Der Datenverstoß bei Change Healthcare, der am 22. Oktober 2024 von UnitedHealth bestätigt wurde, hat sich zu einem der größten Datenschutzverstöße im Gesundheitswesen in der Geschichte der USA entwickelt. Bei diesem Cyberangriff wurden die sensiblen persönlichen und gesundheitlichen Daten von über 100 Millionen Menschen offengelegt. Auslöser war ein Ransomware-Angriff auf Change Healthcare, eine Tochtergesellschaft von UnitedHealth, im Februar 2024. Hier bieten wir einen klaren und umfassenden Überblick über den Vorfall, seine Folgen und die Fragen, die die Menschen haben könnten.
Datenschutzverletzung im Gesundheitswesen ändern: Was ist passiert?
Im Februar 2024 wurde Change Healthcare von einem Ransomware-Angriff der ALPHV/BlackCat-Gruppe heimgesucht. Die Angreifer nutzten gestohlene Zugangsdaten, um in das Fernzugriffssystem des Unternehmens einzudringen, das über keine Multi-Faktor-Authentifizierung (MFA) verfügte. Dadurch konnten sie rund sechs Terabyte an Daten stehlen und die IT-Systeme des Unternehmens verschlüsseln, was zu weit verbreiteten Ausfällen im gesamten Gesundheitswesen führte. Der Angriff betraf zahlreiche Gesundheitseinrichtungen, darunter Krankenhäuser, Kliniken und Apotheken, die bei der Bearbeitung von Versicherungsansprüchen und anderen wichtigen Vorgängen stark auf Change Healthcare angewiesen waren.
UnitedHealth, die Muttergesellschaft von Change Healthcare, gab zu, den Angreifern ein Lösegeld in Höhe von 22 Millionen US-Dollar für einen Entschlüsseler gezahlt und versprochen zu haben, die gestohlenen Daten zu löschen. Die Tochtergesellschaften der Ransomware-Gruppe behaupteten jedoch, dass sie noch über die Daten verfügten und forderten eine zusätzliche Zahlung, was zu einer zweiten Runde von Erpressungsversuchen führte. Dies führte zu anhaltender Unsicherheit und Stress für betroffene Personen, Gesundheitsdienstleister und Patienten, die sich über die Sicherheit ihrer sensiblen Daten nicht im Klaren waren.
Der Angriff führte auch zu erheblichen Störungen der Gesamtfunktionalität des Gesundheitssystems. Der fehlende Zugang zu kritischen Systemen führte dazu, dass Gesundheitsdienstleister Schwierigkeiten hatten, ihre Dienstleistungen effizient zu erbringen, und Patienten mit Verzögerungen bei der Bereitstellung notwendiger Behandlungen konfrontiert waren. Der Datenverstoß bei Change Healthcare hat die Fragilität der IT-Infrastruktur des Gesundheitssektors deutlich gemacht, insbesondere wenn sie von gut koordinierten Cyberangriffen angegriffen wird.
Informationen, die im Rahmen der Datenpanne bei Change Healthcare offengelegt wurden
Durch den Datenverstoß wurden zahlreiche persönliche und gesundheitsbezogene Informationen offengelegt, darunter:
- Informationen zur Krankenversicherung: Versicherungsdetails, Mitglieds-IDs und Medicaid/Medicare-Informationen. Diese Art von Daten sind äußerst sensibel, da sie für betrügerische Versicherungsansprüche und Identitätsdiebstahl verwendet werden können.
- Gesundheitsinformationen: Krankenaktennummern, Diagnosen, Behandlungen, Medikamente, Testergebnisse und Pflegedetails. Solche Informationen sind nicht nur sensibel, sondern auch zutiefst persönlich, und ihre Offenlegung kann schwerwiegende Auswirkungen auf die Privatsphäre und das Wohlbefinden des Einzelnen haben.
- Rechnungs- und Finanzinformationen: Anspruchsnummern, Zahlungsdetails sowie Finanz- und Bankinformationen. Durch die Offenlegung von Finanzinformationen sind betroffene Personen dem Risiko von Finanzbetrug und Identitätsdiebstahl ausgesetzt.
- Persönliche Identifikatoren: Sozialversicherungsnummern, Führerscheine und Reisepassnummern. Diese Identifikatoren sind für die Feststellung der Identität einer Person von entscheidender Bedeutung und machen ihre Gefährdung besonders gefährlich.
Die Art der gestohlenen Informationen variierte von Person zu Person, und nicht bei allen Betroffenen wurde die gesamte Krankengeschichte beeinträchtigt. Die schiere Menge und Vielfalt der gestohlenen Daten machen diesen Verstoß jedoch zu einem der besorgniserregendsten in der jüngeren Geschichte. Der potenzielle Missbrauch dieser Informationen stellt ein erhebliches Risiko für die Privatsphäre, die finanzielle Sicherheit und das allgemeine Wohlbefinden des Einzelnen dar.
Der Ransomware-Angriff im Februar verursachte erhebliche Störungen im Gesundheitssystem. Ärzte, Kliniken und Apotheken hatten Schwierigkeiten bei der Bearbeitung von Versicherungsansprüchen, was den Zugang der Patienten zu vorab genehmigten Medikamenten und Behandlungen beeinträchtigte. Besonders betroffen waren kleinere Gesundheitsdienstleister und ländliche Apotheken, die aufgrund der Zahlungsausfälle teilweise sogar vor der Insolvenz standen. Die Unfähigkeit, Ansprüche und Zahlungen rechtzeitig zu bearbeiten, führte zu einer erheblichen finanziellen Belastung für diese kleineren Anbieter, von denen viele mit knappen Budgets arbeiten.
Der Verstoß zeigte auch Schwachstellen in der Datensicherheit im Gesundheitswesen auf, was zu Fragen zu den Cybersicherheitspraktiken von UnitedHealth führte. Während einer Anhörung vor dem Kongress gab Andrew Witty, CEO von UnitedHealth, zu, dass der Datenverstoß bei Change Healthcare hätte verhindert werden können, wenn das Unternehmen eine Multi-Faktor-Authentifizierung verwendet hätte. Obwohl UnitedHealth jährlich 300 Millionen US-Dollar für Cybersicherheit ausgibt, ist es UnitedHealth nicht gelungen, diese grundlegende Schutzmaßnahme umzusetzen. Dieser Fehler ermöglichte den Angreifern nicht nur den Zugriff, sondern ließ auch Bedenken hinsichtlich der Wirksamkeit der gesamten Cybersicherheitsstrategie von UnitedHealth aufkommen.
Der Datenverstoß bei Change Healthcare hat auch zu einer verstärkten Kontrolle durch Aufsichtsbehörden und Gesetzgeber geführt. Das US-Gesundheitsministerium (HHS) und andere Aufsichtsbehörden haben Untersuchungen zu den Cybersicherheitspraktiken von UnitedHealth und dem Versäumnis, sensible Gesundheitsdaten zu schützen, eingeleitet. Der Gesetzgeber hat strengere Vorschriften und strengere Anforderungen an Gesundheitsorganisationen gefordert, um sicherzustellen, dass sich solche Verstöße nicht wiederholen. Dieser Vorfall hat eine breitere Diskussion über die Notwendigkeit verbesserter Cybersicherheitsstandards in der gesamten Gesundheitsbranche ausgelöst.
Was zu tun?
Vereinigte Gesundheitsgruppe hat geteilt wichtige Hinweise zu den Schritten, die Sie nach dem jüngsten Vorfall einer Datenschutzverletzung unternehmen können.
1. Melden Sie sich für die kostenlose Kreditüberwachung an
- Greifen Sie auf kostenlose Kreditüberwachungsdienste zu: United Health Group bietet über IDX zwei Jahre lang kostenlose Kreditüberwachung und Identitätsschutz an. Um sich anzumelden, klicken Sie auf den Link „Jetzt anmelden“ oder rufen Sie 1-888-846-4705 an.
- Schützen Sie Ihre Identität: Dieser Dienst überwacht den möglichen Missbrauch Ihrer Daten und stellt Warnungen und Hilfe bereit, wenn verdächtige Aktivitäten festgestellt werden. Der Versicherungsschutz wird von Change Healthcare für zwei Jahre bezahlt.
2. Überwachen Sie Ihre Gesundheits- und Finanzunterlagen
- Überprüfen Sie Ihre Gesundheitsberichte: Überprüfen Sie regelmäßig Ihre Leistungserklärungen (Explanation of Benefits, EOB) und Dokumente von Gesundheitsdienstleistern, um unbekannte oder nicht autorisierte Leistungen zu erkennen.
- Finanzberichte überprüfen: Achten Sie auf Ihre Bank- und Kreditkartenabrechnungen sowie Ihre Steuerunterlagen auf unerwartete Belastungen oder Transaktionen.
- Melden Sie verdächtige Aktivitäten: Wenn Sie ungewöhnliche Aktivitäten bemerken, wenden Sie sich sofort an Ihren Arzt, Ihre Versicherung oder Ihr Finanzinstitut. Reichen Sie im Falle einer unbefugten Aktivität einen Polizeibericht bei den örtlichen Strafverfolgungsbehörden ein.
3. Bleiben Sie über den Verstoß auf dem Laufenden
- Überprüfen Sie Ihre Benachrichtigung: Change Healthcare hat damit begonnen, Benachrichtigungen per Post an die von dem Verstoß betroffenen Personen zu versenden. Diese Benachrichtigung enthält Einzelheiten dazu, welche Daten möglicherweise kompromittiert wurden. Wenn Sie glauben, dass Sie betroffen sind, stellen Sie sicher, dass Ihre Kontaktinformationen bei United Health Group aktualisiert sind.
- Suchen Sie bei Bedarf Unterstützung: Ein spezielles Callcenter (1-866-262-5342) steht zur Beantwortung von Fragen, zur Unterstützung bei der Kreditüberwachung und zur emotionalen Unterstützung durch geschulte Kliniker zur Verfügung.
4. Stärken Sie Ihre finanzielle Sicherheit
- Bestellen Sie eine kostenlose Bonitätsauskunft: Greifen Sie über auf Ihre jährliche Kreditauskunft von jedem Kreditbüro zu www.annualcreditreport.com oder telefonisch unter 877-322-8228. Dieser Bericht hilft bei der Identifizierung unbekannter Konten oder Bonitätsprüfungen.
- Platzieren Sie eine Betrugswarnung: Eine Betrugswarnung weist Gläubiger darauf hin, zusätzliche Überprüfungsschritte durchzuführen, bevor sie neue Konten in Ihrem Namen eröffnen. Sie können eine Betrugswarnung hinzufügen, indem Sie sich an eines der Kreditbüros wenden:
- Equifax: 800-525-6285
- Experian: 888-397-3742
- TransUnion: 800-680-7289
- Sperren Sie Ihr Guthaben: Eine Sicherheitssperre verhindert, dass in Ihrem Namen ein neues Guthaben eröffnet wird. Wenden Sie sich an jedes Kreditbüro, um eine Sperrung zu beantragen:
- Equifax: 800-525-6285
- Experian: 888-397-3742
- TransUnion: 800-680-7289
5. Verstehen Sie die Schutzmaßnahmen
- Betrugswarnung vs. Sicherheitsstopp:
- Betrugswarnung: Fügt Ihrer Kreditauskunft eine Benachrichtigung hinzu, dass Sie möglicherweise Opfer eines Betrugs geworden sind. Gläubiger müssen Ihre Identität überprüfen, bevor sie ein neues Konto eröffnen.
- Sicherheitsstopp: Verhindert, dass Gläubiger vollständig auf Ihre Kreditauskunft zugreifen, und sperrt neue Konten, es sei denn, Sie heben die Sperre auf.
Finanzielle Auswirkungen des Datenverstoßes bei Change Healthcare
Die finanziellen Auswirkungen des Datenverstoßes bei Change Healthcare waren erheblich. Der Angriff im Februar führte zu Verlusten in Höhe von 872 Millionen US-Dollar, die bis Ende September 2024 auf 2,45 Milliarden US-Dollar anstiegen. Zu diesen Kosten gehörten beschleunigte Zahlungen und zinslose Darlehen an betroffene Gesundheitsdienstleister, der Wiederaufbau der Systeme von Change Healthcare und Maßnahmen zur Reaktion auf Vorfälle. Die finanzielle Belastung beschränkte sich nicht nur auf UnitedHealth; Viele Gesundheitsdienstleister, die sich auf die Dienste von Change Healthcare verließen, sahen sich ebenfalls mit erheblichen finanziellen Belastungen konfrontiert.
Zusätzlich zu den direkten Kosten für die Reaktion auf den Verstoß erlitt UnitedHealth auch einen Reputationsschaden. Der Verstoß hat das Vertrauen in die Fähigkeit von UnitedHealth, sensible Daten zu schützen, untergraben, und dieser Vertrauensverlust könnte langfristige finanzielle Auswirkungen haben. Patienten und Gesundheitsdienstleister zögern möglicherweise, mit einem Unternehmen zusammenzuarbeiten, bei dem ein so schwerwiegender Sicherheitsmangel aufgetreten ist, der möglicherweise zu Geschäfts- und Umsatzeinbußen führt.
Die finanziellen Auswirkungen erstreckten sich auch auf die betroffenen Personen. Diejenigen, deren persönliche und finanzielle Daten kompromittiert wurden, waren dem Risiko von Identitätsdiebstahl und Finanzbetrug ausgesetzt. Viele Personen mussten Maßnahmen ergreifen, um sich zu schützen, wie zum Beispiel ihre Kreditwürdigkeit einzufrieren, ihre Finanzkonten zu überwachen und auf Anzeichen von Identitätsdiebstahl zu achten. Die Kosten dieser Schutzmaßnahmen, sowohl zeitlich als auch finanziell, erhöhten die Gesamtbelastung durch den Verstoß.
Wie viele Personen waren von dem Verstoß betroffen?
Über 100 Millionen Menschen waren von der Datenpanne bei Change Healthcare betroffen. Dies macht es zu einem der größten Datenschutzverstöße bei Gesundheitsinformationen in der Geschichte. Die Zahl der betroffenen Personen unterstreicht das Ausmaß des Angriffs und die große Reichweite der Aktivitäten von Change Healthcare in den Vereinigten Staaten.
Welche Art von Informationen wurden gestohlen?
Zu den gestohlenen Daten gehörten Krankenversicherungsdaten, Krankenakten, Rechnungs- und Zahlungsinformationen, Sozialversicherungsnummern und andere persönliche Identifikatoren. Nicht bei allen Personen wurden die gleichen Arten von Daten kompromittiert, aber die Vielfalt der gestohlenen Daten bedeutet, dass die potenziellen Risiken vielfältig und erheblich sind. Die Offenlegung einer so breiten Palette an Informationen macht diesen Verstoß sowohl für den Einzelnen als auch für den Gesundheitssektor insgesamt besonders besorgniserregend.
Wer war für den Datenverstoß bei Change Healthcare verantwortlich?
Der Ransomware-Angriff wurde von der ALPHV/BlackCat-Gruppe durchgeführt, einer russischsprachigen Ransomware-Bande. Nach der ersten Lösegeldzahlung gründete ein Tochterunternehmen der Gruppe eine neue Ransomware-Operation namens RansomHub und forderte von UnitedHealth eine zusätzliche Zahlung. Diese Veranstaltungsreihe verdeutlicht die Herausforderungen im Umgang mit Ransomware-Gruppen, da selbst die Zahlung des Lösegelds nicht die Sicherheit der gestohlenen Daten garantiert.
#ALPHV Affiliates betrügen? 22 Millionen US-Dollar gezahlt und abgehoben pic.twitter.com/0ocKoXNLme
— 𝕯𝖒𝖎𝖙𝖗𝖞 𝕾𝖒𝖎𝖑𝖞𝖆𝖓𝖊𝖙𝖘 (@ddd1ms) 4. März 2024
Welche Maßnahmen hat Change Healthcare als Reaktion auf den Verstoß ergriffen?
Change Healthcare hat daran gearbeitet, betroffene Personen zu benachrichtigen und Verbrauchern und Gesundheitsdienstleistern Unterstützung anzubieten. Außerdem haben sie Teile ihres Netzwerks neu aufgebaut und zusätzliche Sicherheitsmaßnahmen implementiert. Zu diesen Maßnahmen gehören die Verbesserung ihrer Cybersicherheitsprotokolle, die Implementierung einer Multi-Faktor-Authentifizierung und die Durchführung einer gründlichen Überprüfung ihrer Sicherheitspraktiken, um zukünftige Vorfälle zu verhindern. Die Wirksamkeit dieser Maßnahmen bei der Wiederherstellung des Vertrauens und der Verhinderung künftiger Verstöße bleibt jedoch abzuwarten.
Hätte dieser Verstoß verhindert werden können?
Laut Andrew Witty, CEO von UnitedHealth, hätte der Datenverstoß bei Change Healthcare verhindert werden können, wenn das Unternehmen zum Schutz seiner Fernzugriffssysteme eine Multi-Faktor-Authentifizierung eingesetzt hätte. Dies verdeutlicht ein Versäumnis bei der Implementierung grundlegender Cybersicherheitsprotokolle. Die Tatsache, dass eine solch einfache Maßnahme eine der größten Datenschutzverletzungen im Gesundheitswesen in der Geschichte hätte verhindern können, unterstreicht, wie wichtig es ist, bewährte Praktiken im Bereich der Cybersicherheit einzuhalten. Es wirft auch Fragen zum allgemeinen Stand der Cybersicherheit in der Gesundheitsbranche und zur Notwendigkeit strengerer Vorschriften auf.
Welche langfristigen Folgen hat dieser Verstoß?
Zu den langfristigen Folgen gehört der mögliche Missbrauch gestohlener Daten für Identitätsdiebstahl oder weitere Erpressungsversuche. Der Datenverstoß bei Change Healthcare hat auch zu einem Vertrauensverlust in die Fähigkeit von UnitedHealth, sensible Gesundheitsinformationen zu schützen, geführt und eine behördliche Überprüfung ihrer Cybersicherheitspraktiken veranlasst. Darüber hinaus hat der Verstoß eine breitere Diskussion über die Notwendigkeit verbesserter Cybersicherheitsstandards im Gesundheitssektor ausgelöst. Die langfristigen Auswirkungen auf Einzelpersonen, Gesundheitsdienstleister und die Branche insgesamt werden davon abhängen, wie effektiv UnitedHealth und andere Interessengruppen diese Herausforderungen angehen und notwendige Veränderungen umsetzen.
Angesichts der Tatsache, dass über 100 Millionen Menschen betroffen sind, erinnern die Folgen dieses Angriffs daran, wie wichtig es ist, im Gesundheitssektor bessere Schutzmaßnahmen und Rechenschaftspflicht zu ergreifen. Der Vorfall hat erhebliche Schwachstellen in der Art und Weise, wie Gesundheitsdaten geschützt werden, aufgedeckt und zu Forderungen nach strengeren Vorschriften und wirksameren Sicherheitspraktiken geführt.
Laufende Ermittlungen zielen darauf ab, die Verantwortlichen ausfindig zu machen und ähnliche Vorfälle künftig zu verhindern. Der Datenverstoß bei Change Healthcare hatte jedoch bereits weitreichende Folgen und betrifft Millionen von Menschen, Gesundheitsdienstleister und das gesamte Gesundheitssystem. Die aus diesem Verstoß gezogenen Lehren müssen genutzt werden, um sinnvolle Veränderungen bei der Sicherung von Gesundheitsdaten voranzutreiben und sicherzustellen, dass der Datenschutz und die Sicherheit sensibler Daten von Einzelpersonen in einer zunehmend digitalen Welt Vorrang haben.
Bildnachweis: Kerem Gülen/Ideogramm
