Datenpanne bei Gesundheits-Abrechnungsdienstleister betrifft 3,8 Millionen Patienten

Unlimited Technology Systems, ein in Ohio ansässiger Anbieter für Abrechnung und Revenue-Cycle-Management im Gesundheitswesen, hat eine Datenpanne offengelegt, bei der persönliche und medizinische Informationen von 3.803.750 Patienten preisgegeben wurden — eine der größten im Jahr 2026 gemeldeten Datenpannen im Gesundheitswesen.

Was geschah

Das Unternehmen mit Sitz in Montgomery, Ohio, bietet Finanz-, Abrechnungs- und Revenue-Cycle-Management-Dienstleistungen für mehr als 4.500 onkologische Praxen und über 6.500 Fachanbieter im Gesundheitswesen in den gesamten USA an. Unlimited Technology Systems entdeckte am 19. Oktober 2025 unbefugte Aktivität innerhalb eines seiner kommerziellen Rechenzentren. Eine anschließende Untersuchung ergab, dass ein unbefugter Akteur zwischen dem 5. und 10. Oktober 2025 auf Patientendaten zugegriffen — und möglicherweise kopiert — hatte, was bedeutet, dass die Panne etwa zwei Wochen lang unentdeckt blieb, bevor sie entdeckt wurde, und fast ein Jahr brauchte, um zur öffentlichen Offenlegung und formellen Meldung an Aufsichtsbehörden zu gelangen.

Welche Daten offengelegt wurden

Die kompromittierten Informationen umfassen sowohl persönlich identifizierbare Informationen als auch geschützte Gesundheitsinformationen. Zu den offengelegten PII gehören Patientennamen, Sozialversicherungsnummern, Geburtsdaten, Wohnadressen, E-Mail-Adressen, Telefonnummern sowie gescannte Ausweisdokumente wie Führerscheine und Versicherungskarten. Zu den offengelegten PHI gehören Krankenversicherungspolicennummern, Krankenaktennummern, Diagnosen, Behandlungsdaten sowie Anspruchs- und Leistungsinformationen. Das Unternehmen erklärte, die Panne habe keine vollständigen Krankenakten, diagnostische Bildgebung oder finanzielle Kontodaten wie Kreditkarten- oder Bankkontonummern offengelegt.

Wie Bleeping Computer berichtete, teilte Unlimited Technology Systems dem US-Gesundheitsministerium (HHS) offiziell mit, dass 3.803.750 Personen betroffen seien — womit diese Panne zu den größten zählt, die dieses Jahr unter den Meldepflichten des HHS für Datenschutzverletzungen offengelegt wurden. Das Unternehmen bietet betroffenen Patienten zwei Jahre kostenlose Kreditüberwachung, Betrugsberatung und Identitätsdiebstahl-Wiederherstellungsdienste an.

Warum das Ausmaß wichtig ist

Da Unlimited Technology Systems als Backend-Abrechnungsprozessor für Tausende onkologischer und Fachpraxen fungiert und nicht als patientenorientierte Marke, haben die meisten Betroffenen wahrscheinlich keine direkte Beziehung zum Unternehmen und wissen möglicherweise gar nicht, dass ihre Daten überhaupt durch dessen Systeme liefen — ein strukturelles Risiko, das im Ökosystem der Abrechnungs- und Revenue-Cycle-Anbieter im Gesundheitswesen häufig auftritt, wo eine einzige Panne bei einem Prozessor über die Patientenpopulationen Hunderter nicht verbundener Kliniken hinweg kaskadieren kann.

Die Kombination aus Sozialversicherungsnummern, medizinischen Diagnosen und Versicherungsdetails in einer einzigen Offenlegung ist für Betrüger besonders wertvoll, da sie sowohl herkömmlichen Identitätsdiebstahl als auch gesundheitswesenspezifischen Betrug ermöglicht, einschließlich betrügerischer Versicherungsansprüche, die mit den gestohlenen Policendaten eines Opfers eingereicht werden.

Was als Nächstes kommt

Mindestens eine Anwaltskanzlei, Edelson Lechtzin LLP, hat bereits angekündigt, mögliche Sammelklagen im Namen betroffener Patienten zu prüfen — ein nahezu sicheres Ergebnis für eine Panne dieses Ausmaßes nach den Mustern der US-Gesundheitsdatenschutz-Rechtsprechung. Betroffene sollten auf offizielle Benachrichtigungsschreiben von Unlimited Technology Systems achten, sich für die angebotene Kreditüberwachung anmelden und wachsam gegenüber Phishing-Versuchen oder betrügerischen Versicherungsansprüchen bleiben, die sich auf ihre offengelegten medizinischen Details beziehen.