Die 14 größten Datenschutzverletzungen im Gesundheitswesen [Aktualisiert 2023]

Das Gesundheitswesen leidet unter einem der größten Mengen an Cyberangriffen, und es wird gemunkelt, dass noch viel mehr kommen wird. Kombinieren Sie diesen Trend mit den Kosten für Sicherheitsverletzungen, die alle anderen Branchen übertreffen, und Sie erhalten die donnernde Warnung vor einem verheerenden Cyberangriffssturm, der auf den Sektor zukommt.

Um Einrichtungen im Gesundheitswesen dabei zu unterstützen, ihre Cyber-Resilienz zu stärken, haben wir eine Liste mit einigen der größten Datenschutzverletzungen im Gesundheitswesen zusammengestellt, geordnet nach Grad der Auswirkungen.

Wenn Sie sich Sorgen über Ihre derzeitige Widerstandsfähigkeit gegen Datenschutzverletzungen machen, hilft Ihnen dieser Leitfaden zur Cybersicherheit für das Gesundheitswesen.

Die 14 größten Datenschutzverletzungen im Gesundheitswesen nach Auswirkungen

Jedes aufgelistete Ereignis wird mit einer Zusammenfassung der gesammelten Daten, der Art und Weise, wie es zu der Sicherheitsverletzung kam, und wichtigen Erkenntnissen unterstützt, um Sie vor einem ähnlichen Schicksal zu schützen.

1. Datenschutzverletzung bei Tricare

Datum: September 2011

Auswirkungen: 5 Millionen Patienten

Wie kam es zu dem Verstoß?

Tricare, ein Gesundheitsprogramm, das Soldaten im aktiven Dienst, ihre Angehörigen und Militärrentner betreut, erlitt nach dem Diebstahl von Backup-Bändern mit elektronischen Patientenakten eine bedeutende Datenschutzverletzung. Die Backups wurden aus dem Auto einer Person gestohlen, die für den Transport der Bänder zwischen den Einrichtungen verantwortlich war.

Es ist unklar, ob die Kriminellen über den nötigen Scharfsinn verfügten, um die auf den Bändern gespeicherten Informationen zu entschlüsseln, oder ob sie verstanden, was sie stahlen. Als notwendige Vorsichtsmaßnahme wurde der Vorfall als Datenschutzverletzung behandelt.

Welche Daten wurden kompromittiert?

Die folgenden Daten könnten bei der Tricare-Datenschutzverletzung kompromittiert worden sein:

• Sozialversicherungsnummern
• Namen
• Adressen
• Telefonnummern
• Persönliche Gesundheitsdaten
• Klinische Notizen
• Labortests
• Informationen zur Verschreibung

Lernen Sie aus dieser Datenschutzverletzung

Obwohl die Daten auf diesen Backup-Bändern verschlüsselt waren, entsprach die Verschlüsselungsmethode nicht einem bestimmten Bundesstandard. Um die Auswirkungen von Datenschutzverletzungen, die HIPAA gemeldet werden, zu dämpfen, sollte eine Datenverschlüsselungsrichtlinie implementiert werden, die sich an den Bundesstandards orientiert.

Erfahren Sie, wie Sie das beste Produkt für das Management von Angriffsflächen im Gesundheitswesen auswählen >

2. Datenschutzverletzung im Bereich der kommunalen Gesundheitssysteme

Datum: April-Juni 2014

Auswirkungen: 4,5 Millionen Patienten

Wie kam es zu dem Verstoß?

Cyberkriminelle, von denen man annahm, dass sie sich in China aufhielten, nutzten eine Software-Schwachstelle aus, indem sie hochentwickelte Malware einsetzten, die zum Diebstahl sensibler Patientendaten führte. Der Vorfall betraf alle, die in den letzten 5 Jahren von einer Einrichtung behandelt wurden, die mit dem Netzwerk des kommunalen Gesundheitssystems verbunden ist.

Welche Daten wurden kompromittiert?

Die folgenden Informationen wurden bei der Datenschutzverletzung des Community Health System kompromittiert:

• Namen
• Geburtsdaten
• Sozialversicherungsnummern
• Telefonnummern
• Adressen

Lernen Sie aus dieser Datenschutzverletzung

• Bringen Sie Ihren Mitarbeitern bei, die Warnzeichen von Malware-Einschleusungsversuchen und anderen Cyberbedrohungen zu erkennen, die im Gesundheitswesen üblich sind.
• Beheben Sie Schwachstellen, die häufig bei Malware-Angriffen ausgenutzt werden.
• Beziehen Sie sich regelmäßig auf die CVE-Datenbank, um über Zero-Day-Exploits informiert zu bleiben, die sich auf beliebte Softwarelösungen auswirken.

3. Verletzung der Gesundheitsdaten der UCLA

Datum: Juli 2015

Auswirkungen: 4,5 Millionen Patienten

Wie kam es zu dem Verstoß?

Die UCLA erlitt eine Datenschutzverletzung, die vermutlich im Oktober 2014 begann, aber diese Aktivität schien kein böswilliges Potenzial zu haben. Im Mai 2015 wurde jedoch ein Cyberangriff bestätigt, bei dem sensible Patientendaten kompromittiert wurden.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der UCLA-Datenschutzverletzung kompromittiert:

• Namen
• Geburtsdaten
• Sozialversicherungsnummern
• Medicaid
• Identifikationsnummern der Krankenversicherung
• Einige medizinische Daten

Lernen Sie aus dieser Sicherheitsverletzung

Die UCLA Health wurde mit einer Geldstrafe in Höhe von 7,5 Millionen US-Dollar belegt, weil sie es versäumt hatte, den Verstoß rechtzeitig zu melden, was einen Verstoß gegen das im HIPAA festgelegte Protokoll zur Meldung von Verstößen darstellt.

Um solche Verzögerungen bei der Meldung von Sicherheitsverletzungen zu vermeiden, ist es wichtig, sich zu einer gründlichen Untersuchung zu verpflichten, wenn verdächtige Netzwerkaktivitäten festgestellt werden.

4. Befürworten Sie Datenschutzverletzungen im Gesundheitswesen

Datum: August 2013

Auswirkungen: 4,03 Millionen Patienten

Wie kam es zu dem Verstoß?

Advocate Health Care wurde Opfer einer Reihe von Datenschutzverletzungen nach dem Diebstahl von vier PCs, auf denen unverschlüsselte medizinische Informationen von 4,03 Millionen Patienten gespeichert waren.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenschutzverletzung bei Advocate Health Care kompromittiert:

• Namen
• Adressen
• Geburtsdaten
• Kreditkartennummern mit Ablaufdatum
• Demografische Informationen
• Klinische Informationen
• Informationen zur Krankenversicherung

Lernen Sie aus dieser Datenschutzverletzung

Das Versäumnis, die grundlegendste Cybersicherheitspraxis der Datenverschlüsselung zu implementieren, war ein eklatanter Verstoß gegen die in HIPAA festgelegten Datenschutzstandards. Um eine starke Botschaft an andere Gesundheitseinrichtungen über die Auswirkungen eines solchen Fehlverhaltens zu senden, wurde das Advocate Health Care Network geändert und eine Geldstrafe in Höhe von 5,55 Millionen US-Dollar an das Gesundheitsministerium verhängt.

Um ein solches Ergebnis zu verhindern, sollten physische Sicherheitskontrollen gemäß ISO 27001 implementiert werden, um interne Geräte vor Diebstahl zu schützen, zusätzlich zu Verschlüsselungspraktiken in allen Einrichtungen, die mit sensiblen Daten interagieren.

Erfahren Sie, wie Sie ein Produkt zur Behebung von Cyberrisiken im Gesundheitswesen auswählen >

5. Datenschutzverletzung in der Medizininformatik

Datum: Juli 2015

Auswirkungen: 3,9 Millionen Patienten

Wie kam es zu der Datenschutzverletzung?

Medical Informatics Engineering (MIE), ein Entwickler von Software für elektronische Patientenakten, erlitt eine Datenschutzverletzung, von der mindestens 11 seiner Kunden aus dem Gesundheitswesen betroffen waren.

Cyberkriminelle griffen mit einem kompromittierten Benutzernamen und Passwort auf einen der MIE-Server zu und behielten den unentdeckten Zugriff 19 Tage lang bei. 239 der Kunden von MIE waren von der Sicherheitsverletzung betroffen.

Welche Daten wurden kompromittiert?

Die folgenden Daten könnten bei der Datenpanne im Bereich Medical Informatics Engineering kompromittiert worden sein:

• Namen
• Telefonnummern
• Postanschriften
• Benutzernamen
• Gehashte Passwörter
• Fragen und Antworten zur Sicherheit
• Informationen zum Ehepartner
• E-Mail-Adressen
• Geburtsdaten
• Sozialversicherungsnummern
• Laborergebnisse
• Informationen zur Krankenversicherung
• Diagnose
• Codes für Behinderte
• Namen der Ärzte
• Erkrankungen
• Namen der Kinder
• Statistik der Geburten

Lernen Sie aus dieser Datenschutzverletzung

Das Office for Civil Rights entdeckte, dass der Verstoß erfolgte, weil MIE gegen die HIPPA-Sicherheitsregel 45 CFR § 164.308 verstoßen hat, die die Anforderung einer gründlichen Risikoanalyse festlegt, um potenzielle Expositionen für die persönliche Gesundheitsidentifikation zu entdecken. Aufgrund dieses Verstoßes wurde MIE zu einer Geldstrafe von 100.000 US-Dollar verurteilt.

Um die Nichteinhaltung von Cybersicherheitsvorschriften und die daraus resultierenden kostspieligen Geldstrafen zu verhindern, sollte eine Sicherheitslösung implementiert werden, die in der Lage ist, spezifische Compliance-Bemühungen mit anerkannten Sicherheits-Frameworks abzugleichen.

Cyberkriminelle konnten sich mühelos Zugang zum privaten Netzwerk von MIE verschaffen, indem sie kompromittierte Anmeldeinformationen verwendeten. Um ein solches Ereignis zu verhindern, sollte eine Dark-Web-Überwachungslösung implementiert werden, um sensible Datenlecks zu überwachen, die Anmeldeinformationen für den Netzwerkzugriff enthalten könnten.

6. Datenschutzverletzung bei Newkirk Products

Datum: Juli 2016

Auswirkungen: 3,8 Millionen Patienten

Wie kam es zu der Datenschutzverletzung?

Newkirk Products, einst einer der größten Anbieter von Ausstellern von Personalausweisen für das Gesundheitswesen in den Vereinigten Staaten, erlitt eine Datenschutzverletzung, als Cyberkriminelle Zugriff auf einen seiner Server erhielten.

Viele Einrichtungen des Gesundheitswesens waren von dem Ereignis betroffen, aber das vielleicht bedeutendste Opfer, das zu solch hohen Auswirkungen führte, war der Versicherer Blue Cross Shield, der größte Krankenversicherer nach Einschreibungen. Mehrere Blue Cross Shield-Filialen waren mit den kompromittierten Daten verbunden.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenschutzverletzung bei den Newkirk-Produkten kompromittiert:

• Informationen zum Hausarzt
• Medicaid-ID-Nummern
• Patientennamen
• Namen der unterhaltsberechtigten Personen
• Geburtsdaten
• Informationen zur Rechnung

Lernen Sie aus dieser Datenschutzverletzung

• Testen Sie Serversoftware rigoros auf Sicherheitslücken und Fehlkonfigurationen.
• Sichern Sie alle Protokolle zur Verwaltung des privilegierten Zugriffs.
• Scannen Sie die Server kontinuierlich auf potenzielle Exploits.

7. Banner Datenschutzverletzung im Gesundheitswesen

Datum: Aug 2016

Auswirkungen: 3,62 Millionen Patienten

Wie kam es zu der Datenschutzverletzung?

Cyberkriminelle verschafften sich Zugang zu einem der privaten Server von Banner, ein Einbruch, der entdeckt wurde, als die Mitarbeiter von Banner Health ungewöhnliche Protokollaktivitäten entdeckten.

Der kompromittierte Server wurde verwendet, um Kartenzahlungsinformationen von Lebensmittelgeschäften an verschiedenen Standorten von Banner Health zu verarbeiten.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenschutzverletzung bei Banner Health kompromittiert:

• Patientennamen
• Adressen
• Geburtsdaten
• Informationen zur Sozialversicherung
• Termine
• Informationen zum Arzt
• Informationen zur Krankenversicherung

Lernen Sie aus dieser Datenschutzverletzung

• Stellen Sie sicher, dass Drittanbieter die verbindlichen Finanzvorschriften einhalten, um den Zugriff auf Zahlungsinformationen von Kunden durch eine Datenschutzverletzung von Drittanbietern zu verhindern.
• Stellen Sie sicher, dass die Sicherheitslage bei allen Drittanbietern durch regelmäßige Risikobewertungen und die Überwachung der Sicherheitsbewertung kontinuierlich verbessert wird.

8. Datenschutzverletzung bei Trinity Health

Datum: Mai 2020

Auswirkungen: 3,3 Millionen Patienten

Wie kam es zu der Datenschutzverletzung?

Im Mai 2020 wurde Blackbaud, der Drittanbieter von Trinity Health, der für die Speicherung eines Backups seiner Spenderdatenbank verantwortlich ist, Opfer eines Ransomware-Angriffsversuchs. Trinity Health war mit Unterstützung von Forensikern und Strafverfolgungsbehörden in der Lage, den Ransomware-Angriffsversuch erfolgreich zu blockieren, aber nicht, bevor die Hacker eine Teilmenge von Daten exfiltrierten, die Informationen enthielten, die mit Trinity Health in Verbindung standen.

Im Verstoß gegen die entschiedene Haltung des FBI gegen die Einhaltung der Vorschriften durch Cyberkriminelle bezahlte Blackbaud die Forderung des Cyberkriminellen im Austausch für die gestohlene Datenbank und garantierte, dass alle Kopien der Daten dauerhaft vernichtet würden.

Da eine solche Garantie nicht bestätigt werden kann, stufte Trinity Health das Ereignis als sehr wahrscheinliche Datenschutzverletzung ein und stufte dieses Ereignis als die größte Datenschutzverletzung in der Gesundheitsbranche im Jahr 2020 ein.

Im Jahr 2021 wurde Trinity Health Opfer einer weiteren Datenschutzverletzung, von der 586.869 Patienten betroffen waren. Dieser Vorfall war Teil einer groß angelegten Datenschutzverletzung, die aus einem Cyberangriff auf die Dateiübertragungsplattform des Drittanbieters, Accellion, resultierte.

Welche Daten wurden kompromittiert?

Laut Trinity Health wurden die folgenden Patienteninformationen möglicherweise kompromittiert:

• Vollständige Namen
• Adressen
• E-Mail-Adressen
• Geburtsdaten
• Leistungserbringer im Gesundheitswesen
• Termine und Arten von Gesundheitsdienstleistungen
• Zahlen der Krankenakten
• Arten von Immunisierungen
• Laborergebnisse
• Medikamente
• Informationen zu Ansprüchen
• Bestimmte Finanzinformationen (mit Ausnahme von Kreditkarteninformationen)

Lernen Sie aus dieser Datenschutzverletzung

• Implementieren Sie eine Lösung eines Drittanbieters zur Überwachung der Angriffsfläche, um Schwachstellen zu entdecken und zu beheben, die möglicherweise Ransomware-Angriffe erleichtern könnten.
• Befolgen Sie niemals die Forderungen von Cyberkriminellen. Die Zusammenarbeit ist nie garantiert und Sie müssen das Ereignis immer noch als potenziellen Verstoß behandeln, mit zusätzlicher negativer Publicity und großen finanziellen Verlusten.
• Das erfolgreiche Abfangen des Ransomware-Angriffsversuchs durch Blackbaud ist ein Beweis für seinen hochoptimierten Incident-Response-Plan und das Bewusstsein für die Ransomware-Angriffssequenz.

9. Schützt vor Datenschutzverletzungen bei der Healthcare Group

Datum: März 2022

Auswirkungen: 2 Millionen Menschen

Wie kam es zu dem Verstoß?

Ein unbekannter Cyberangreifer verschaffte sich vom 7. März 2022 bis zum 21. März 2022 Zugriff auf den Netzwerkserver der Shields Healthcare Group. Die Anwesenheit des Hackers aktivierte am 18. März eine Sicherheitswarnung; Nach der Untersuchung der Warnung wurde die Kompromittierung der Daten zu diesem Zeitpunkt jedoch nicht bestätigt.

Welche Daten wurden kompromittiert?

Laut der Benachrichtigung von Shield über Sicherheitsvorfälle wurde die Kompromittierung von Daten noch nicht bestätigt. Angesichts der speziellen privaten Netzwerksegmente, auf die der Cyberkriminelle zugegriffen hat, sind die folgenden Arten von Daten jedoch gefährdet:

• Vollständige Namen
• Sozialversicherungsnummern
• Geburtsdaten
• Privatadressen
• Informationen zum Anbieter
• Informationen zur Diagnose
• Informationen zur Rechnungsstellung
• Versicherungsnummern
• Mediale Rekordzahlen
• Patienten-IDs
• Weitere Informationen zur medizinischen Behandlung

Lernen Sie aus dieser Datenschutzverletzung

Da Shield während der ersten Sicherheitswarnung keinen böswilligen Akteur in seinem Netzwerk identifizierte, konnten bösartige Aktivitäten weitere drei Tage lang fortgesetzt werden. Ein Zero-Trust-Ansatz bei der Untersuchung von Cyberbedrohungen hätte möglicherweise zu einer energischeren Untersuchung geführt, die das Vorhandensein einer Hintertür zur Datenexfiltration identifiziert hätte.

Erfahren Sie, wie Sie Datenexfiltration erkennen können, bevor es zu spät ist.

10. Datenschutzverletzung bei Broward Health

Datum: Januar 2022

Auswirkungen: 1,3 Millionen Patienten

Wie kam es zu der Datenschutzverletzung?

Broward Health erlitt eine Datenschutzverletzung durch einen kompromittierten medizinischen Drittanbieter, der Zugriff auf seine Patientendatenbank hatte.

Es wird spekuliert, dass das kompromittierte Gerät, das dem Drittanbieter von Brown Health gehört, die Multi-Faktor-Authentifizierung nicht implementiert hat.

Welche Daten wurden kompromittiert?

Die folgenden Patienteninformationen wurden im Datenstrand von Broward Health kompromittiert:

• Namen
• Adressen
• Geburtsdaten
• Führerscheinnummern
• Informationen zur Versicherung
• Medizinische Informationen

Lernen Sie aus dieser Datenschutzverletzung

• Implementieren Sie Multi-Faktor-Authentifizierung (MFA) auf allen Endpunkten
• Sichern Sie alle Privileged Access Management
• Behalten Sie den Überblick über alle Endpunkte, die eine Verbindung zu Ihrem privaten Netzwerk herstellen und versuchen, eine Verbindung herzustellen

11. Datenschutzverletzung bei Morley Companies

Datum: Februar 2022

Auswirkungen: 521.046 Personen

Wie kam es zu der Datenschutzverletzung?

Morley Companies, ein Drittanbieter von Unternehmensdienstleistungen für Fortune-500-Unternehmen, einschließlich der Medizinbranche, wurde Opfer eines Ransomware-Angriffs, bei dem über 521.000 einzelne Datensätze offengelegt wurden.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenpanne von Morley Companies kompromittiert:

• Namen
• Adressen
• Sozialversicherungsnummern
• Geburtsdaten
• Kunden-Identifikationsnummern
• Informationen zur medizinischen Diagnose und Behandlung
• Informationen zur Krankenversicherung

Lernen Sie aus dieser Datenschutzverletzung

Obwohl der Angriff am 1. August 2021 begann, wartete Morley bis Februar 2022, um potenzielle Opfer zu benachrichtigen. Diese erhebliche Verzögerung erhöhte Morley einem erhöhten Risiko, gegen die HIPAA-Regel zur Benachrichtigung über Verstöße zu verstoßen - ein Fehler, der zu einer Geldstrafe von mindestens 50.000 US-Dollar hätte führen können.

Erfahren Sie mehr über die HIPAA-Datenschutzregel und wie Sie die Einhaltung der Vorschriften gewährleisten können.

Eine weitere wichtige Erkenntnis aus diesem Vorfall sind die ähnlichen Auswirkungen von Ransomware-Angriffen und Datenschutzverletzungen. Ransomware-Angriffe führen auch zur Offenlegung sensibler Daten, wenn Lösegeldforderungen nicht rechtzeitig bezahlt werden. Aufgrund der ähnlichen Ergebnisse zwischen den beiden Ereignissen könnten Sicherheitskontrollen für Datenschutzverletzungen auch die Abwehr von Ransomware-Angriffen unterstützen.

12. Datenschutzverletzung bei L'Assurance Maladie

Datum: März 2022

Auswirkungen: 510.000 Menschen

Wie kam es zu dem Verstoß?

Der französische Versicherungskonzern L'Assurance Maladie erlitt eine Datenschutzverletzung, nachdem 19 Konten, die hauptsächlich Apothekern gehörten, kompromittiert wurden.

Hacker haben die Passwörter für diese Konten wahrscheinlich aus einem Darknet-Forum abgerufen, in dem Anmeldeinformationen gehostet werden, die bei früheren Datenschutzverletzungen gestohlen wurden.

Welche Daten wurden kompromittiert?

Zu den gestohlenen Daten gehörten unter anderem:

• Namen
• Familiennamen
• Geburtsdaten
• Sozialversicherungsnummern
• Details zum Hausarzt
• Höhe der Erstattung

Lernen Sie aus dieser Datenschutzverletzung

• Implementieren Sie eine Multi-Faktor-Authentifizierung, um Cyberkriminelle zu blockieren, die versuchen, sich mit gestohlenen Anmeldeinformationen anzumelden
• Implementieren Sie eine Lösung zur Erkennung von Datenlecks, um vertrauliche Daten, die im Dark Web veröffentlicht wurden, zu erkennen und zu unterbinden.

13. ARcare-Datenschutzverletzung

Datum: Februar 2022

Auswirkungen: 345.000 Menschen

Wie kam es zu dem Verstoß?

Zwischen dem 18. Januar 2022 und dem 24. Februar 2022 verschafften sich Cyberkriminelle unbefugten Zugriff auf die Computersysteme von ARcare, überprüften und stahlen sensible individuelle Informationen.

Am 4. April wurde festgestellt, dass einige der gestohlenen Daten im Internet veröffentlicht wurden. Dieses Verhaltensmuster - die Offenlegung gestohlener Datensätze kurz nach einem Verstoß - spiegelt das von Ransomware-Angreifern wider, was darauf hindeutet, dass es sich bei dem Vorfall um einen Ransomware-Angriff gehandelt haben könnte.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Sicherheitsverletzung kompromittiert:

• Namen
• Sozialversicherungsnummern
• Führerscheinnummern
• Staatliche Identifikationsnummern
• Geburtsdaten
• Informationen zum Finanzkonto
• Informationen zur medizinischen Behandlung
• Informationen zur Verschreibung
• Informationen zur medizinischen Diagnose
• Informationen zum Zustand
• Informationen zur Krankenversicherung

Lernen Sie aus dieser Datenschutzverletzung

Dieser Vorfall zwang ARcare, seine Datensicherheitspraktiken zu überprüfen und überlegene Strategien zur Risikominderung in Betracht zu ziehen. Dies sind keine Bemühungen, die auf eine Datenschutzverletzung folgen sollten. Stattdessen sollten sie schon lange vor einem Cybervorfall fest etabliert sein. Warten Sie nicht auf eine Datenschutzverletzung, um eine Überprüfung Ihrer Sicherheitsprotokolle einzuleiten. Überprüfen Sie Ihre Incident-Response-Pläne und implementieren Sie so schnell wie möglich eine Strategie zur Risikominderung durch Dritte.

14. OneTouchPoint (OTP)

Datum: Juli 2022

Auswirkungen: 2,6 Millionen Menschen

Wie kam es zu dem Verstoß?

OneTouchPoint ist ein Drittanbieter von Mailing- und Druckdienstleistungen, der Dienstleistungen hauptsächlich für Organisationen des Gesundheitswesens erbracht hat. OTP bemerkte erstmals im Juli 2022, dass einige seiner Dateien gesperrt und entschlüsselt worden waren. Nach einer Untersuchung kam OTP zu dem Schluss, dass in den Monaten zuvor illegal auf ihre Systeme zugegriffen worden war. Kurz darauf begannen über 30 Gesundheitsdienstleister (darunter Blue Shield of California, Kaiser Permanente, Anthem und Blue Cross), die Kunden von OTP waren, Datenschutzverletzungen in seinen Kranken- und Patientenakten zu melden.

Welche Daten wurden kompromittiert?

Die folgenden sensiblen Informationen wurden bei der Sicherheitsverletzung offengelegt:

• Namen
• Adressen
• Geburtstage
• Krankenakten von Patienten (Impfungen, Allergien, Vitalwerte, Medikamente, Krankengeschichte)
• Demografie der Patienten
• Termine für die Beschäftigung von Arbeitnehmern
• Mitarbeiter-ID-Nummern
• Leistungsbeschreibungen und Termine
• Testergebnisse zur Gesundheitsbewertung
• Diagnose-Codes

Lernen Sie aus dieser Datenschutzverletzung

Obwohl OTP die genaue Art des Verstoßes nicht veröffentlicht hat, führt das Unternehmen derzeit eine Sammelklage der medizinischen Unternehmen, in der behauptet wird, dass OTP es versäumt hat, sensible medizinische Informationen zu schützen, die seine Patienten Betrug und Diebstahl aussetzen könnten. Darüber hinaus versäumte es OTP, betroffene Organisationen und Patienten rechtzeitig zu benachrichtigen, obwohl es Monate vor der ersten Meldung von der Sicherheitsverletzung erfuhr.

Um Vorfälle wie diese zu vermeiden, müssen Unternehmen eine jährliche Überprüfung ihrer Sicherheitsrichtlinien durchführen, um sicherzustellen, dass alle Sicherheitsvorkehrungen auf dem neuesten Stand sind und für die Abwehr neuer Cyberbedrohungen gerüstet sind. Darüber hinaus müssen Organisationen im Gesundheitswesen, die mit externen Auftragnehmern zusammenarbeiten, sicherstellen, dass ihre Geschäftspartner HIPAA-konform sind, wenn sie mit sensiblen Patientendaten umgehen.