CareCloud betreibt eine der führenden Cloud-Plattformen für Healthcare-Management in Nordamerika und bedient tausende medizinische Einrichtungen mit Lösungen für elektronische Patientenakten, Revenue-Cycle-Management, Praxisverwaltung und Patientenengagement. Der Vorfall am 16. März 2024 offenbart die anhaltende Verwundbarkeit des Gesundheitssektors gegenüber Cyberangriffen — ein Problem, das auch deutsche Krankenhäuser und Arztpraxen betrifft.
Nach Angaben der SEC-Mitteilung war nur die CareCloud-Health-Umgebung betroffen. Das Unternehmen versicherte, dass andere Plattformen, Divisionen, Systeme und Datenbestände nicht in Mitleidenschaft gezogen wurden. Die Ausfallzeit von acht Stunden ist verhältnismäßig kurz, doch der potenzielle Datenverlust bleibt das zentrale Problem. CareCloud führt derzeit eine Untersuchung durch, um zu ermitteln, ob Angreifer tatsächlich auf Patientendaten zugegriffen oder diese exfiltriert haben.
Das Unternehmen teilte mit, dass alle betroffenen Systeme vollständig wiederhergestellt wurden und die Bedrohungsakteure keinen Zugriff mehr haben sollen. Zum Zeitpunkt der Veröffentlichung hatte sich noch keine bekannte Ransomware-Gruppe zu dem Angriff bekannt. Dies könnte darauf hindeuten, dass es sich um einen gezielten Angriff handelt, bei dem Cyberkriminelle möglicherweise erst später Forderungen stellen, wenn Verhandlungen scheitern.
CareCloud bewertet den Vorfall derzeit als nicht wesentlich im Sinne der SEC-Richtlinien. Das Unternehmen geht davon aus, dass potenzielle finanzielle Verluste durch Cyberversicherungen gedeckt sind. Dennoch wurde der Vorfall der SEC gemeldet — ein Zeichen für die Sensibilität des Vorfalls angesichts von Reputationsrisiken, gesetzlichen Anforderungen und Kosten für die Vorfallbewältigung.
Für den deutschen Gesundheitssektor ist dieser Vorfall bemerkenswert, da zunehmend auch europäische Einrichtungen auf internationale Cloud-Services setzen. Die DSGVO verlangt strenge Datenschutzmaßnahmen bei Patientendaten, und Ausfallzeiten in kritischen Systemen können erhebliche regulatorische und operative Konsequenzen haben. Der CareCloud-Fall verdeutlicht die Notwendigkeit robuster Sicherheitskontrollen und regelmäßiger Sicherheitsaudits bei international agierenden Health-IT-Anbietern.