Change Healthcare informiert US-Bevölkerung über Datenleck

Inhaltsverzeichnis

Ein großer US-Dienstleister für Gesundheits-IT und Krankenversicherungen, Change Healthcare, informiert seine Kunden seit dem 20. Juni über ein Datenleck. In der Mitteilung werden Ärzten, Apotheken, Gesundheitsdienstleister und Patienten über den Vorfall benachrichtigt, der einen Großteil der US-Bevölkerung betrifft. Geprüft wird derzeit, welche Daten von welchen Kunden betroffen sind. Ab Ende Juli sollen Betroffene mit einem Brief informiert werden.

Zwar ist unklar, wie viele Personen betroffen sind, Change Healthcare geht jedoch von einem "erheblichen Teil der Menschen in Amerika" aus. Zu den veröffentlichten Daten können unter anderem Namen, Adressen, Geburtsdaten, Versicherungsdaten, Zahlungsinformationen, Sozialversicherungsnummern und weitere sensible Informationen zählen. Bei einigen Patienten sind auch medizinische Informationen wie Diagnosen, eingenommene Medikamente, Testergebnisse, Bild-, Pflege- und Behandlungsdaten betroffen. Dabei betont das Unternehmen, dass jeweils nur ein Teil der Daten veröffentlicht wurde: "Bis heute haben wir noch keine vollständigen Krankengeschichten in der Datenüberprüfung gesehen", heißt es in der Mitteilung.

Im Februar hatte Change Healthcare einen Ransomware-Angriff auf die Unternehmensinfrastruktur entdeckt. Infolge des Angriffs kam es zu massiven Systemausfällen, wovon auch die Versorgung betroffen war. Dahinter steckt wohl die Ransomware-Gruppierung AlphV. Im weiteren Verlauf hatte Change Healthcare ein Lösegeld von 22 Millionen US-Dollar in Bitcoin an AlphV gezahlt, wurde zusätzlich aber auch auf der Leak-Site der Ransomware-Gruppierung RansomHub gelistet.

Server nicht über Multi-Faktor-Authentifizierung abgesichert

Vor Wochen hatte Change Healthcare bei Gericht bestätigt, Lösegeld an die Cyberkriminellen gezahlt zu haben. In einer Anhörung vor dem US-Senat gab der CEO von UnitedHealth, Andrew Witty, an, dass die Angreifer über einen Server eingedrungen seien, der nicht durch eine Multi-Faktor-Authentifizierung geschützt war. So konnten die Angreifer auf die Citrix-Anwendung für den Fernzugriff auf die Systeme von Change Healthcare zugreifen.

Nach der Übernahme von Change Healthcare durch UnitedHealth 2022 habe man die Systeme erst auf Stand bringen müssen, so Witty. Daher sei es möglich, dass nicht überall entsprechende Sicherheitsmaßnahmen aktiv sind. Witty beteuerte jedoch, dass alle Mitarbeiter angehalten seien, die Multi-Faktor-Authentifizierung zu aktivieren. Warum die Angreifer eine Woche lang unbemerkt in den Systemen aktiv sein konnten, vermochte er nicht zu sagen – die genauen Umstände würden noch untersucht.

15 Milliarden jährliche Transaktionen

Change Healthcare verarbeitet nach eigenen Angaben rund 15 Milliarden Transaktionen pro Jahr und hat Zugriff auf jede dritte Patientenakte in den USA. Der Cyberangriff, der im ersten Quartal 2024 bereits eine Milliarde US-Dollar gekostet haben soll, hat bereits zu erheblichen Beeinträchtigungen geführt: So haben Apotheken in den USA seit Februar mit IT-Problemen zu kämpfen. Auch US-Militärkrankenhäuser sind weltweit betroffen.

Schutzmaßnahmen

Wer vermutet, betroffen zu sein, erhält von Change Healthcare zwei Jahre kostenlosen Identitätsschutz- und Kreditüberwachungssysteme. Außerdem sollen möglicherweise Betroffene ihre Kontoauszüge genau prüfen und verdächtige Aktivitäten melden. Change Healthcare arbeite "rund um die Uhr" mit Cybersicherheitsexperten und Strafverfolgungsbehörden zusammen, um den Vorfall aufzuklären. Zudem hat Change Healthcare eine Hotline eingerichtet.

(mack)