Craneware-Datenleck betrifft Abrechnungsdaten von mehr als 2.000 US-Krankenhäusern

Was beim Craneware-Datenleck geschah

Craneware, ein in Großbritannien ansässiger Anbieter von Abrechnungs- und Revenue-Cycle-Software für das Gesundheitswesen, hat einen Cyberangriff bestätigt, bei dem Mitarbeiter- und Kundendaten kompromittiert wurden. Das Unternehmen arbeitet mit mehr als 2.000 US-Krankenhäusern zusammen, was bedeutet, dass die Auswirkungen dieses Vorfalls weit über den Hauptsitz von Craneware in Schottland hinausgehen und tief in die amerikanischen Gesundheitssysteme reichen, die auf seine Abrechnungsinfrastruktur angewiesen sind.

Craneware hat das FBI und die britischen Aufsichtsbehörden über die Datenschutzverletzung informiert – ein Schritt, der sowohl die Schwere des Eindringens als auch seine grenzüberschreitenden Auswirkungen signalisiert. Da das Unternehmen sensible Finanz- und Patientenabrechnungsdaten für einen großen Teil des US-Krankenhausnetzwerks berührt, wirft jede Kompromittierung seiner Systeme unmittelbare Fragen für die Krankenhäuser, Patienten und Mitarbeiter auf, deren Daten möglicherweise über die Plattformen von Craneware gelaufen sind.

Zum jetzigen Zeitpunkt sind die bestätigten Fakten eindeutig: Angreifer haben sich Zugang zu den Systemen von Craneware verschafft, Mitarbeiter- und Kundendaten waren betroffen, und die Strafverfolgungsbehörden sowie die Aufsichtsbehörden auf beiden Seiten des Atlantiks sind nun eingebunden. Unklar bleibt jedoch der volle Umfang, welche Datensätze genau entwendet wurden und wie viele Personen letztendlich benachrichtigt werden müssen.

Welche Daten offengelegt wurden und wer betroffen ist

Da Craneware Abrechnungssoftware und keine direkte Patientenversorgung anbietet, umfassen die offengelegten Daten wahrscheinlich eine Mischung aus Mitarbeiterdatensätzen und kundenseitigen Informationen (auf Krankenhausseite), die mit den von Craneware verwalteten Abrechnungsbeziehungen zusammenhängen. Da Plattformen für die Abrechnung im Gesundheitswesen in der Regel Finanzdaten, Versicherungsinformationen und administrative Aufzeichnungen zusammen mit Patientenidentifikatoren verarbeiten, birgt diese Art von Datenschutzverletzung dasselbe Risiko für Patienten wie ein direkter Angriff auf ein Krankenhaus, obwohl das ursprüngliche Ziel ein Drittanbieter war.

Das ist die zentrale Herausforderung bei Datenschutzverletzungen durch Dienstleister im Gesundheitswesen: Patienten haben selten eine direkte Beziehung zu Unternehmen wie Craneware, doch ihre Daten können trotzdem in einen Vorfall verwickelt sein, weil der Anbieter mitten im Abrechnungs- und Revenue-Cycle-Prozess sitzt. Die mehr als 2.000 US-Krankenhäuser, die an die Systeme von Craneware angebunden sind, bedeuten, dass der potenzielle Explosionsradius in Bezug auf Einrichtungen, die eigene Benachrichtigungen herausgeben müssen, beträchtlich ist – selbst wenn sich die Zahl der letztlich als betroffen bestätigten einzelnen Patienten als geringer herausstellt.

Dieses Muster sollte vertraut vorkommen. Es spiegelt eng wider, was beim Change Healthcare-Datenleck mit 192,7 Millionen Datensätzen geschah, bei dem eine einzige Clearingstelle, die Abrechnungs- und Versicherungstransaktionen für einen großen Teil des US-Gesundheitssystems abwickelt, zum Schwachpunkt für eine enorme Zahl nachgelagerter Patienten und Leistungserbringer wurde. Abrechnungsintermediäre sitzen konstruktionsbedingt an einem Engpass, an dem riesige Mengen sensibler Daten über die Infrastruktur eines einzigen Anbieters fließen.

So schützen Sie Ihre Gesundheitsdaten nach einem Datenleck in einem Abrechnungssystem

Wenn Sie in einem Krankenhaus behandelt wurden, das mit Craneware zusammenarbeitet, oder einfach vorsichtig sein möchten, weil diese Art von Vorfällen bei Dienstleistern inzwischen häufig vorkommt, gibt es konkrete Schritte, die Sie jetzt unternehmen sollten, anstatt auf ein formelles Benachrichtigungsschreiben zu warten.

Erstens: Achten Sie auf offizielle Mitteilungen Ihres Krankenhauses oder Gesundheitssystems, nicht nur von Craneware selbst. In der Regel sind es die Krankenhäuser, die betroffene Patienten direkt benachrichtigen, da sie die eigentliche Versorgungsbeziehung haben. Seien Sie misstrauisch bei Phishing-E-Mails oder Anrufen, die sich auf den Vorfall beziehen, da solche Vorfälle häufig von Betrügern ausgenutzt werden, die sich als Krankenhäuser oder Abrechnungsabteilungen ausgeben.

Zweitens: Ziehen Sie in Betracht, eine Betrugswarnung (Fraud Alert) einzurichten oder eine Kreditsperre (Credit Freeze) bei den großen Auskunfteien zu veranlassen, falls Abrechnungs- oder Finanzdaten betroffen sein könnten. Daten aus der Gesundheitsabrechnung enthalten häufig Versicherungskennungen und Zahlungsdetails, die für Finanzbetrug – nicht nur für Identitätsdiebstahl im medizinischen Bereich – missbraucht werden können.

Drittens: Melden Sie sich für ein Kreditüberwachungsprogramm an, falls es im Rahmen der Reaktion auf den Datenschutzvorfall angeboten wird, und überprüfen Sie Ihre Kreditberichte in regelmäßigen Abständen, auch wenn kein solches Programm angeboten wird. Die Kombination von Kreditüberwachung mit sorgfältiger Kontoführung – etwa eindeutigen Passwörtern für Patientenportale und der Aktivierung der Zwei-Faktor-Authentifizierung, wo verfügbar – verringert die Wahrscheinlichkeit, dass gestohlene Zugangsdaten zu weiteren Kontoübernahmen führen.

Viertens: Wenn Sie von öffentlichen oder gemeinsam genutzten Netzwerken aus auf Patientenportale, Abrechnungskonten oder Versicherungsseiten zugreifen, bietet die Nutzung eines VPNs einen zusätzlichen Schutz vor Abfangen – besonders nützlich, während Sie Ihre Konten in den Wochen nach einer Benachrichtigung über eine Datenschutzverletzung genauer überwachen.

Warum die Abrechnungsinfrastruktur im Gesundheitswesen immer wieder angegriffen wird

Abrechnungssysteme im Gesundheitswesen sind gerade deshalb zu einem attraktiven Ziel geworden, weil sie an der Schnittstelle von Finanzdaten, Versicherungsinformationen und Patientendaten sitzen und diese Daten gleichzeitig für Hunderte oder Tausende von Kundeninstitutionen verarbeiten. Ein erfolgreicher Angriff auf einen einzigen Anbieter kann Daten liefern, die mit Dutzenden oder Hunderten von Krankenhäusern gleichzeitig verknüpft sind, was diese Unternehmen im Vergleich zu Angriffen auf einzelne Krankenhäuser zu überproportional wertvollen Zielen macht.

Der Vorfall bei Craneware, der dem gleichen Muster folgt, das bereits bei anderen groß angelegten Datenlecks bei Abrechnungs- und Clearingdiensten zu beobachten war, unterstreicht, dass die Schwachstelle nicht unbedingt in der Sicherheitslage eines einzelnen Krankenhauses liegt. Es ist vielmehr die gemeinsam genutzte Infrastruktur, die Tausende von Einrichtungen mit einer kleinen Anzahl von Anbietern verbindet, wodurch ein konzentriertes Risiko entsteht, das Angreifer immer wieder auszunutzen gelernt haben.

Was das für Sie bedeutet

Wenn Sie in den letzten Jahren in den USA im Krankenhaus behandelt wurden, besteht eine reelle Chance, dass Ihre Abrechnungsdaten irgendwann ein System wie das von Craneware durchlaufen haben. Diese Datenschutzverletzung bedeutet nicht zwangsläufig, dass Ihre persönlichen Daten gestohlen wurden, aber sie ist ein Signal, Ihre eigenen Schutzmaßnahmen zu verstärken – unabhängig vom Einzelfall. Das Craneware-Datenleck im Bereich der Gesundheitsabrechnung erinnert daran, dass Patienten oft wenig Einblick haben, welche Drittanbieter ihre Daten verarbeiten, weshalb persönliche Wachsamkeit – und nicht nur Vertrauen in die institutionelle Sicherheit – ein wichtiger Teil des Datenschutzes ist.

Umsetzbare Handlungsempfehlungen

• Achten Sie auf offizielle Benachrichtigungen Ihres Krankenhauses oder Gesundheitssystems bezüglich des Craneware-Datenlecks und überprüfen Sie jede Kommunikation über offizielle Kanäle, bevor Sie auf Links klicken.
• Richten Sie eine Betrugswarnung oder eine Kreditsperre ein, wenn Sie vermuten, dass Abrechnungs- oder Finanzdaten offengelegt worden sein könnten.
• Melden Sie sich zur Kreditüberwachung an und überprüfen Sie in den kommenden Monaten Ihre Kreditberichte.
• Verwenden Sie starke, eindeutige Passwörter und Zwei-Faktor-Authentifizierung für alle Patientenportal- und Abrechnungskonten.
• Nutzen Sie ein VPN, wenn Sie in öffentlichen oder gemeinsam genutzten WLAN-Netzwerken auf sensible Gesundheitskonten zugreifen.