Nutex Health hat einen Sicherheitsvorfall an die US-Börsenaufsicht SEC gemeldet. Laut der Einreichung in dieser Woche entdeckte das börsennotierte Unternehmen (NASDAQ: NUTX) vor kurzem einen unbefugten Zugriff auf sein Netzwerk. Angreifer öffneten Dateien auf einem Teil der Server und zogen diese ab; dabei könnten auch vertrauliche oder private Informationen abgeflossen sein.
Welchen Umfang der Abfluss hat, ist offen. Nutex versucht derzeit zu bestimmen, ob Daten zu Patienten, Mitarbeitern und Leistungserbringern, zu Geschäfts- und Finanzabläufen sowie geistiges Eigentum entwendet wurden. Eine Zuordnung zu einer bekannten Tätergruppe gibt es nicht — bislang hat sich offenbar keine einschlägige Cybercrime-Gruppe zu dem Angriff bekannt. Gleichzeitig hält das Unternehmen in seiner Offenlegung für möglich, dass die Angreifer die gestohlenen Daten veröffentlichen.
Zu den wirtschaftlichen Folgen äußert sich Nutex zurückhaltend, aber deutlich: „Zum Datum dieses aktuellen Berichts auf Formular 8-K geht das Unternehmen nicht davon aus, dass der unbefugte Zugriff wesentliche Auswirkungen auf die Geschäftsstrategie, den Betrieb, die Finanzlage oder die Geschäftsergebnisse des Unternehmens hatte oder aller Wahrscheinlichkeit nach haben wird.“
Das Unternehmen mit Sitz in Houston ist im Gesundheitswesen als Betreiber und Manager von Einrichtungen tätig. Zum Portfolio gehören Mikro-Kliniken, Spezialkliniken und ambulante Abteilungen — ein Umfeld, in dem typischerweise Patientendaten anfallen.
Wie viele Personen letztlich betroffen sind, hat Nutex nicht mitgeteilt. Datenlecks im Gesundheitssektor betreffen erfahrungsgemäß häufig Hunderttausende oder sogar Millionen Menschen; SecurityWeek verweist in diesem Zusammenhang etwa auf den Vorfall bei CareCloud, dessen Kreis der Betroffenen auf 3,7 Millionen Personen anwuchs, sowie auf die Datenpanne bei Unlimited Technology Systems mit 3,8 Millionen Betroffenen und den Fall Brown Health Medical Group-MA mit rund 311.000 Betroffenen.
Damit bleibt vorerst der von Nutex selbst gesetzte Ermittlungsstand entscheidend: Die Prüfung der abgeflossenen Dateien läuft, eine Benachrichtigung möglicher Betroffener oder eine Bezifferung des Ausmaßes steht nach der SEC-Meldung noch aus.