Craneware spricht von einem Einbruch in einen „Teilbereich“ seiner Datenumgebung. Das Unternehmen erklärte, eine große Zahl von Dateinamen sei eingesehen und aus dem Netzwerk kopiert worden. Der überwiegende Teil dieses Materials sei entweder nicht sensibel oder bereits öffentlich verfügbare Regulierungsdaten gewesen. Zugleich bestätigte Craneware aber, dass auch bestimmte Daten von Beschäftigten sowie Unterlagen zu Kunden und Partnern entwendet wurden.
Nach Unternehmensangaben läuft die genaue Aufarbeitung noch. Craneware versucht nach eigenen Worten weiterhin zu klären, was exakt gestohlen wurde, und will betroffene Organisationen und Personen benachrichtigen, sobald dies feststeht. Die Mitteilung nennt weder die Verantwortlichen noch den Zeitpunkt des Erstzugriffs oder die Dauer des Zugangs. Ebenfalls offen bleibt, ob eine Erpressungsforderung gestellt wurde.
Den Vorfall hat Craneware nach eigenen Angaben sowohl dem FBI als auch dem britischen Information Commissioner’s Office gemeldet. Externe Forensik-Ermittler wurden hinzugezogen. Gleichzeitig betont das Unternehmen, dass der Angriff eingedämmt worden sei und die Täter keinen Stützpunkt mehr in den Systemen hätten. Auch der Geschäftsbetrieb sei nicht beeinträchtigt worden: Weder die internen Abläufe noch die für Krankenhäuser bereitgestellten Dienste seien unterbrochen gewesen.
Welche Kunden konkret betroffen sind, lässt Craneware offen. Das Unternehmen nannte keine Namen von Kunden, deren Unterlagen in den Vorfall einbezogen waren. Ebenso teilte es nicht mit, ob sich unter den gestohlenen Daten auch Patienteninformationen befinden. Genau diese Frage ist relevant dafür, ob US-Vorgaben zum Schutz von Gesundheitsdaten zur Anwendung kommen.
Craneware wurde 1999 gegründet. Das Unternehmen verkauft Abrechnungs-, Preis- und Apothekensoftware an Gesundheitsdienstleister in den USA und gibt an, mit mehr als 2.000 Krankenhäusern sowie knapp 10.000 Kliniken und Einzelhandelsapotheken zusammenzuarbeiten. Damit betrifft der Vorfall einen Anbieter, der tief in Verwaltungs- und Abrechnungsprozesse des US-Gesundheitswesens eingebunden ist.
Der Fall reiht sich in eine Serie von Sicherheitsvorfällen bei Gesundheitsdienstleistern und deren Technologieanbietern ein. Im März warnte das Softwareunternehmen CareCloud, dass elektronische Patientenakten offengelegt worden sein könnten, nachdem Angreifer Zugriff auf seine Systeme erlangt hatten. Zwei Wochen vor dieser Warnung teilte das Healthcare-Analytics-Unternehmen Insightin staatlichen Aufsichtsbehörden mit, dass 1,1 Millionen Menschen von einem Datendiebstahl betroffen waren, der sich im September ereignet hatte. Weitere 3 Millionen Menschen verloren sensible Gesundheitsdaten, als Angreifer 2024 in die Systeme von TriZetto Provider Solutions eindrangen; bei einem Angriff auf das Technologieunternehmen Episource waren 5 Millionen Menschen betroffen.