Conduent-Datenleck legt über 10 Millionen Patientenakten offen

Das Conduent-Datenleck kompromittierte persönliche und medizinische Informationen von mehr als zehn Millionen Patienten in den USA. Angreifer hatten fast drei Monate lang Zugriff auf interne Systeme, bevor das Unternehmen den Vorfall entdeckte. Der Angriff zeigt die wachsenden Cyberrisiken bei externen Dienstleistern, die sensible Gesundheitsdaten für Bundesstaaten und medizinische Einrichtungen verarbeiten.

Zeitlicher Ablauf und Vorfallübersicht

Die Angreifer drangen Ende Oktober 2024 in die IT-Systeme von Conduent ein. Sie blieben bis Januar 2025 im Netzwerk aktiv und behielten durchgehend Zugriff auf vertrauliche Dateien. In dieser Zeit könnten sie Patientenidentitäten, medizinische Informationen und weitere sensible Daten entwendet haben. Nach der Entdeckung isolierte Conduent die Systeme, informierte Aufsichtsbehörden und begann die Zusammenarbeit mit betroffenen Kunden.

Die lange Verweildauer deutet auf ein gezieltes, professionelles Vorgehen hin. Die Angreifer bewegten sich offenbar unauffällig durch das Netzwerk, identifizierten wertvolle Daten und vermieden Erkennung, indem sie legitimen Datenverkehr nachahmten. Dieses Muster entspricht typischen Angriffen auf den Gesundheitssektor.

Welche Daten betroffen waren

Die kompromittierten Daten sollen unter anderem enthalten:

• Patientennamen
• Geburtsdaten
• Sozialversicherungsnummern
• Medizinische Historien und Behandlungsdetails
• Daten von staatlichen Gesundheitsprogrammen in bestimmten Regionen

Diese Datenkategorie gilt als besonders sensibel. Medizinische Informationen lassen sich nicht „zurücksetzen“ wie Passwörter oder Kreditkarten, daher haben sie langfristigen Missbrauchswert.

Auswirkungen auf Bundesstaaten und Behörden

Das Datenleck betraf Patienten in mehreren Bundesstaaten, darunter große Gruppen in Texas und Oregon. Die Daten dienen dort für Leistungsprüfungen, Gesundheitsprogramme und Verwaltungsprozesse. Da Conduent als Kernanbieter für staatliche Gesundheitsdienste agiert, betrifft der Vorfall nicht nur ein einzelnes Unternehmen, sondern ganze Gesundheitssysteme.

Behörden und Gesundheitsdienstleister müssen nun betroffene Patienten informieren, Zugriffsrechte überprüfen und das Risiko von Identitätsdiebstahl sowie Betrug abmildern.

Lieferantenrisiko im Gesundheitswesen

Der Vorfall unterstreicht die Bedeutung strenger Kontrolle von Drittanbietern. Externe Dienstleister haben oft direkten Zugriff auf geschützte Gesundheitsdaten. Wenn deren Sicherheit versagt, sind ganze Bevölkerungsgruppen gefährdet. Organisationen müssen Lieferantenumgebungen mit denselben Maßstäben prüfen wie ihre eigenen Systeme.

Wichtige Maßnahmen beinhalten:

• Strenge Sicherheitsbewertungen von Dienstleistern
• Prinzip „Least Privilege” für externe Zugriffe
• Überwachung ungewöhnlicher Datenzugriffe und Logins
• Vertragliche Verpflichtungen für schnelle Incident-Response
• Regelmäßige Audits zur Einhaltung von Sicherheitsstandards

Diese Schritte helfen, großflächige Datenschutzverletzungen durch Lieferantenfehler zu verhindern.

Fazit

Das Conduent-Datenleck zählt zu den bedeutendsten gesundheitsbezogenen Cybervorfällen der letzten Jahre. Mehr als zehn Millionen Patienten könnten betroffen sein. Der Fall zeigt, wie stark Gesundheitsorganisationen von externen Dienstleistern abhängen – und wie kritisch diese Abhängigkeit ohne konsequente Sicherheitskontrollen wird. Um Patientendaten zu schützen, müssen Organisationen klare Governance-Prozesse, kontinuierliche Überwachung und strikte Lieferantenanforderungen durchsetzen.