One Medical: Nach Cyberangriff droht Veröffentlichung von Gesundheitsdaten

Der Gesundheitsdienstleister One Medical, eine Amazon-Tochtergesellschaft, ist Ziel eines schwerwiegenden IT-Sicherheitsvorfalls geworden. Die Ransomware-Gruppe ShinyHunters beansprucht den Diebstahl umfangreicher Patientendaten und droht mit deren Veröffentlichung. One Medical hat den Vorfall bestätigt, jedoch bislang weder den Umfang der betroffenen Daten noch die genaü Anzahl der betroffenen Patienten offengelegt.

Meldung und Einordnung

One Medical ist ein auf membership-basierte Grundversorgung spezialisierter Gesundheitsdienstleister mit Sitz in den Vereinigten Staaten. Amazon übernahm das Unternehmen im Jahr 2022 für etwa 3,9 Milliarden US-Dollar und integrierte es in seine Gesundheitsstrategie. Der Dienst bietet sowohl physische Praxen als auch Telemedizin-Angebote und verwaltet entsprechend sensitive Patientendaten.

Die Ransomware-Gruppierung ShinyHunters ist seit mehreren Jahren als Datenbroker in der Cyberkriminalitäts-Szene aktiv. Die Gruppe hat in der Vergangenheit Daten von Dutzenden Unternehmen veröffentlicht oder zum Verkauf angeboten, darunter bekannte Namen wie AT&T, Microsoft und mehrere große E-Commerce-Plattformen. ShinyHunters operiert nach dem Prinzip der doppelten Erpressung: Zunächst werden Daten gestohlen, dann wird das Unternehmen zur Zahlung eines Lösegelds aufgefordert. Wird nicht gezahlt, droht die Veröffentlichung.

Im Fall von One Medical deutet vieles darauf hin, dass die erbeuteten Daten Gesundheitsinformationen umfassen könnten. Gesundheitsdaten gehören zu den sensibelsten Kategorien personenbezogener Daten und stehen in den USA unter dem besonderen Schutz des Health Insurance Portability and Accountability Act (HIPAA).

Betroffene Datenkategorien

Basierend auf der Arbeitsweise von ShinyHunters und der Art des Unternehmens ist davon auszugehen, dass folgende Datenkategorien betroffen sein könnten:

1. Volle Namen und Kontaktdaten der Patienten
2. Medizinische Anamnesen und Diagnosen
3. Verschreibungshistorie und Medikationspläne
4. Versicherungsinformationen und Abrechnungsdaten
5. Termininformationen und Besuchshistorien
6. Telemedizin-Aufzeichnungen und Chatverläufe
7. Laboregebnisse und Untersuchungsergebnisse
8. Biometrische Daten aus der Patientenversorgung
9. Zahlungsinformationen und Rechnungsadressen
10. Mitarbeiterdaten, sofern interne Systeme kompromittiert wurden

Die Kombination dieser Datenkategorien macht einen möglichen Leak besonders brisant. Gesundheitsdaten in Verbindung mit persönlichen Identifikationsmerkmalen können für Identitätsdiebstahl, Insurance-Fraud und gezieltes Social Engineering missbraucht werden.

US-HIPAA-Regulierung und Meldepflichten

One Medical unterliegt als Gesundheitsdienstleister den Bestimmungen des HIPAA. Dieses Bundesgesetz regelt den Umgang mit geschützten Gesundheitsinformationen (Protected Health Information, PHI) und schreibt bei einem Datenverstoß eine Meldung an die zuständige Behörde und betroffene Patienten vor.

Bei einem nachgewiesenen Verstoß drohen One Medical empfindliche Strafen. Das US Department of Health and Human Services (HHS) kann bei fahrlässiger Behandlung von Patientendaten Bußgelder von bis zu 1,9 Millionen US-Dollar pro Verstoßkategorie verhängen. Bei einem nachgewiesenen Vorsatz oder einer vorsätzlichen Missachtung der Vorschriften drohen zusätzlich strafrechtliche Konseqünzen.

ShinyHunters: Arbeitsweise und frühere Angriffe

ShinyHunters hat sich seit 2020 als eine der aktivistischsten Datenbroker-Gruppierungen etabliert. Die Gruppe betreibt einen eigenen Leak-Website, auf dem gestohlene Daten entweder zum Verkauf angeboten oder vollständig veröffentlicht werden.

Zu den bekanntesten Opfern von ShinyHunters zählen:

1. AT&T (77 Millionen Kundenkonten, 2024)
2. Microsoft (38 GB GitHub-Quellcode, 2021)
3. Home Depot (56 Millionen Kreditkartendaten, 2024)
4. Sabre (Reisebuchungssystem-Daten, 2021)
5. Wattpad (90 Millionen Nutzerdaten, 2020)
6. Bonobos Clothing (70 Millionen Datensätze, 2021)
7. TeePublic (Artwork-Daten, 2022)
8. Kirby (Daten von über 10 Millionen Nutzern, 2023)

Die Gruppe nutzt typischerweise bekannte Exploit-Frameworks und ungepatchte Sicherheitslücken, um in Unternehmensnetzwerke einzudringen. Die gestohlenen Daten werden in der Regel auf Breach-Foren oder über eigene Leak-Seiten verbreitet.

Risiko für Betroffene Patienten

Patienten, die Leistungen von One Medical in Anspruch genommen haben, sollten sich auf folgende Risiken einstellen:

1. Phishing-E-Mails und betrügerische Anrufe unter Ausnutzung medizinischer Informationen
2. Versuche von Identitätsdiebstahl unter Verwendung medizinischer Identität
3. Versicherungsbetrug mit gestohlenen Versicherungsdaten
4. Erpressungsversuche unter Androhung der Offenlegung medizinischer Diagnosen
5. Unberechtigte Abrechnungen bei Krankenkassen mit gestohlenen Versicherungsdaten
6. Gezielte Social-Engineering-Angriffe auf Mitarbeiter und Angehörige
7. Erstellung gefälschter medizinischer Rezepte im Namen des Betroffenen

Experten empfehlen betroffenen Patienten, ihre Kontoauszüge und Versicherungsabrechnungen in den kommenden Monaten besonders sorgfältig zu prüfen und verdächtige Aktivitäten unverzüglich zu melden.

Was deutsche Admins daraus lernen können

Auch wenn One Medical ein US-Unternehmen ist, bietet der Vorfall wichtige Erkenntnisse für deutsche Systemadministratoren und Sicherheitsverantwortliche:

1. Health-Tech-Unternehmen und Telemedizin-Anbieter sind bevorzugte Ziele von Ransomware-Gruppen
2. Segmentierung zwischen Patientendatenbanken und administrativen Systemen ist essenziell
3. Multi-Faktor-Authentifizierung muss für alle privilegierten Konten aktiviert sein
4. Regelmäßige Penetrationstests und Red-Team-Übungen decken Schwachstellen frühzeitig auf
5. Offline-Backup-Strategien schützen vor vollständiger Datenverschlüsselung
6. Monitoring auf Exfiltration Traffic erkennt Angriffe in frühen Phasen
7. Patch-Management-Prozesse müssen kritische Sicherheitsupdates innerhalb von 72 Stunden umsetzen
8. Zero-Trust-Architektur minimiert den Schaden bei erfolgreicher Kompromittierung
9. Incident-Response-Pläne müssen Healthcare-spezifische Datenklassen berücksichtigen
10. DSGVO-Compliance-Prozesse bieten auch einen Schutzrahmen für ähnliche Angriffsszenarien

In Deutschland unterliegen Gesundheitsdaten zusätzlich der DSGVO und dem Bundesdatenschutzgesetz. Bei grenzüberschreitenden Datenflüssen – wie sie bei Amazon als US-Konzern mit deutschen Patientendaten entstehen – gelten erhöhte Anforderungen an die Datenverarbeitung.

Passende Anleitungen auf S-EDV

1. Gentlemen Ransomware: EDR-Killer deaktivieren Sicherheitssoftware von 48 Herstel
2. OpenSSL: Neun Schwachstellen im Sicherheitsrelease vom 9. Juni 2026, darunter Hi
3. Bundesregierung plant deutsches KI-Sicherheitsinstitut nach britischem Vorbild

Quellen

1. Heise: One Medical – Nach Cyberangriff auf Amazons Gesundheitsdienst droht Daten-Lock
2. HHS Office for Civil Rights – HIPAA Breach Notification
3. CISA – Cybersecurity Advisories