Namen, Adressen und Sozialversicherungsnummern sowie medizinische und gesundheitsbezogene Daten. Diese Kombination aus Identitätsdaten und Gesundheitsakten ist für Kriminelle besonders wertvoll, da sie sowohl für Finanzbetrug als auch für medizinischen Identitätsdiebstahl genutzt werden kann – zwei Schadenskategorien, die oft schwerer zu erkennen und rückgängig zu machen sind als eine einfache gestohlene Kreditkartennummer.

Warum Datenlecks im Gesundheitswesen ein zusätzliches Risiko bergen

Datenlecks im Gesundheitswesen sind in der Regel schädlicher als Lecks, die nur Einzelhandels- oder Finanzkonten betreffen, vor allem wegen der Art der offengelegten Daten und der Dauer, in der diese Daten für Angreifer nützlich bleiben. Eine gestohlene Kreditkarte kann innerhalb eines Tages gesperrt werden. Eine gestohlene Sozialversicherungsnummer oder eine vollständige Krankengeschichte kann nicht neu ausgestellt werden und kann jahrelang genutzt werden, um betrügerische Konten zu eröffnen, falsche Versicherungsansprüche einzureichen oder sich in medizinischen Einrichtungen als das Opfer auszugeben.

Dieser Vorfall folgt auf eine frühere Offenlegung, über die vpn.social berichtete, in der CareCloud bestätigte, dass Hacker auf Patientendaten zugegriffen hatten, die Millionen von Menschen betraf. Der Umfang des bestätigten Lecks wurde von den Bundesregulierungsbehörden inzwischen genauer beziffert, wodurch eine konkrete Zahl für das ursprünglich in allgemeineren Begriffen Gemeldete festgelegt wurde. Dieser Ablauf – eine frühe Offenlegung, gefolgt von einer spezifischeren regulatorischen Bilanz – ist bei groß angelegten Datenlecks üblich, da das vollständige Ausmaß der kompromittierten Daten durch forensische Untersuchungen Zeit in Anspruch nimmt.

Der Gesundheitssektor bleibt gerade wegen dieser Datendichte ein attraktives Ziel für Angreifer. Ein einziger kompromittierter Datensatz kann Identitätsinformationen, Versicherungsdetails und die klinische Vorgeschichte zugleich enthalten, was Gesundheitsdatenbanken pro Datensatz wertvoller macht als viele andere Arten von Verbraucherdaten.

Worauf betroffene Patienten achten sollten

Jeder, der von einem Anbieter behandelt wurde, der CareCloud-Systeme nutzt, sollte dieses Leck als Anlass nehmen, seine finanziellen und medizinischen Konten sorgfältig zu überprüfen. Warnsignale für Missbrauch können unbekannte Abbuchungen, unerwartete Versicherungsansprüche für nie erhaltene Leistungen oder Mitteilungen von Gesundheitsdienstleistern über Behandlungen sein, die der Patient nie in Anspruch genommen hat. Dies sind Kennzeichen medizinischen Identitätsdiebstahls, bei dem eine gestohlene Identität genutzt wird, um unter fremdem Namen Behandlungen oder Rezepte zu erhalten.

Da Berichten zufolge auch Sozialversicherungsnummern in den offengelegten Daten enthalten waren, sind betroffene Personen auch den bekannteren Risiken des Finanzbetrugs ausgesetzt, darunter die Eröffnung neuer Konten, Steuerbetrug und Kreditanträge in ihrem Namen. Die Überwachung von Kreditberichten und die Einrichtung von Betrugswarnungen sind vernünftige Vorsichtsmaßnahmen, unabhängig davon, ob bereits ein formelles Benachrichtigungsschreiben eingegangen ist, da Benachrichtigungen über Datenlecks Zeit benötigen, um alle Betroffenen zu erreichen.

Was das für Sie bedeutet

Wenn Sie jemals von einem Anbieter behandelt wurden, der CareCloud-Technologie nutzt, sollten Sie direkt bei diesem Anbieter nachfragen oder auf ein offizielles Benachrichtigungsschreiben achten, das beschreibt, welche Ihrer Daten betroffen waren. In der Zwischenzeit können ein paar konkrete Schritte Ihr Risiko reduzieren:

  • Fordern Sie eine Kopie Ihrer Kreditauskunft an und prüfen Sie sie auf Konten, die Sie nicht erkennen.
  • Erwägen Sie eine Betrugswarnung oder eine Kreditsperre bei den großen Kreditbüros, die die Eröffnung neuer Konten in Ihrem Namen einschränkt.
  • Beobachten Sie Ihre Versicherungsabrechnungen (sogenannte Leistungsübersichten) auf Leistungen, die Sie nicht erhalten haben – ein häufiges Anzeichen für medizinischen Identitätsdiebstahl.
  • Ändern Sie Passwörter für alle Patientenportalkonten, die mit betroffenen Anbietern verbunden sind, und aktivieren Sie die Zwei-Faktor-Authentifizierung, wo sie angeboten wird.
  • Bewahren Sie alle Benachrichtigungsschreiben über das Datenleck auf, da diese möglicherweise benötigt werden, um später betrügerische Abbuchungen oder Ansprüche anzufechten.

Ein Blick nach vorn

Das CareCloud-Datenleck erinnert daran, dass die Gesundheitsdienstleister, die Patienten direkt sehen, oft nur ein Glied in einer viel längeren Kette von Anbietern, Softwareplattformen und Datenverarbeitern sind, die sensible Informationen im Hintergrund verarbeiten. Wenn einer dieser Anbieter kompromittiert wird, wirken sich die Folgen auf Millionen von Menschen aus, die den Namen des Unternehmens vielleicht nicht einmal kennen. Wachsam gegenüber Benachrichtigungsschreiben zu bleiben, finanzielle und medizinische Abrechnungen zu überwachen und bei Anzeichen von Betrug schnell zu handeln, bleiben die wirksamsten Wege, den Schaden durch Datenlecks wie dieses zu begrenzen.