CareCloud-Datenleck betrifft 3,7 Millionen Patienten

Das Datenleck bei CareCloud hat laut einer Meldung an das US-Gesundheitsministerium mehr als 3,7 Millionen Menschen betroffen.

CareCloud bietet Gesundheitsorganisationen elektronische Patientenakten, medizinische Abrechnung, Praxismanagement und Dienstleistungen für das Revenue Cycle Management an. Das Unternehmen machte den Sicherheitsvorfall erstmals im März öffentlich, nachdem ein Angreifer auf einen Teil seiner CareCloud-Health-Umgebung zugegriffen hatte.

Die anschließende Untersuchung ergab, dass ein unbefugter Dritter zwischen dem 10. und 16. März 2026 auf eine der Amazon-Web-Services-Umgebungen des Unternehmens zugegriffen hatte.

CareCloud-Datenleck beeinträchtigte den Zugriff auf Patientenakten

Das Unternehmen entdeckte den Vorfall am 16. März. Er führte zu einer achtstündigen Netzwerkunterbrechung und beeinträchtigte teilweise die Funktionalität und den Datenzugriff in einer der sechs Umgebungen von CareCloud für elektronische Patientenakten.

CareCloud stellte die Funktionalität und den Zugriff noch am selben Tag wieder her. Das Unternehmen erklärte, dass der Vorfall auf die CareCloud-Health-Umgebung beschränkt blieb und keine anderen Plattformen, Geschäftsbereiche, Systeme oder Datenumgebungen betroffen waren.

Das Unternehmen beauftragte außerdem externe Cybersicherheitsspezialisten, um die betroffene Umgebung zu sichern und den Angriff zu untersuchen.

Laut den jüngsten Angaben griff die unbefugte Partei auf ein Cloud-Konto zu, das die Umgebung für elektronische Patientenakten unterstützte, und exfiltrierte patientenbezogene Informationen. CareCloud erklärte, keine Hinweise auf weitere unbefugte Aktivitäten nach dem 16. März gefunden zu haben.

Mehr als 3,75 Millionen Menschen sind betroffen

CareCloud meldete, dass 3.756.469 Personen von dem Vorfall betroffen waren.

Der Versand der Benachrichtigungsschreiben begann am 25. Juli. Das Unternehmen betreut Patienten nicht direkt, weshalb viele Empfänger der Benachrichtigungen den Namen CareCloud möglicherweise nicht kennen.

Ein den Behörden vorgelegtes Muster eines Benachrichtigungsschreibens bestätigt, dass der Angreifer behauptete, Daten aus Datenbanken in der betroffenen AWS-Umgebung entwendet zu haben. Das Musterschreiben nennt jedoch außer den vollständigen Namen nicht die genauen Datentypen, die bei den einzelnen Empfängern betroffen sind.

Die Kategorien der betroffenen Informationen können je nach Person variieren. Frühere Angaben des Unternehmens besagten, dass in der betroffenen Umgebung Patienteninformationen gespeichert waren. Spätere Meldungen bestätigten, dass die gestohlenen Daten personenbezogene Informationen und geschützte Gesundheitsinformationen umfassten.

Betroffene sollten auf Betrugsversuche achten

CareCloud bietet über IDX je nach Empfänger für 12 oder 24 Monate Dienste zum Schutz vor Identitätsdiebstahl an. Berechtigte Personen müssen sich bis zum 17. Dezember 2026 anmelden.

Personen, die vom CareCloud-Datenleck betroffen sind, sollten auf Phishing-E-Mails, Anrufe und Nachrichten achten, die persönliche oder gesundheitsbezogene Informationen verwenden, um glaubwürdig zu wirken.

Sie sollten außerdem jede Benachrichtigung über das Datenleck sorgfältig prüfen, verfügbare Schutzdienste aktivieren und auf unbekannte Aktivitäten im Zusammenhang mit Finanzkonten oder Identitätsdaten achten.

Zum Zeitpunkt der Veröffentlichung hatte sich keine Ransomware- oder Erpressergruppe öffentlich zu dem Vorfall bekannt. CareCloud hat den Angreifer bislang nicht öffentlich identifiziert.