Quest Diagnostics bestätigt kompromittierte Patientendaten bei Cyberangriff auf Laborplattform

Quest Diagnostics gab in einer bei der US-Börsenaufsicht SEC eingereichten 8-K-Meldung bekannt, dass Hacker unbefugten Zugriff auf Gesundheits- und Abrechnungsdaten von Patienten erlangt haben, und bestätigte damit einen Cyberangriff, von dem das Unternehmen erstmals am 21. Oktober erfuhr, wie zuerst von TechCrunch berichtet. Der Angriff zielte auf Quanum, eine Laborplattform, über die Arztpraxen, Krankenhäuser und Gesundheitseinrichtungen Labortests bestellen und die Abrechnung verwalten können und die Gesundheits- und Krankenakten von Patienten zusammen mit Diagnosedaten speichert.

Quest erklärte, der unbefugte Zugriff habe „bestimmte Patientenakten“ umfasst und geschützte Gesundheitsinformationen einiger Patienten seien entwendet worden, darunter persönliche Daten und Krankenakten, das Unternehmen gab jedoch an, noch genau zu ermitteln, welche Daten betroffen waren. Quest hat die Bundesstrafverfolgungsbehörden informiert und externe Sicherheitsexperten hinzugezogen und erklärt, dass der Kernbetrieb der Labore sowie andere kundenseitige Bestellsysteme nicht betroffen waren. Das Unternehmen hat nicht offengelegt, wie viele Patienten oder Gesundheitsdienstleister betroffen sind, ob eine Hackergruppe Lösegeld gefordert hat oder wann der Einbruch tatsächlich begann.

Das Ausmaß dessen, was möglicherweise offengelegt wurde, ist erheblich, selbst ohne bestätigte Patientenzahl: Quest gibt an, dass Quanum von rund einer halben Million Ärzten an Tausenden von Standorten in Nordamerika genutzt wird, und die eigenen Fallstudien des Unternehmens beschreiben einzelne Gesundheitssysteme mit mehr als 6 Millionen Patienten, die Hunderte Millionen medizinischer Dokumente auf der Plattform speichern. Ein Sicherheitshinweis, den Quest auf seiner Website veröffentlichte, war so markiert, dass Suchmaschinen ihn nicht indexieren konnten, und ein Unternehmenssprecher verwies Reporter auf diesen Hinweis, anstatt direkte Fragen zu beantworten.

Dies ist der zweite große bekannt gewordene Datenverstoß von Quest innerhalb von etwa einem Jahrzehnt. 2019 legte ein Cyberangriff auf einen externen Abrechnungsdienstleister Akten von 11,9 Millionen Quest-Patienten offen. Der neue Verstoß ereignet sich zudem inmitten einer Angriffswelle auf Gesundheits- und Medizintechnikunternehmen im Jahr 2026: Der Medizingerätehersteller Boston Scientific hatte sein Netzwerk nach einem Angriff im August wochenlang offline, beim Medizintechnikunternehmen Stryker wurden im März Mitarbeitergeräte massenhaft gelöscht, und separate Sicherheitsverstöße trafen in diesem Jahr CareCloud, Craneware und McKesson. Gesundheitsdienstleister bleiben eines der am häufigsten angegriffenen Ziele für Ransomware- und Datendiebstahlangriffe, da Patientenakten einen hohen Wiederverkaufswert auf kriminellen Marktplätzen mit Systemen kombinieren, die oft nur schwer für Sicherheitsupdates offline genommen werden können, ohne die Patientenversorgung zu stören.