Zwei Datenschutzverletzungen im Gesundheitswesen, eine schlechte Woche für Patientendaten

Eine aktuelle Zusammenstellung von Sicherheitsvorfällen durch Secret CISO zeigt, wie exponiert Gesundheitsorganisationen gegenüber erpressungsgetriebenen Cyberangriffen bleiben. Zu den Schlagzeilen gehören: ein Datenleck bei OnePoint Patient Care, das Berichten zufolge 800.000 Hospizpatienten erreichte, und ein behaupteter Datenerpressungsversuch über 1,3 Terabyte gegen den Pharmariesen Novo Nordisk.

Der Vorfall bei OnePoint Patient Care ist besonders besorgniserregend wegen der Art der exponierten Daten. Berichten zufolge kombinieren die kompromittierten Datensätze medizinische Informationen, Versicherungsdaten und Identitätsdaten – genau die Kombination, die Datenschutzverletzungen in Hospizen und verwandten Einrichtungen so schwerwiegend macht. Die Gruppe INC Ransom hat die Verantwortung für den Angriff übernommen und positioniert ihn als eines der bedeutenderen Datenschutzverletzungen im Gesundheitswesen, die in diesem Monat gemeldet wurden.

Separat sah sich Novo Nordisk einem Erpressungsversuch ausgesetzt, bei dem Berichten zufolge 1,3 TB Daten betroffen waren. Während die vollständigen Details zu den entwendeten Daten in der öffentlichen Berichterstattung begrenzt bleiben, signalisiert allein der Umfang die Art von groß angelegtem Datendiebstahl, die in Double-Extortion-Ransomware-Kampagnen üblich geworden ist, bei denen Angreifer sowohl Systeme verschlüsseln als auch damit drohen, gestohlene Dateien zu veröffentlichen, falls kein Lösegeld gezahlt wird.

Warum Hospiz- und Pharma-Daten ein Hauptziel sind

Gesundheitsdaten sind für Angreifer gerade deshalb wertvoll, weil sie selten allein stehen. Die Akte eines Hospizpatienten enthält typischerweise klinische Vorgeschichte, Versicherungsidentifikatoren und persönliche Identitätsinformationen an einem Ort. Diese Kombination ermöglicht es Kriminellen, Versicherungsbetrug, Identitätsdiebstahl und gezielte Phishing-Kampagnen mit Details zu versuchen, die legitim erscheinen, weil sie es sind.

Dies ist kein isoliertes Muster. Ransomware-Gruppen konzentrieren sich zunehmend auf Gesundheitsdienstleister und verwandte Dienste, weil die Daten sensibel sind, die operationalen Einsätze hoch sind und Organisationen sich oft unter Druck gesetzt fühlen, schnell zu zahlen, um die Patientenversorgung nicht zu unterbrechen. Bundesbehörden haben wiederholt auf diesen Trend hingewiesen; gemeinsame Warnhinweise zu Bedrohungen wie Gunra-Ransomware haben beispielsweise speziell die Zielrichtung auf den Gesundheits- und Finanzsektor als wachsende Besorgnis hervorgehoben. Eine verwandte Aufschlüsselung desselben Warnhinweises stellte fest, wie aggressive Double-Extortion-Taktiken – das Stehlen von Daten vor der Verschlüsselung – zur Standardpraxis bei mehreren Ransomware-Operationen geworden sind, nicht nur bei den in dieser speziellen Zusammenstellung genannten.

Eine seltene Verurteilung: Das Urteil gegen den Conti-Affiliate

Inmitten der Datenschutzverletzungsnachrichten berichtete die Zusammenstellung auch über ein konkretes rechtliches Ergebnis: Ein US-Gericht verurteilte einen ukrainischen Staatsangehörigen zu vier Jahren Gefängnis für seine Rolle bei Conti-Ransomware-Angriffen. Conti war eine der produktivsten und destruktivsten Ransomware-Operationen der vergangenen Jahre und erpresste eine große Anzahl von Organisationen, bevor seine Infrastruktur gestört wurde. Verurteilungen mit direktem Bezug zur Bande waren selten, was dieses Urteil bemerkenswert macht, auch wenn die Rolle der Einzelperson nur ein Teil eines viel größeren kriminellen Unternehmens war.

Der Fall erinnert daran, dass Strafverfolgungsmaßnahmen gegen Ransomware-Betreiber tatsächlich stattfinden, sogar Jahre nach einem Angriff, aber sie geschehen selten in dem Ausmaß oder Tempo, das nötig wäre, um neue Datenschutzverletzungen in der Zwischenzeit zu verhindern. Windows-Zero-Day-Schwachstellen, die aktiv ausgenutzt werden und ebenfalls in derselben Zusammenstellung gemeldet wurden, unterstreichen, dass Angreifer weiterhin neue Einstiegspunkte finden, während ältere Fälle ihren Weg durch die Gerichte nehmen.

Was das für Sie bedeutet

Wenn Sie oder ein Familienmitglied mit einem Hospizdienstleister, einer Versicherungsgesellschaft oder einem pharmazeutischen Dienst in Verbindung stehen, der mit diesen Vorfällen zusammenhängt, ist es ratsam, Ihre medizinischen und Versicherungsunterlagen als potenziell exponiert zu behandeln. Datenschutzverletzungen im Gesundheitswesen wie diese führen oft nicht sofort zu finanziellem Betrug, aber gestohlene medizinische und Identitätsinformationen können monate- oder jahrelang zirkulieren, bevor sie missbraucht werden.

Für Alltagsnutzer führen einige praktische Gewohnheiten weit: Überwachen Sie Versicherungsabrechnungen auf unbekannte Ansprüche, achten Sie auf Phishing-E-Mails, die sich auf echte medizinische Anbieter beziehen, und verwenden Sie einzigartige Passwörter für Gesundheitsportale. Beim Zugriff auf sensible medizinische Konten in öffentlichen oder gemeinsam genutzten Netzwerken bietet ein VPN eine zusätzliche Schutzschicht, indem es Ihre Verbindung verschlüsselt, obwohl es eine Datenschutzverletzung auf Seiten des Anbieters nicht verhindern kann. Die eigentliche Verteidigung gegen Vorfälle wie das Datenleck bei OnePoint Patient Care muss von den Organisationen kommen, die die Daten halten, nicht nur von den Einzelpersonen, deren Daten es sind.

Wichtige Erkenntnisse

  • Prüfen Sie auf Datenschutzverletzungsbenachrichtigungen, wenn Sie kürzlich Hospiz-, Apotheken- oder verwandte medizinische Dienste genutzt haben, und lesen Sie sie sorgfältig, anstatt sie zu überfliegen.
  • Fordern Sie regelmäßig eine Kopie Ihrer medizinischen Unterlagen und Ihrer Versicherungs-Leistungsübersichten an, um unbefugte Aktivitäten frühzeitig zu erkennen.
  • Verwenden Sie starke, einzigartige Anmeldedaten für jedes Gesundheitsportal und aktivieren Sie Multi-Faktor-Authentifizierung, wo sie angeboten wird.
  • Behandeln Sie Behauptungen von Ransomware-Gruppen mit Vorsicht, aber nicht mit Ablehnung; die Verifizierung dauert Zeit, aber die zugrunde liegende Exposition ist oft real.
  • Bleiben Sie sich bewusst, dass Verurteilungen wie das Urteil gegen den Conti-Affiliate zeigen, dass Rechenschaft möglich ist, aber Prävention weiterhin von den Sicherheitspraktiken der Organisationen abhängt, denen Sie Ihre Daten anvertrauen.