Medizindienstleister zahlt 300.000 Dollar nach Datenleck mit Patientendaten von 13 Millionen Menschen

Ein Medizindienstleister hat sich mit den Generalstaatsanwaltschaften von Connecticut, New Jersey, New York und Michigan auf eine Zahlung von 300.000 Dollar und umfangreiche Änderungen seiner Sicherheitspraktiken geeinigt. Auslöser ist ein Datenleck vom März 2023, bei dem sensible Patientendaten von mehr als 13 Millionen Menschen in den USA offengelegt wurden. Betroffen waren Tochtergesellschaften der in Nevada ansässigen Perry Johnson Companies.

Die Ermittlungen ergaben, dass sich Hacker über die Zugangsdaten eines Mitarbeiters Zugang zu den Systemen verschafften. Die Angreifer nutzten schwache Sicherheitsmaßnahmen, darunter fehlende Mehrfaktor-Authentifizierung, und griffen zwei Monate lang auf unverschlüsselte Gesundheitsdaten zu. Laut den Ermittlungen erfasste die Software des Unternehmens die Aktivitäten zwar, war aber offenbar fehlerhaft konfiguriert und meldete sie nicht an das Sicherheitsteam. Das Unternehmen soll erst durch die Hacker selbst von dem Vorfall erfahren haben.

Die gestohlenen Datensätze sollen Namen, Geburtsdaten, Wohnadressen, Sozialversicherungsnummern, Krankenhauskontonummern, Diagnosen, Versicherungsinformationen und klinische Angaben enthalten haben. Die Vereinbarung verpflichtet das Unternehmen zur Einrichtung eines umfassenden Informationssicherheitsprogramms und verbindlicher Standards für die Reaktion auf Vorfälle. Sollte das Unternehmen die vorgeschriebenen Reformen nicht umsetzen, muss es den vier Staaten zusätzlich 9,7 Millionen Dollar zahlen. Die Untersuchung wurde unter anderem von Letitia James, der Generalstaatsanwältin von New York, geleitet.

Kernpunkte:

• Generalstaatsanwälte der Bundesstaaten gaben bekannt, dass ein Gesundheitsdienstleister sich bereit erklärt hat, 300.000 Dollar zu zahlen und seine Sicherheitspraktiken grundlegend zu ändern.
• Ein Datenleck im März 2023 legte die Daten von mehr als 13 Millionen Menschen in den gesamten USA offen.
• Das von den Generalstaatsanwälten aus Connecticut, New Jersey, New York und Michigan angestrengte Verfahren richtete sich gegen die Tochtergesellschaften für medizinische Transkription, Kodierung und Bildgebung der in Nevada ansässigen Perry Johnson Companies.

Quelle: The Record (Recorded Future) (Englisch)