Die Sicherheitsverletzung bei QualDerm Partners reiht sich ein in eine wachsende Serie von Cyberangriffen auf Einrichtungen des Gesundheitssektors. Das Unternehmen mit Hauptsitz in Brentwood, Tennessee, betreibt Praxen in 17 US-Bundesstaaten und versorgt damit Millionen von Patienten. Die Auswirkungen dieses Vorfalls sind erheblich: Betroffen sind nicht nur allgemeine persönliche Daten, sondern auch hochsensible medizinische Informationen und Versicherungsdaten.
Die Ermittlungen zeigen, dass die Angreifer Zugriff auf eine begrenzte Anzahl von Systemen hatten. Neben den genannten Kategorien wurden in einigen Fällen sogar behördlich ausgestellte Ausweisdokumente kompromittiert. Das Unternehmen meldete den Vorfall dem US-amerikanischen Department of Health and Human Services und dokumentierte damit 3.117.874 betroffene Personen. Das Vorfallsmeldungsportal des HHS erhielt die Information erst in dieser Woche, obwohl der Angriff bereits im Dezember stattgefunden hatte.
Als Reaktion auf die Sicherheitsverletzung hat QualDerm sofortige Containment-Maßnahmen eingeleitet, Strafverfolgungsbehörden und Aufsichtsbehörden benachrichtigt und eine umfassende Sicherheitsbewertung durchgeführt. Den betroffenen Personen wird kostenlose Identitätsdiebstahl- und Kreditüberwachung für zwölf Monate angeboten – ein Standard in solchen Fällen, der den erheblichen Risiken Rechnung trägt.
Für deutsche Patienten und Unternehmen sollte dieser Fall als Weckruf dienen. Während das Ausmaß hier in Deutschland aufgrund unterschiedlicher Regulierung und Unternehmensstrukturen variieren mag, zeigt der Fall die Verwundbarkeit des Gesundheitssektors. Deutsche Datenschutzbehörden und das Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren ähnliche Angriffsmuster auch hier. Die Datenschutz-Grundverordnung (DSGVO) würde solche Vorfälle mit erheblich höheren Strafen ahnden als in den USA.
Die kontinuierlich steigende Zahl von Angriffen auf Gesundheitseinrichtungen deutet darauf hin, dass Cyberkriminelle diese Branche gezielt attackieren – wegen des großen Wertes medizinischer Daten und oft laxerer Sicherheitsvorkehrungen. Patienten sollten ihre Konten überwachen und angebotene Sicherheitsmaßnahmen nutzen.