Quest Diagnostics hat den Aufsichtsbehörden mitgeteilt, dass eine unbefugte Partei Zugriff auf eines seiner Systeme erlangt hat und dass „bestimmte Patientendaten“ betroffen sein könnten. Die Offenlegung, die in einer regulatorischen Meldung erfolgte und von SecurityWeek berichtet wurde, dreht sich um den Quanum Lab Services Manager, eine Plattform, über die bestimmte Kunden Testaufträge erteilen können. Die Details sind noch begrenzt, doch die Geschichte um die Quest Diagnostics Datenpanne mit Patientendaten bietet bereits jetzt nützliche Lehren für alle, die jemals in den Vereinigten Staaten Blutuntersuchungen oder andere Labortests haben durchführen lassen.

Was Quest zur Quanum-Datenpanne mitgeteilt hat

Laut dem Quellbericht meldete Quest Diagnostics den unbefugten Zugriff auf den Quanum Lab Services Manager in einer regulatorischen Meldung. Die Plattform wird von bestimmten Kunden genutzt, also von Gesundheitsdienstleistern und ähnlichen Organisationen, um Aufträge für Labortests zu erteilen. Es handelt sich nicht um eine verbraucherorientierte App, in die sich die meisten Patienten selbst einloggen.

Das Unternehmen erklärte, es gehe davon aus, dass bestimmte Patientendaten betroffen seien. Die Berichterstattung über die Meldung deutet zudem darauf hin, dass der vollständige Umfang noch untersucht wird. Einige in sozialen Medien kursierende Beiträge zu dem Vorfall erheben weitergehende Behauptungen, auch dazu, welche Datentypen offengelegt wurden. Da die Meldung selbst nur in allgemeinen Begriffen beschrieben wird, sollten diese Behauptungen mit Vorsicht behandelt werden, bis Quest oder die Aufsichtsbehörden weitere Details veröffentlichen.

Was wir mit Sicherheit sagen können, ist begrenzt: Auf eine kundenseitige Bestellplattform wurde unbefugt zugegriffen, bestimmte Patientendaten gelten als möglicherweise betroffen, und die Untersuchung dauert an. Leser sollten damit rechnen, dass sich das Bild ändert, je mehr das Unternehmen in Erfahrung bringt.

Warum Laborbestellplattformen eine Schwachstelle für die Datenschutzintegrität im Gesundheitswesen sind

Die meisten Menschen stellen sich ein Labor als eine einzelne Organisation vor. In der Praxis umfasst ein Test eine Kette von Beteiligten: die Arztpraxis, das Labor, Abrechnungssysteme und die Software, die sie verbindet. Portale wie Quanum existieren, damit externe Kunden Aufträge senden und Informationen erhalten können, was bedeutet, dass sie konstruktionsbedingt Patientendetails enthalten und für viele Nutzer von vielen Standorten aus erreichbar sind.

Diese Kombination schafft Risiken. Jeder angebundene Kunde ist ein weiterer Satz von Zugangsdaten, Geräten und Mitarbeitern, der ins Visier genommen werden könnte. Ein System, das für die Bequemlichkeit über viele Organisationen hinweg gebaut wurde, ist zugleich ein wertvoller einziger Zugangspunkt für einen Angreifer. Möglicherweise haben Sie noch nie von der Plattform gehört, doch Ihre Daten können sie durchlaufen, einfach weil ein Leistungserbringer ein bestimmtes Labor gewählt hat.

Das ist auch der Grund, warum Patienten oft aus zweiter Hand von einer Datenpanne erfahren. Die Organisation, mit der Sie direkt zu tun hatten, ist möglicherweise nicht diejenige, die kompromittiert wurde, sodass Benachrichtigungen von einem Unternehmen eintreffen können, das Sie nicht kennen.

Was das für Sie bedeutet

Wenn Sie Quest Diagnostics genutzt haben, direkt oder über einen Arzt, lautet die praktische Botschaft, wachsam zu bleiben statt in Panik zu geraten. Nicht jeder Patient ist betroffen, und das Unternehmen hat keine vollständige Liste der offengelegten Daten veröffentlicht.

Das sollten Sie jetzt tun:

  • Achten Sie in Ihrer Post und E-Mail auf ein Benachrichtigungsschreiben. Von Organisationen, die eine Datenpanne mit Auswirkungen auf personenbezogene Daten erleben, wird im Allgemeinen erwartet, dass sie die betroffenen Personen benachrichtigen. Lesen Sie jede Mitteilung sorgfältig und bewahren Sie eine Kopie auf.
  • Erwägen Sie eine Kreditsperre. Eine Sperre ist kostenlos und schränkt die Möglichkeit ein, dass jemand in Ihrem Namen neue Kredite aufnimmt. Sie ist eine sinnvolle Vorsichtsmaßnahme, wenn in einer Mitteilung steht, dass identifizierende Angaben betroffen waren.
  • Seien Sie skeptisch gegenüber unerwarteten Nachrichten zu Ihrer Gesundheit. SMS, Anrufe oder E-Mails, die Laborergebnisse, Abrechnung oder die „Überprüfung Ihrer Daten“ erwähnen, können Phishing-Versuche sein. Kontaktieren Sie Quest oder Ihren Leistungserbringer über eine Telefonnummer oder Website, die Sie selbst finden, nicht über eine in der Nachricht angegebene.
  • Überprüfen Sie Ihre Konten und Abrechnungen. Prüfen Sie die Aktivitäten bei Bank, Versicherung und Gesundheitsportal auf Ungewöhnliches und melden Sie Probleme umgehend.
  • Stärken Sie Ihre Logins. Verwenden Sie einzigartige Passwörter und Multi-Faktor-Authentifizierung für Patientenportale, E-Mail- und Finanzkonten.

Wie gestohlene Gesundheitsdaten nach einer Datenpanne genutzt werden

Medizinische Informationen sind attraktiv, weil sie Identitätsangaben mit sensibilitätsrelevantem Kontext verbinden. Kriminelle können sie nutzen, um überzeugende Phishing-Nachrichten zu erstellen, die auf einen echten Leistungserbringer oder einen echten Test verweisen, was die Wahrscheinlichkeit erhöht, dass Menschen klicken oder weitere Informationen preisgeben. Identitätsangaben können auch für Betrugsversuche verwendet werden.

Es gibt eine zweite Nutzung, die häufiger geworden ist: Druck. Gestohlene Datensätze können gegen eine Organisation als Druckmittel eingesetzt werden, wobei Angreifer damit drohen, sie zu veröffentlichen, wenn Forderungen nicht erfüllt werden. Unser Erklärartikel dazu, wie Reputation zur Waffe bei der Datenlösegeld-Erpressung wurde, behandelt, warum gestohlene Daten zu einem Verhandlungsinstrument geworden sind. Der Quellbericht zu Quest sagt nicht, dass hier Erpressung im Spiel ist, daher ist dies Kontext und keine Aussage über diesen Vorfall.

Es ist auch erwähnenswert, dass die Hinweise nach einer Datenpanne je nachdem variieren können, was entwendet wurde. In einem unabhängigen Fall riet ein Gastgewerbeunternehmen betroffenen Gästen, ihre Pässe und Führerscheine physisch zu ersetzen, nachdem Ausweisdokumente offengelegt worden waren. Dieses Unternehmen steht nicht mit Quest Diagnostics in Verbindung, doch das Beispiel zeigt, warum die in Ihrer Mitteilung aufgeführten konkreten Datentypen mehr zählen als die Schlagzeile.

Wichtigste Erkenntnisse

Die Offenlegung der Quest Diagnostics Datenpanne mit Patientendaten entwickelt sich noch, und die genaue Zahl der betroffenen Personen und die Arten der betroffenen Daten sind noch nicht öffentlich. Bis dahin decken einige Gewohnheiten den Großteil des Risikos ab:

  1. Achten Sie auf ein Benachrichtigungsschreiben zur Datenpanne und lesen Sie es genau.
  2. Sperren Sie Ihre Kreditauskunft, wenn die Mitteilung identifizierende Informationen erwähnt.
  3. Behandeln Sie unerwartete Nachrichten zu Gesundheit oder Abrechnung als verdächtig und verifizieren Sie sie über offizielle Kanäle.
  4. Aktivieren Sie die Multi-Faktor-Authentifizierung für Ihre wichtigen Konten.

Um zu verstehen, warum gestohlene Datensätze lange nach den ersten Schlagzeilen von Bedeutung sein können, lesen Sie unseren Beitrag zur Datenlösegeld-Erpressung durch Ransomware und nehmen Sie sich dann heute zehn Minuten Zeit, um Ihre Kreditauskunft und Konten abzusichern.