Der Vorfall bei Aesto Health zählt zu den größten bekannt gewordenen Datenabflüssen im US-Gesundheitssektor. Das Unternehmen aus Birmingham im Bundesstaat Alabama arbeitet als Dienstleister im Hintergrund: Es übernimmt für Kliniken und Arztpraxen die sichere Migration von Datenbeständen, wickelt den Austausch elektronischer Patientenakten ab und archiviert Altsysteme. Entsprechend groß ist der Datenbestand, der bei dem Unternehmen zusammenläuft.
Nach Darstellung von Aesto Health in einem Vorfallshinweis vom Juni 2026 fiel die unbefugte Aktivität am 18. Dezember 2025 auf. Betroffen waren Teile der Infrastruktur des Unternehmens bei Amazon Web Services. „Nach Entdeckung der unbefugten Aktivität haben wir den Vorfall unmittelbar eingedämmt und eine gründliche Untersuchung eingeleitet. Im Rahmen dieser Untersuchung haben wir führende Cybersicherheitsexperten hinzugezogen, um festzustellen, welche personenbezogenen Daten gegebenenfalls betroffen waren", teilte das Unternehmen mit.
Die Aufarbeitung zog sich über Monate. Erst am 26. Mai 2026 stand nach Angaben des Unternehmens fest, dass die Angreifer im Zeitraum vom 2. bis zum 18. Dezember personenbezogene Daten (PII) und geschützte Gesundheitsdaten (PHI) abgeflossen sind. Der Zugriff erstreckte sich damit über gut zwei Wochen, bevor er bemerkt wurde.
Der Umfang der kompromittierten Datenkategorien ist ungewöhnlich breit. Nach Angaben des Unternehmens sind Namen, Sozialversicherungsnummern, Führerscheinnummern und weitere Ausweisnummern, Geburtsdaten, Finanzkontonummern, medizinische Informationen, Angaben zur Krankenversicherung sowie Steueridentifikationsnummern betroffen. Damit liegen sowohl Identifikations- als auch Finanz- und Gesundheitsdaten in einer einzigen Sammlung vor.
Gegenüber dem US-Gesundheitsministerium (Department of Health and Human Services, HHS) meldete Aesto Health eine Betroffenenzahl von 9.540.683 Personen. Das HHS hat den Fall am Montag in sein öffentliches Portal für Datenschutzverletzungen aufgenommen, in dem meldepflichtige Vorfälle im Gesundheitswesen gelistet werden.
Die Folgen reichen über das Unternehmen selbst hinaus: Mindestens zwei Dutzend Kunden von Aesto Health aus dem Gesundheitswesen in mehreren US-Bundesstaaten sind von dem Vorfall betroffen. Einige dieser Leistungserbringer haben sich entschieden, die potenziell betroffenen Personen selbst zu benachrichtigen, statt die Benachrichtigung dem Dienstleister zu überlassen.