Drei Canberra GP-Praxen gehackt, Patientendaten offengelegt

Tausende Patientendaten bei Datenpanne in Canberra GP-Klinik offengelegt

Drei Allgemeinarztpraxen im ACT haben Datenschutzverletzungen bestätigt, bei denen Tausende Patientendaten offengelegt wurden, so ein Bericht der Canberra Times. Die Vorfälle haben Bedenken darüber neu entfacht, wie gut der australische Gesundheitssektor sensible medizinische Daten schützt. Ein Cybersicherheitsexperte nannte Gesundheitsdaten „einige der wertvollsten Daten“, die auf dem Schwarzmarkt erhältlich sind.

Die Vorfälle betrafen mehrere Canberra GP-Kliniken und fügten das ACT einer wachsenden Liste australischer Regionen hinzu, die mit Cybervorfällen im Gesundheitswesen zu kämpfen haben. Die genaue Zahl der Datensätze variiert je nach Praxis, doch das Ausmaß ist groß genug, um einen erheblichen Teil der Patienten des Territoriums zu betreffen, von denen viele möglicherweise noch nicht wissen, dass ihre Daten betroffen sind.

Warum Gesundheitsdaten ein bevorzugtes Ziel sind

Medizinische Unterlagen sind für Cyberkriminelle besonders attraktiv, weil sie eine Kombination von Informationen enthalten, die schwer zu ändern und leicht auszubeuten sind. Anders als eine gestohlene Kreditkartennummer, die gesperrt und neu ausgestellt werden kann, bleiben das Geburtsdatum, die Medicare-Nummer, die Krankengeschichte und die Identifikationsmerkmale eines Patienten dauerhaft gültig. Genau diese Beständigkeit ist der Grund, warum Fachleute Gesundheitsdaten durchgängig zu den wertvollsten Kategorien zählen, die auf Darknet-Marktplätzen gehandelt werden.

Dieses Muster ist nicht auf Canberra beschränkt. Australische Gesundheitsdienstleister reihen sich in den letzten Jahren in eine weltweite Liste von Zielen ein, und die Vorfälle in den GP-Kliniken spiegeln ähnliche Vorfälle im Ausland wider. In den Vereinigten Staaten wurden durch die Datenpanne bei Change Healthcare rund 192,7 Millionen Datensätze im Zusammenhang mit Abrechnungs- und Versicherungsprozessen offengelegt, während ein Ransomware-Angriff auf ein Krankenhaussystem in Tennessee zur Datenpanne am Cookeville Regional Medical Center führte, die fast 338.000 Patienten betraf. Auch Telemedizin-Plattformen blieben nicht verschont, wie die Datenpanne bei OpenLoop Health zeigt, bei der Daten von 716.000 Patienten offengelegt wurden. Zusammengenommen veranschaulichen diese Vorfälle einen beständigen Trend: Gesundheitseinrichtungen jeder Größe und Fachrichtung sind attraktive Ziele, und GP-Kliniken, die die alltägliche Patientenversorgung abwickeln, bilden da keine Ausnahme.

Eine gesetzliche Lücke beim Schutz der Gesundheitsdaten

Eine der pointiertesten Beobachtungen aus der Berichterstattung ist die Vermutung, dass die Bundesgesetzgebung nicht mit den Risiken Schritt gehalten hat, denen Gesundheitsdienstleister ausgesetzt sind. Kleinere Arztpraxen, einschließlich GP-Kliniken, arbeiten oft mit begrenzten IT-Budgets und weniger Personal im Vergleich zu Krankenhausverbünden oder Versicherungsunternehmen, verfügen aber über ebenso sensible Patientendaten. Ohne strengere grundlegende Sicherheitsanforderungen oder klarere Benachrichtigungspflichten, die auf den primärmedizinischen Bereich zugeschnitten sind, können Praxen ihre eigene Sicherheitsstrategie bestimmen – mit äußerst uneinheitlichen Ergebnissen.

Dabei handelt es sich nicht um ein rein australisches Problem. Ähnliche Lücken zeigen sich auch international, etwa im Fall von ChipSoft, der Software für elektronische Gesundheitsakten, die in einem großen Teil der Krankenhäuser in den Niederlanden eingesetzt wird. Dort wurde bei einem Datenleck sensible Patientendaten offengelegt, während die Verschlüsselungspraktiken auf dem Prüfstand standen. Der gemeinsame Nenner ist, dass der Schutz von Gesundheitsdaten oft hinter der Raffinesse der Bedrohungen zurückbleibt, die auf sie abzielen – unabhängig von Land oder Praxisgröße.

Was das für Sie bedeutet

Wenn Sie Patient in einer Canberra GP-Klinik oder irgendwo in Australien sind, ist diese Datenschutzverletzung eine Erinnerung daran, dass Ihre medizinischen Daten für Kriminelle einen echten Wert haben, auch wenn sie sich nicht so unmittelbar sensibel anfühlen wie Finanzdaten. Gestohlene medizinische Unterlagen können für Identitätsdiebstahl, Versicherungsbetrug oder gezielte Phishing-Betrügereien genutzt werden, die sich auf echte Details aus Ihrer Gesundheitshistorie beziehen, um überzeugender zu wirken.

Das praktische Risiko ist nicht auf die direkt in diesem Vorfall genannten Kliniken beschränkt. Wie bei Datenschutzverletzungen wie der Humana-Datenpanne, die Patienten in sechs US-Bundesstaaten betraf, wirken sich Datenpannen im Gesundheitswesen oft weit darüber hinaus aus und betreffen Menschen, die nie direkt mit der betroffenen Einrichtung zu tun hatten – über gemeinsame Patientendatensysteme, Überweisungen oder externe Abrechnungsdienstleister.

Umsetzbare Maßnahmen

Wenn Sie glauben, dass Ihre Unterlagen von dieser Datenschutzverletzung betroffen sein könnten, oder Ihre Gefährdung künftig verringern möchten, ziehen Sie die folgenden Schritte in Betracht:

• Kontaktieren Sie Ihre GP-Klinik direkt, um zu klären, ob Ihre Daten betroffen waren, und fragen Sie, auf welche konkreten Daten zugegriffen wurde.
• Achten Sie auf Phishing-Versuche, die sich auf echte medizinische Details, Termindaten oder Verschreibungsinformationen beziehen, da diese schwerer zu erkennen sind als allgemeine Spam-E-Mails.
• Überprüfen Sie Medicare- und private Krankenversicherungsabrechnungen auf unbekannte Forderungen oder Leistungen, die Sie nicht in Anspruch genommen haben.
• Fragen Sie Ihre Gesundheitsdienstleister, welche Sicherheitsmaßnahmen sie implementiert haben – einschließlich Verschlüsselung und Mitarbeiterschulungen –, denn Patienten haben das Recht, diese Fragen zu stellen.
• Erwägen Sie eine Bonitätsprüfung, falls Identifikationsdokumente betroffen waren, da medizinische Datenschutzverletzungen zunehmend persönliche Identifikationsmerkmale enthalten, die für umfassenderen Identitätsdiebstahl genutzt werden können.

Die Datenpanne in den Canberra GP-Kliniken unterstreicht eine grundlegende Wahrheit: Der Schutz der Privatsphäre im Gesundheitswesen muss sich im gleichen Tempo weiterentwickeln wie der Wert, den Kriminelle medizinischen Daten beimessen. Sich über Datenschutzverletzungen bei den eigenen Anbietern auf dem Laufenden zu halten und direkte Fragen zum Schutz der eigenen Daten zu stellen, bleibt eines der wirksamsten Mittel, die Patienten zur Verfügung stehen.