Ein schwerwiegender Sicherheitsvorfall in der Gesundheitslieferkette

McKesson, eines der größten Unternehmen der medizinischen Lieferkette in den Vereinigten Staaten, hat eine Datenpanne bestätigt, bei der Berichten zufolge 284 Millionen Patientendatensätze offengelegt wurden. Das Ausmaß dieses Vorfalls macht ihn zu einem der bedeutenderen Datenschutzverletzungen im Gesundheitswesen, die in diesem Jahr bekannt geworden sind, und er unterstreicht, wie viele sensible persönliche und medizinische Informationen durch die Unternehmen fließen, die Krankenhäuser und Apotheken im Hintergrund unterstützen.

Berichten über den Vorfall zufolge übernimmt die als ShinyHunters bekannte Bedrohungsgruppe die Verantwortung für die Datenpanne und behauptet, etwa 1 Terabyte an Daten mit 284 Millionen Zeilen von Patientendaten aus McKessons Snowflake-Cloud-Datenumgebung gestohlen zu haben. Die Gruppe soll von McKesson im Zusammenhang mit den gestohlenen Daten etwa 55 Millionen US-Dollar gefordert haben. McKesson hat den Cybersicherheitsvorfall in einer Form-8-K-Meldung bei der U.S. Securities and Exchange Commission offengelegt, einem Pflichtschritt für börsennotierte Unternehmen, die von wesentlichen Sicherheitsvorfällen betroffen sind.

McKesson liefert Arzneimittel und medizinische Produkte an einen großen Teil der Krankenhäuser im ganzen Land, was bedeutet, dass die offengelegten Daten wahrscheinlich einen enormen Querschnitt von Patienten betreffen, die möglicherweise nie direkt mit dem Unternehmen selbst zu tun hatten. Das ist einer der beunruhigenderen Aspekte von Lieferketten-Datenpannen: Patienten haben oft keine direkte Beziehung zu der betroffenen Organisation, dennoch können ihre geschützten Gesundheitsinformationen (PHI) und persönlichen Daten dennoch kompromittiert werden.

Warum Lieferkettenanbieter attraktive Ziele sind

Unternehmen der Gesundheitslieferkette wie McKesson befinden sich an der Schnittstelle zwischen enormen Mengen sensibler Daten und komplexen, miteinander verbundenen Systemen. Sie verarbeiten Verschreibungsdaten, Patientenidentifikatoren und andere geschützte Gesundheitsinformationen als Routinebestandteil ihrer Geschäftstätigkeit mit Krankenhäusern, Kliniken und Apotheken im ganzen Land.

Diese Datenpanne passt zu einem breiteren Muster, mit dem der Gesundheitssektor in den letzten Jahren zu kämpfen hatte. Angreifer erkennen zunehmend, dass Drittanbieter und Infrastrukturdienstleister, nicht nur Krankenhäuser selbst, einen Single Point of Failure bieten können, der Daten von Millionen von Patienten bei vielen verschiedenen Leistungserbringern offenlegt. Eine ähnliche Dynamik spielte sich beim ChipSoft-Ransomware-Angriff ab, bei dem niederländische Patientendaten offengelegt wurden, bei dem die Kompromittierung eines einzelnen Softwareanbieters auf Patienten in einem gesamten Gesundheitssystem durchschlug. Wenn ein Anbieter, der Millionen von Patientendatensätzen berührt, kompromittiert wird, reichen die Konsequenzen weit über den Kundenstamm dieses einen Unternehmens hinaus.

Die Nutzung von Cloud-Datenplattformen wie Snowflake in diesem Vorfall ist ebenfalls bemerkenswert. Da sich Gesundheitsorganisationen und ihre Anbieter zunehmend auf cloudbasierte Data Warehousing verlassen, um riesige Datensätze zu verwalten, wird die Sicherung dieser Umgebungen, einschließlich Zugriffskontrollen, Überwachung und Credential-Management, ebenso kritisch wie die Sicherung traditioneller On-Premises-Systeme.

Die menschlichen Kosten hinter den Zahlen

Es ist leicht, eine Zahl wie 284 Millionen Datensätze als abstrakt zu empfinden, aber jede Zeile in diesem gestohlenen Datensatz repräsentiert wahrscheinlich die Verschreibungshistorie, medizinische Details oder persönliche Identifikatoren einer realen Person. Geschützte Gesundheitsinformationen sind für Kriminelle besonders wertvoll, weil sie im Gegensatz zu einer Kreditkartennummer nicht einfach gesperrt und neu ausgestellt werden können. Gestohlene medizinische Daten können für Versicherungsbetrug, gezielte Phishing-Kampagnen, Identitätsdiebstahl und Erpressungsversuche gegen die betroffenen Personen verwendet werden.

Datenpannen im Gesundheitswesen bergen auch operationelle Risiken über die Datenoffenlegung hinaus. Diskussionen auf Branchenveranstaltungen zur Cybersicherheit von Krankenhäusern haben hervorgehoben, dass bei Ransomware oder größeren Datenpannen in Gesundheitsorganisationen die Auswirkungen bis auf die Patientenversorgung selbst reichen können, nicht nur auf den Datenschutz, wie in der Berichterstattung über den gesundheitsorientierten Black Hat- und HIMSS-Gipfel dargelegt. Während der McKesson-Vorfall in erster Linie ein Datenoffenlegungsereignis und keine Störung der Versorgung ist, spiegelt er dieselbe zugrunde liegende Schwachstelle wider: Die Lieferkette des Gesundheitswesens ist nur so sicher wie ihr schwächstes Anbieterglied.

Was das für Sie bedeutet

Wenn Sie jemals verschreibungspflichtige Medikamente oder medizinische Produkte über einen Anbieter erhalten haben, der mit McKesson zusammenarbeitet, und angesichts der Größe des Unternehmens könnte das einen großen Teil der US-Patienten umfassen, ist es ratsam, diese Datenpanne als Anlass zu größerer Wachsamkeit zu betrachten, noch bevor offizielle Benachrichtigungen eintreffen. Achten Sie auf:

  • Leistungsabrechnungen (Explanation of Benefits, EOB) Ihrer Krankenversicherung für Leistungen oder Verschreibungen, die Sie nicht erkennen
  • Unerwartete Anrufe, Textnachrichten oder E-Mails, die sich auf Ihre Krankengeschichte oder Verschreibungen beziehen, bei denen es sich um Phishing-Versuche unter Verwendung gestohlener Daten handeln könnte
  • Mitteilungen von McKesson oder Ihrem Gesundheitsdienstleister über die Datenpanne sowie etwaige Angebote von Kreditüberwachungs- oder Identitätsschutzdiensten
  • Ihre Kreditberichte, da PHI oft mit anderen identifizierenden Angaben kombiniert wird, die für Identitätsdiebstahl genutzt werden können

McKesson hat den vollständigen Umfang oder die Richtigkeit der Behauptungen von ShinyHunters noch nicht bestätigt, und die Details können sich im Laufe der Untersuchung weiterentwickeln. Angesichts der schieren Menge der angeblich betroffenen Datensätze sollten betroffene Patienten jedoch von einer gewissen Offenlegung persönlicher Informationen ausgehen, bis konkretere Hinweise vorliegen.

Wichtige Erkenntnisse

Die McKesson-Datenpanne ist eine Erinnerung daran, dass Datenschutzrisiken im Gesundheitswesen weit über die Mauern von Krankenhäusern und Kliniken hinaus bis zu den Anbietern und Cloud-Plattformen reichen, die im Stillen Patientendaten in großem Umfang verarbeiten. Prüfen Sie alle Benachrichtigungen über Datenpannen, die Sie erhalten, sorgfältig, überwachen Sie Ihre medizinischen und finanziellen Konten auf ungewöhnliche Aktivitäten und erwägen Sie, Ihre Kreditwürdigkeit sperren zu lassen, wenn Sie vermuten, dass Ihre Informationen Teil dieser Offenlegung waren. Während die Untersuchungen zu diesem Vorfall andauern, bleibt es der beste Weg, sich in der Folgezeit zu schützen, sich durch verifizierte Updates von McKesson und den Aufsichtsbehörden auf dem Laufenden zu halten.