CareCloud benachrichtigt Hunderttausende nach Gesundheitsdaten-Hack im März

Gesundheits-Tech-Unternehmen bestätigt längeren unbefugten Zugriff

CareCloud, ein Unternehmen, das elektronische Patientenakten-Dienste für Gesundheitsdienstleister anbietet, hat damit begonnen, Hunderttausende Patienten offiziell darüber zu informieren, dass ihre medizinischen Daten bei einem Verstoß Anfang des Jahres gestohlen wurden. Laut dem Unternehmen hatten Hacker mindestens sechs Tage lang – zwischen dem 10. und 16. März – Zugriff auf einen seiner Speicher für elektronische Patientenakten, bevor der Eindringling entdeckt und eingedämmt wurde.

Die Benachrichtigung erfolgt Monate nach dem eigentlichen Vorfall – eine Verzögerung, die bei Datenschutzverletzungen im Gesundheitswesen üblich ist, da Unternehmen in der Regel Zeit benötigen, um den Umfang des unbefugten Zugriffs zu untersuchen, mit forensischen Ermittlern zusammenzuarbeiten und rechtliche Benachrichtigungen vorzubereiten, bevor sie betroffene Personen kontaktieren. Für Patienten bedeutet diese Verzögerung jedoch, dass persönliche Gesundheitsinformationen möglicherweise über einen längeren Zeitraum im Umlauf oder gefährdet waren, bevor sie überhaupt davon erfahren haben.

Eine ungewöhnliche Wendung: Ein Hacker, der Beweise teilte

Was diesen Vorfall von vielen anderen Datenschutzverletzungen im Gesundheitswesen unterscheidet, ist die Art, wie der Angreifer auf CareCloud zuging. Das Unternehmen erklärte, ein Hacker habe sich zu dem Eindringen bekannt und – bemerkenswerterweise – Proben der gestohlenen Daten direkt an das Unternehmen geschickt, zusammen mit einer Lösegeldforderung, um eine Veröffentlichung der Informationen im Internet zu verhindern. Das Teilen von Datenproben als Druckmittel ist nicht der Branchenstandard für Ransomware- oder Erpresserakteure, die häufiger mit der Veröffentlichung gestohlener Dateien drohen, ohne vorab Beweise zu liefern. Dieses Detail legt nahe, dass der Angreifer rasch Glaubwürdigkeit herstellen wollte, wahrscheinlich um CareCloud zur Zahlung zu drängen, anstatt eine langwierige Verhandlung zu riskieren.

Trotzdem hat sich bislang keine bekannte Ransomware-Gruppe oder Erpresserbande öffentlich zu dem Angriff bekannt. Diese Uneindeutigkeit ist in der aktuellen Bedrohungslandschaft nicht ungewöhnlich, wo Einzeltäter, kleine Gruppen oder Affiliates, die außerhalb einer anerkannten Ransomware-Marke agieren, zunehmend Angriffe durchführen, ohne sie auf den Leak-Seiten zu beanspruchen, die typischerweise von größeren Cybercrime-Operationen genutzt werden. Das Fehlen einer namentlichen Bekennerschaft verringert nicht zwangsläufig die Schwere des Vorfalls – es macht die Zuordnung und Überwachung für Ermittler und betroffene Patienten lediglich schwieriger.

Diese Benachrichtigungswelle folgt auf eine frühere Offenlegung in diesem Jahr, in der CareCloud bestätigte, dass Hacker auf Patientenakten zugegriffen hatten, die mit demselben, umfassenderen Sicherheitsvorfall in Verbindung stehen. Die Versendung von Benachrichtigungen an Hunderttausende Personen stellt die nächste Phase dieses Offenlegungsprozesses dar, während das Unternehmen aufarbeitet, wessen Daten genau betroffen waren und welche Kategorien von Informationen offengelegt wurden.

Warum Datenschutzverletzungen im Gesundheitswesen überdurchschnittliche Risiken bergen

Elektronische Patientenakten enthalten in der Regel eine Mischung aus hochsensiblen Informationen: Namen, Geburtsdaten, Sozialversicherungsnummern, Versicherungsdaten, Diagnose- und Behandlungsverläufe und manchmal auch Abrechnungs- oder Finanzdaten. Anders als ein kompromittiertes Passwort lassen sich diese Informationen nicht einfach zurücksetzen. Medizinischer Identitätsdiebstahl, Versicherungsbetrug und gezielte Phishing-Kampagnen sind realistische Folgen, wenn solche Daten in die falschen Hände geraten, und die Auswirkungen können sich Monate oder sogar Jahre nach dem ursprünglichen Verstoß zeigen.

Anbieter von Gesundheitstechnologie wie CareCloud befinden sich in einer besonders sensiblen Position, da sie Daten im Auftrag mehrerer Leistungserbringer verarbeiten und speichern. Ein einzelner Verstoß bei einem Anbieter kann daher auf Patienten vieler verschiedener Kliniken und Krankenhaussysteme ausstrahlen, die nie direkt mit dem kompromittierten Unternehmen zu tun hatten. Wie bereits berichtet, hat das Ausmaß des CareCloud-Vorfalls Millionen von Patientenakten in seinem Kundenstamm betroffen, was verdeutlicht, wie konzentriert das Risiko wird, wenn so viele Gesundheitsdaten über eine kleine Anzahl von Technologieanbietern fließen.

Was das für Sie bedeutet

Falls Sie ein Benachrichtigungsschreiben von CareCloud erhalten haben oder künftig erhalten, nehmen Sie es ernst, auch wenn die Formulierung routinemäßig klingt. Lesen Sie das Schreiben sorgfältig, um genau zu verstehen, welche Kategorien Ihrer Daten betroffen waren, da nicht bei jeder benachrichtigten Person dieselben Daten offengelegt wurden. Falls Sozialversicherungsnummern oder Versicherungskennungen enthalten waren, erwägen Sie die Einrichtung einer Betrugswarnung oder einer Kreditsperre bei den großen Auskunfteien. Behalten Sie Ihre Versicherungsabrechnungen und Arztrechnungen genau im Auge auf Leistungen, die Sie nicht wiedererkennen, da medizinischer Identitätsdiebstahl schwerer zu erkennen sein kann als gewöhnlicher Finanzbetrug. Seien Sie vorsichtig bei nachfolgenden E-Mails, Anrufen oder SMS, die vorgeben, von CareCloud oder Ihrem Gesundheitsdienstleister zu stammen und Sie zur Bestätigung persönlicher Daten auffordern, da Benachrichtigungen zu Datenschutzverletzungen häufig von Betrügern für Phishing-Kampagnen ausgenutzt werden.

Kernpunkte

Der Benachrichtigungsprozess von CareCloud erinnert daran, dass Datenschutzverletzungen im Gesundheitswesen oft in Etappen ablaufen – mit dem ersten Eindringen, der Untersuchung und der schließlichen Benachrichtigung, die Monate auseinanderliegen können. Patienten, die von diesem Vorfall betroffen sind, sollten sämtliche Benachrichtigungsschreiben genau prüfen, eine gegebenenfalls angebotene Kreditüberwachung in Anspruch nehmen und wachsam gegenüber verdächtigen Mitteilungen bleiben, die sich auf ihre Krankengeschichte oder Versicherungsdaten beziehen. Während Gesundheitseinrichtungen weiterhin auf externe Technologieanbieter zur Verwaltung sensibler Daten setzen, machen Vorfälle wie dieser deutlich, warum Wachsamkeit sowohl bei Unternehmen als auch bei Patienten noch lange nach der ersten Entdeckung eines Verstoßes unerlässlich bleibt.