Die Sicherheitsverletzung bei OpenLoop Health zeigt die anhaltenden Risiken in der digitalen Gesundheitsbranche. Das Unternehmen mit Sitz in Des Moines, Iowa, stellt White-Label-Infrastruktur für Telemedizin bereit und unterstützt damit zahlreiche Gesundheitsorganisationen und Verbraucherplattformen bei der Bereitstellung virtueller Arztbesuche.
Nach Angaben von Benachrichtigungsschreiben, die OpenLoop Health an die Generalstaatsanwälte in Kalifornien und Texas eingereicht hat, wurde die unbefugte Zugriff am 7. Januar entdeckt. Die Angreifer hatten zwischen dem 7. und 8. Januar Zugang zu bestimmten Systemen des Unternehmens und exfiltriert persönliche Informationen. Das Unternehmen betont, dass elektronische Gesundheitsakten, Sozialversicherungsnummern und Finanzinformationen nicht betroffen waren – ein schwacher Trost für die betroffenen Patienten.
OpenLoop Health reagierte den Angaben zufolge umgehend: Das Unternehmen trennte die unbefugte Verbindung, rief externe Cybersecurity-Spezialisten zu Hilfe und verstärkte seine Sicherheitskontrollen. Die Zusammenarbeit mit Strafverfolgungsbehörden erfolgte ebenfalls. Dennoch bleibt die Identität der Angreifer ungeklärt – allerdings hat eine Threat-Actor-Gruppe behauptet, für den Angriff verantwortlich zu sein und behauptet, sogar Daten von 1,6 Millionen Personen erbeutet zu haben.
Das Unternehmen hat den betroffenen Personen ein Jahr kostenlose Identitäts- und Kreditüberwachungsdienste zur Verfügung gestellt und warnt Nutzer, auf Betrugsfälle und Identitätsdiebstahl zu achten – eine Standard-Reaktion, die jedoch nur begrenzte praktische Hilfe bietet.
Dieser Vorfall reiht sich in eine Reihe von Datenpannen im US-amerikanischen Gesundheitssektor ein. Erst kürzlich waren Patienten in Illinois, Texas und Tennessee von ähnlichen Vorfällen betroffen, bei denen jeweils Zehntausende bis Hunderttausende von Datensätzen kompromittiert wurden. Die Häufung dieser Angriffe unterstreicht die Notwendigkeit robusterer Sicherheitsmaßnahmen in der Telemedizin-Industrie – ein Thema, das auch für deutsche Anbieter von digitaler Gesundheitstechnik relevant ist.