Ein Labor in New Jersey wird zur jüngsten Datenschutzverletzung im Gesundheitswesen

Centers Laboratory, ein Gesundheitsdiagnostik-Anbieter mit Sitz in Cedar Knolls, New Jersey, hat einen Datenverstoß bestätigt, von dem etwa 540.000 Personen betroffen sind. Der Vorfall geht auf einen Angriff der Cyberkriminellengruppe WorldLeaks zurück, die Centers Lab im Oktober 2025 auf ihrer Erpressungs-Leak-Website aufgeführt und behauptet hatte, über 1,6 Millionen Dateien mit insgesamt rund 720 GB Daten gestohlen zu haben.

Das Ausmaß der Offenlegung reiht diesen Vorfall in die bedeutenderen Datenschutzverletzungen im Gesundheitswesen dieses Jahres ein. Berichten zufolge umfassen die kompromittierten Daten Sozialversicherungsnummern und Gesundheitsakten – jene Art von Daten, die für die Opfer noch lange nach den ersten Schlagzeilen ein Risiko darstellt. Besonders bemerkenswert ist der zeitliche Ablauf: Die Offenlegung erfolgte Berichten zufolge fast ein Jahr nach dem ursprünglichen Eindringen – eine Zeitspanne, die verdeutlicht, wie lange gestohlene medizinische Daten zirkulieren können, bevor die Patienten überhaupt benachrichtigt werden.

Warum diagnostische Labore immer wieder im Visier von Angreifern landen

Gesundheitsdiagnostik-Anbieter wie Centers Laboratory sitzen an einer unbequemen Schnittstelle: wertvolle Daten und in vielen Fällen eine unzureichend ausgestattete Sicherheitsinfrastruktur. Labore verarbeiten riesige Mengen sensibler Informationen, darunter Sozialversicherungsnummern, Versicherungsdetails und klinische Ergebnisse, verfügen jedoch nicht immer über die dedizierten Sicherheitsbudgets von Krankenhaussystemen oder großen Versicherern. Diese Kombination macht sie zu attraktiven Zielen für Gruppen, die erpressungsbasierte Kampagnen durchführen.

Dieses Muster ist kein Einzelfall. Der NYC-Health-Datenverstoß mit 1,8 Millionen Datensätzen und der Vergleich von Mt. Baker Imaging betrafen beide Gesundheitsorganisationen, die sensible Diagnose- oder Bildgebungsdaten in einem Umfang verarbeiteten, der sie zu Hauptzielen machte. Jeder Fall verstärkt einen breiteren Trend: Angreifer konzentrieren sich zunehmend auf die Gesundheitsversorgungskette, nicht nur auf die größten Krankenhausnetzwerke, da kleinere und mittlere Anbieter oft einfachere Einstiegspunkte bieten und dennoch über Daten verfügen, die wertvoll genug sind, um monetarisiert zu werden.

Das Erpressungs-Drehbuch hinter dem Datenverstoß bei Centers Laboratory

WorldLeaks arbeitet nach einem inzwischen bekannten Erpressungsmodell: Ein Netzwerk infiltrieren, große Datenmengen exfiltrieren und dann mit der Veröffentlichung drohen, falls keine Zahlung erfolgt. Unabhängig davon, ob Centers Laboratory gezahlt hat, deutet die Auflistung auf der Leak-Seite der Gruppe darauf hin, dass die Daten veröffentlicht oder zur Verbreitung angeboten wurden – das übliche Vorgehen, wenn Verhandlungen scheitern oder gar nicht erst aufgenommen werden.

Dieser Ansatz spiegelt einen umfassenderen Wandel in den Ransomware- und Erpressungstaktiken wider. Anstatt Systeme lediglich zu verschlüsseln, priorisieren Angreifer jetzt den Datendiebstahl, weil er ihnen selbst dann Druckmittel verschafft, wenn ein Opfer über gute Backups verfügt. Untersuchungen zur Ransomware-Erkennung haben gezeigt, dass fast die Hälfte der Opfer Daten verliert, bevor sie überhaupt bemerkt, dass ein Angriff läuft – was erklärt, warum Vorfälle wie dieser über längere Zeiträume unentdeckt oder unveröffentlicht bleiben können. Die Zeitspanne zwischen Kompromittierung und öffentlicher Bekanntgabe, in diesem Fall Berichten zufolge fast ein Jahr, gibt Angreifern ausreichend Zeit, gestohlene Datensätze zu nutzen oder zu verkaufen, bevor die Betroffenen überhaupt eine Chance haben, sich zu schützen.

Was das für Sie bedeutet

Falls Sie diagnostische Dienste von Centers Laboratory genutzt haben oder von einem Anbieter betreut wurden, der Tests über dieses Labor abwickelt, könnten Ihre Sozialversicherungsnummer und Ihre Gesundheitsdaten Teil des offengelegten Datensatzes sein. Da Sozialversicherungsnummern nicht wie Passwörter ablaufen oder zurückgesetzt werden können, birgt ein solcher Datenverstoß ein Risiko, das jahrelang – nicht nur wochenlang – anhält.

Praktische Schritte, die Sie jetzt unternehmen sollten:

  • Achten Sie auf ein Benachrichtigungsschreiben. Gesundheitsdienstleister sind in der Regel verpflichtet, betroffene Patienten direkt zu informieren; ignorieren Sie Post oder E-Mails, die vorgeben, von Centers Laboratory oder einem verbundenen Anbieter zu stammen, nicht.
  • Ziehen Sie eine Kreditkartensperre (Credit Freeze) in Betracht. Das Einfrieren Ihrer Kreditauskünfte bei den großen Auskunfteien ist eine der wirksamsten Methoden, um zu verhindern, dass Identitätsdiebe mit einer gestohlenen Sozialversicherungsnummer neue Konten eröffnen.
  • Überwachen Sie medizinische Unterlagen und Versicherungsabrechnungen. Medizinischer Identitätsdiebstahl, bei dem jemand Ihre Daten nutzt, um Behandlungen oder Rezepte zu erhalten, ist oft schwerer zu erkennen als finanzieller Betrug.
  • Seien Sie skeptisch bei nachfolgenden Phishing-Versuchen. Auf Vorfälle wie diesen folgen häufig betrügerische E-Mails oder Anrufe, die vorgeben, von der betroffenen Organisation zu stammen, und falsche „Kreditüberwachungs“-Anmeldungen anbieten, mit denen weitere persönliche Daten abgegriffen werden sollen.

Das größere Bild der Datensicherheit im Gesundheitswesen

Der Datenverstoß bei Centers Laboratory ist eine weitere Erinnerung daran, dass die Sicherheit von Patientendaten von einer ganzen Kette von Anbietern abhängt – Labore, Bildgebungszentren, Abrechnungsfirmen – und nicht nur vom Krankenhaus oder der Klinik, in der die Behandlung stattfindet. Während Erpressungsgruppen wie WorldLeaks diesen Sektor weiterhin ins Visier nehmen, sind die Patienten zunehmend gezwungen, die Folgen von Datenschutzverletzungen bei Organisationen zu bewältigen, mit denen sie möglicherweise nie direkt zu tun hatten.

Es gibt keine Möglichkeit, sich vollständig vor einem Datenverstoß bei einem Anbieter zu schützen, den Sie nicht selbst ausgewählt haben. Aber schnell zu handeln, sobald Sie benachrichtigt wurden – Kredit einfrieren, Abrechnungen überwachen und wachsam gegenüber Phishing bleiben –, ist nach wie vor der wirksamste Weg, den Schaden zu begrenzen. Solange Datenschutzverletzungen im Gesundheitswesen weiterhin Schlagzeilen machen, ist es der erste Schritt zum Selbstschutz, informiert zu bleiben, wie diese Vorfälle ablaufen und welche Daten tatsächlich offengelegt wurden.