Mt. Baker Imaging: 3,3-Millionen-Dollar-Vergleich nach Datenschutzverletzung – 340.000 Patienten betroffen

Mt. Baker Imaging: 3,3-Millionen-Dollar-Vergleich nach Datenschutzverletzung – 340.000 Patienten betroffen

Ein 3,3-Millionen-Dollar-Vergleich wird ausgezahlt, um eine Sammelklage gegen Mt. Baker Imaging und Northwest Radiologists beizulegen, zwei Gesundheitsdienstleister im US-Bundesstaat Washington, die im Januar 2025 Opfer eines Ransomware-Angriffs wurden. Dabei wurden die geschützten Gesundheitsdaten (Protected Health Information, PHI) von mehr als 340.000 Patienten offengelegt. Der Fall ist ein Paradebeispiel für ein Bedrohungsmuster, das im gesamten US-Gesundheitssektor weiter zunimmt: Ransomware-Banden, die es auf Anbieter medizinischer Bildgebung und Abrechnungssysteme abgesehen haben, in denen sich sensible Patientendaten konzentrieren.

Für betroffene Patienten bietet der Vergleich eine gewisse finanzielle Entschädigung. Er wirft aber auch eine grundsätzliche Frage auf: Was können Einzelpersonen eigentlich tun, um ihr Risiko zu verringern, wenn Gesundheitsdienstleister weiterhin derart hartnäckige Ransomware-Ziele bleiben?

Was bei Mt. Baker Imaging geschah

Mt. Baker Imaging ist ein Anbieter medizinischer Bildgebung im Bundesstaat Washington. Das Unternehmen arbeitet mit Northwest Radiologists zusammen, einer eigenständigen Organisation, die in seinem Auftrag medizinische Bilder auswertet. Beide Einrichtungen tauschen im Rahmen dieses Arbeitsablaufs Patientendaten aus, sodass ein Sicherheitsvorfall bei einem der beiden zu einer Gefährdung durch den anderen führt.

Im Januar 2025 wurde ein Cyberangriff auf die Systeme der Organisationen festgestellt. Ransomware-Angriffe auf Gesundheitsdienstleister folgen in der Regel einem bekannten Muster: Angreifer verschaffen sich Zugang zu internen Netzwerken, bewegen sich lateral durch die Systeme, entwenden sensible Daten und verschlüsseln dann Dateien, um das Opfer zu erpressen. Der Vorfall betraf über 340.000 Patienten, und in der daraufhin eingereichten Sammelklage wurde den Organisationen vorgeworfen, keine angemessenen Sicherheitsmaßnahmen zum Schutz der Patientendaten getroffen zu haben.

Der 3,3-Millionen-Dollar-Vergleich stellt kein Schuldeingeständnis dar, was bei Sammelklagebeilegungen dieser Art üblich ist. Sammelkläger, die bis zum Stichtag 19. August 2026 gültige Ansprüche einreichen, können eine Entschädigung erhalten.

Warum Anbieter medizinischer Bildgebung hochwertige Ransomware-Ziele sind

Zentren für medizinische Bildgebung befinden sich an einer interessanten Schnittstelle aus klinischer Notwendigkeit und Datensensibilität. Sie verfügen über Diagnosebilder, Überweisungsunterlagen, Abrechnungsdaten, Versicherungsinformationen und vollständige Patientenhistorien. Anders als eine Apotheke oder eine Allgemeinarztpraxis betreuen Bildgebungszentren auch Patienten, die von mehreren externen Anbietern überwiesen wurden, wodurch ihre Datenbanken außergewöhnlich groß und vielfältig sein können.

Ransomware-Gruppen wissen das. Das Gesundheitswesen zählte in den letzten Jahren weltweit zu den am stärksten von Ransomware betroffenen Sektoren, und insbesondere Bildgebungsanbieter tauchten in mehreren aufsehenerregenden Vorfällen auf. Die Kombination aus Abhängigkeit von Altsystemen, komplexen Lieferantenbeziehungen (wie der zwischen Mt. Baker und Northwest Radiologists) und dem betrieblichen Druck, um jeden Preis online zu bleiben, macht diese Organisationen attraktiv und verwundbar.

Da Ransomware weiterhin die Cybersicherheitsbedrohungen im Gesundheitswesen dominiert, tragen Patienten einen unverhältnismäßig hohen Anteil an den langfristigen Folgen, darunter das Risiko von Identitätsdiebstahl, Versicherungsbetrug und die Offenlegung sensibler Diagnoseinformationen, die sich auf Anstellung oder Versicherungsentscheidungen auswirken können.

Was das für Sie bedeutet

Wenn Sie vor oder um Januar 2025 bildgebende Leistungen bei Mt. Baker Imaging oder Northwest Radiologists in Anspruch genommen haben, könnten Sie Sammelkläger sein und Anspruch auf eine Forderungsanmeldung haben. Prüfen Sie offizielle Vergleichsmitteilungen und Gerichtsakten hinsichtlich der Anspruchsvoraussetzungen und Einreichungshinweise.

Über diesen konkreten Vergleich hinaus verdeutlicht der Vorfall eine harte Wahrheit: Patienten können nicht kontrollieren, wie ein Krankenhaus oder ein Bildgebungszentrum sein internes Netzwerk sichert. Der Sicherheitsvorfall bei Mt. Baker Imaging ereignete sich vollständig innerhalb der Infrastruktur des Anbieters. Keine Handlung eines Patienten auf seinem eigenen Gerät oder im Heimnetzwerk hätte ihn verhindern können. Dieser Unterschied ist wichtig, wenn man bewertet, welche persönlichen Sicherheitsmaßnahmen tatsächlich sinnvoll sind.

Was Patienten beeinflussen können, ist ihr eigenes Verhalten bei der Nutzung von Gesundheitsportalen und digitalen Gesundheitsdiensten. Diese Aspekte sind von einem anbieterseitigen Sicherheitsvorfall zu trennen, aber dennoch berücksichtigenswert:

Datenschutzorientierte Praktiken für den Online-Umgang mit Ihren medizinischen Daten:

• Verwenden Sie sichere, einzigartige Passwörter für jedes Patientenportal. Gesundheitsportale werden zunehmend durch Credential-Stuffing-Angriffe ins Visier genommen, bei denen wiederverwendete Passwörter aus anderen Sicherheitsvorfällen ausgenutzt werden. Ein Passwort-Manager macht dies handhabbar.
• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA), wo immer sie angeboten wird. Viele Patientenportale unterstützen inzwischen MFA. Durch ihre Aktivierung reicht ein gestohlenes Passwort allein nicht aus, damit ein Angreifer auf Ihre Unterlagen zugreifen kann.
• Seien Sie vorsichtig in öffentlichen oder gemeinsam genutzten WLANs, wenn Sie auf Patientenportale zugreifen. In nicht vertrauenswürdigen Netzwerken kann Ihre Verbindung zu einer Website von anderen im selben Netzwerk beobachtet werden. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem Internet und verringert so das Risiko des Abhörens während der Übertragung. Dies ist speziell für Portal-Logins ein sinnvoller Schutz, steht jedoch in keinem Zusammenhang mit dem Vorfall bei Mt. Baker Imaging, der sich auf den internen Systemen des Anbieters ereignete.
• Überprüfen Sie regelmäßig Ihre Leistungsabrechnungen (Explanation of Benefits). Betrügerische medizinische Forderungen, die mit gestohlenen PHI erstellt wurden, tauchen oft in EOB-Abrechnungen auf, bevor Patienten sonst etwas Ungewöhnliches bemerken.
• Fordern Sie regelmäßig Ihre Krankenakten an und überprüfen Sie sie auf Richtigkeit. Fehler, die durch Identitätsbetrug oder Datenmanipulation entstehen, können zukünftige Behandlungen und Versicherungsentscheidungen beeinflussen. Viele Anbieter sind verpflichtet, Unterlagen auf Anfrage herauszugeben, und deren Durchsicht ist ein praktischer Weg, um zu prüfen, welche Informationen gespeichert sind.

Umsetzbare Erkenntnisse

Der Vergleich von Mt. Baker Imaging ist eine Erinnerung daran, dass Datenschutzverletzungen im Gesundheitswesen reale finanzielle und persönliche Folgen haben und dass betroffene Patienten rechtliche Handhabe haben, wenn Organisationen ihren Sicherheitspflichten nicht nachkommen. Falls Sie glauben, Sammelkläger zu sein, informieren Sie sich vor Ablauf der Frist im August 2026 über das Antragsverfahren.

Grundsätzlich lohnt es sich, unabhängig von einem einzelnen Vorfall die eigene digitale Hygiene im Umgang mit Gesundheitsportalen zu verbessern. Einzigartige Passwörter, MFA und Vorsicht in öffentlichen Netzwerken verringern Ihr Risiko in den Bereichen, die Sie tatsächlich beeinflussen können. Für die Risiken, die Sie nicht kontrollieren können – etwa wie ein Anbieter sein internes Netzwerk sichert – bleiben die Verfolgung von Sicherheitsvorfällen, die Ihre Daten betreffen, und die Überwachung Ihrer Versicherungs- und Kreditaktivitäten die praktischste Reaktion.

Gesundheitsdienstleister haben eine gesetzliche und ethische Verpflichtung, Patientendaten zu schützen. Wenn sie dieser nicht nachkommen, ziehen Vergleiche wie dieser sie zur Rechenschaft. Doch das Bewusstsein der Patienten ist eine ebenso wichtige Ebene im Gesamtbild.