iRhythm meldet Datenpanne nach Diebstahl von Patientendaten
Das digitale Gesundheitsunternehmen iRhythm hat eine Datenpanne bekannt gegeben, nachdem Cyberangreifer Patientendaten gestohlen hatten, die in Anwendungen von Drittanbietern gespeichert waren. Von der Panne sollen fast 150.000 Menschen betroffen sein.
Was ist passiert
iRhythm, ein Unternehmen für digitale Gesundheitsdienstleistungen, das für seine Technologien zur Überwachung des Herzrhythmus bekannt ist, hat eine schwerwiegende Datenpanne öffentlich gemacht. Laut einer offiziellen Meldung an die Generalstaatsanwaltschaft von Maine haben Cyberangreifer auf die sensiblen persönlichen und medizinischen Informationen von etwa 148.819 Patienten zugegriffen. Diese Entwicklung unterstreicht einmal mehr, wie wertvoll und begehrt Gesundheitsdaten geworden sind.
iRhythm ist bekannt für seinen Zio-Dienst, der den Herzrhythmus von Patienten mittels tragbarer Sensoren und cloudbasierter Datenanalyse überwacht. Die Tatsache, dass das Unternehmen solch kritische Gesundheitsdaten verarbeitet, erhöht die Schwere der Panne zusätzlich. Der Vorfall ereignete sich durch unbefugten Zugriff auf Geschäftsanwendungen, die das Unternehmen nutzt und die von einem Drittanbieter gehostet werden. Dies verdeutlicht auch das erhebliche Risiko, das von Schwachstellen in der Lieferkette für die Cybersicherheit ausgeht. Selbst wenn die eigene Infrastruktur eines Unternehmens nicht direkt angegriffen wird, kann eine Sicherheitslücke in den Systemen seiner Partner oder Dienstleister einen Dominoeffekt auslösen, der zum Abfluss von Daten tausender Patienten führt.
Laut der Erklärung des Unternehmens ereignete sich die Datenpanne tatsächlich Ende letzten Jahres. Es dauerte jedoch Monate, den Vorfall zu entdecken, zu untersuchen und seine Auswirkungen vollständig zu verstehen. Solche umfassenden Untersuchungen beinhalten die Arbeit von digitalen Forensik-Experten, die feststellen, wie auf das System zugegriffen wurde, welche Daten kompromittiert wurden und wie lange die Angreifer im System aktiv waren. Die Dauer dieses Prozesses hängt oft von der Komplexität des Angriffs und der Verstreutheit der hinterlassenen digitalen Spuren ab. iRhythm gab an, nach Abschluss der Untersuchung mit der Benachrichtigung der betroffenen Personen begonnen zu haben. Eine solche Verzögerung gibt den Angreifern jedoch ein beträchtliches Zeitfenster, um die gestohlenen Daten zu missbrauchen.
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →Welche Daten wurden kompromittiert
Die Liste der von den Angreifern erbeuteten Daten zeigt den Ernst der Lage. Dies ist nicht nur ein Leck einer Namens- und E-Mail-Liste; es enthält äußerst sensible Informationen, die für Identitätsdiebstahl, Betrug und sogar Erpressung verwendet werden können. Laut der Mitteilung des Unternehmens umfassen die Arten der gestohlenen Daten:
- Persönlich identifizierbare Informationen (PII): Vollständige Namen der Patienten, Geburtsdaten und, was am wichtigsten ist, Sozialversicherungsnummern (SSNs). Diese Kombination aus drei Informationen reicht aus, um Identitätsdiebstähle wie die Eröffnung neuer Kreditkarten, die Einrichtung von Bankkonten oder die Einreichung betrügerischer Steuererklärungen im Namen einer Person durchzuführen. Da die SSN das primäre Identifikationsmittel in fast allen offiziellen Transaktionen in den USA ist, ist ihr Diebstahl eine der gefährlichsten Arten von Datendiebstahl.
- Finanzinformationen: In der Mitteilung wird von „finanziellen Kontoinformationen“ gesprochen. Dies könnte Daten wie Bankkontonummern, Kreditkartendetails oder Zahlungshistorien umfassen. Diese Informationen können für direkten Finanzbetrug verwendet werden und bergen das Risiko, dass die Konten der Opfer geleert werden.
- Geschützte Gesundheitsinformationen (PHI): Diese Kategorie ist vielleicht die besorgniserregendste. Die gestohlenen Daten umfassen medizinische Diagnosen der Patienten, erhaltene Behandlungen und ihre Krankenversicherungsinformationen. Diese Art von Informationen ist äußerst privat und kann von böswilligen Akteuren auf verschiedene Weise genutzt werden. Beispielsweise können unter Verwendung der spezifischen Diagnose eines Patienten sehr überzeugende Phishing-Angriffe erstellt werden, wie z. B. „Es gibt ein Problem mit Ihrer Behandlung, Sie müssen dringend eine Zahlung leisten.“ Darüber hinaus können solche sensiblen Informationen auch als Werkzeug zur Erpressung von Einzelpersonen verwendet werden.
Die Kombination dieser Daten ist für Cyberkriminelle ein wahrer Schatz. Die Sammlung von Identitäts-, Finanz- und Gesundheitsinformationen in einem einzigen Paket schafft die Grundlage sowohl für sofortigen Betrug als auch für langfristigen Identitätsdiebstahl. Angreifer können diese Datensätze auf Marktplätzen im Dark Web verkaufen oder sie selbst für komplexere Betrugsoperationen nutzen.
Wie der Angriff geschah
Laut den Aussagen von iRhythm richtete sich der Angriff nicht gegen die eigenen Systeme des Unternehmens, sondern gegen Geschäftsanwendungen, die von einem von ihm genutzten Drittanbieter gehostet werden. Die Angreifer verschafften sich unbefugten Zugriff auf diese externe Plattform. Das Unternehmen hat bisher keine technischen Details über den Angriff, die ausgenutzte Schwachstelle oder die Identität der Angreifer mitgeteilt. In solchen Fällen ziehen es Unternehmen oft vor, technische Details vertraulich zu behandeln, in der Regel aufgrund einer laufenden Ermittlung durch Strafverfolgungsbehörden.
Basierend auf dem mitgeteilten Zeitplan fand der unbefugte Zugriff zwischen dem 1. September 2025 und dem 24. Oktober 2025 statt. Das Unternehmen gab an, die verdächtige Aktivität am 24. Oktober 2025 entdeckt und sofort eine Untersuchung eingeleitet zu haben. Während dieser Untersuchung zogen sie die Hilfe von externen Cybersicherheitsfirmen hinzu, die auf solche Vorfälle spezialisiert sind, um den Umfang und die Auswirkungen des Ereignisses zu verstehen. Die Untersuchung wurde am 1. Mai 2026 abgeschlossen, zu diesem Zeitpunkt wurde endgültig festgestellt, welche Patientendaten betroffen waren.
Dieser Zeitplan erklärt auch, warum zwischen der Entdeckung des Angriffs und der Benachrichtigung der betroffenen Personen fast acht Monate lagen. Forensische Analysen, die Untersuchung von Protokolldateien und die Bestimmung des Umfangs der kompromittierten Daten sind sehr zeitaufwändige Prozesse. Diese lange Wartezeit bedeutet jedoch, dass die Opfer nicht wussten, dass sie einem Risiko ausgesetzt waren.
Wer ist betroffen
Direkt von der Datenpanne betroffen sind Patienten, die derzeit die Herzüberwachungsdienste von iRhythm nutzen oder in der Vergangenheit genutzt haben. Laut der offiziellen Meldung an den Generalstaatsanwalt von Maine waren genau 148.819 Personen von dieser Panne betroffen. Diese Zahl repräsentiert die Anzahl der Personen, deren Daten nach den Ermittlungen des Unternehmens unbefugt eingesehen wurden.
Es wird davon ausgegangen, dass es sich bei den betroffenen Personen um diejenigen handelt, die die Produkte des Unternehmens wie Zio verwendet und dabei ihre persönlichen, finanziellen und medizinischen Informationen mit dem Unternehmen geteilt haben. Diese Patienten müssen sich nun der Realität stellen, dass ihre Daten in den Händen von Cyberkriminellen sein könnten. Das Unternehmen hat am 14. Juni 2026 begonnen, Benachrichtigungsschreiben an alle betroffenen Personen zu versenden.
Was Sie tun können
Wenn Sie ein Benachrichtigungsschreiben von iRhythm erhalten haben oder in der Vergangenheit die Dienste des Unternehmens in Anspruch genommen haben, sollten Sie sofort handeln und davon ausgehen, dass Ihre Daten gefährdet sein könnten. Hier sind die Schritte, die Sie unternehmen können:
- Aktivieren Sie den kostenlosen Dienst des Unternehmens: iRhythm bietet den Opfern 12 Monate lang kostenlose Kreditüberwachung und Identitätsdiebstahlschutzdienste über Experian an. Das Benachrichtigungsschreiben enthält Anweisungen zur Aktivierung dieses Dienstes. Sie sollten diesen Dienst unbedingt nutzen. Er wird Sie umgehend über verdächtige Aktivitäten informieren, wie z. B. die Eröffnung eines neuen Kontos auf Ihren Namen in Ihrer Kreditauskunft.
- Seien Sie wachsam gegenüber Phishing-Angriffen: Angreifer verfügen nun über sehr spezifische Informationen über Sie. Sie könnten sehr überzeugende E-Mails, Textnachrichten oder Telefonanrufe erhalten, die mit Ihrer medizinischen Diagnose, Ihrer Behandlungshistorie und Ihren Versicherungsinformationen erstellt wurden. Seien Sie skeptisch gegenüber jeder Kommunikation, die nach persönlichen Informationen oder Zahlungen fragt. Keine legitime Institution wird Sie per E-Mail nach Ihrem Passwort oder Ihrer Sozialversicherungsnummer fragen.
- Überprüfen Sie Ihre Konten: Überprüfen Sie sorgfältig Ihre Bank- und Kreditkartenabrechnungen sowie die Leistungsabrechnungen (Explanation of Benefits - EOB) Ihrer Krankenversicherung. Melden Sie alle Transaktionen, die Sie nicht erkennen oder verdächtig finden, sofort der zuständigen Institution.
- Erwägen Sie eine Kreditsperre (Credit Freeze): Während die Kreditüberwachung Sie warnt, verhindert eine Kreditsperre die Eröffnung neuer Kreditkonten in Ihrem Namen. Dies ist eine der wirksamsten Maßnahmen gegen Identitätsdiebstahl. Sie können Ihre Kreditauskunft kostenlos sperren lassen, indem Sie sich an die drei großen Kreditauskunfteien in den USA (Experian, TransUnion, Equifax) wenden.
Was das Unternehmen sagt
In seiner offiziellen Erklärung betonte iRhythm, dass es den Vorfall ernst nehme und großen Wert auf die Sicherheit seiner Kunden lege. Das Unternehmen erklärte, dass es unmittelbar nach der Entdeckung der Panne Maßnahmen ergriffen habe, um seine Systeme mit Hilfe von Cybersicherheitsexperten zu sichern. Sie fügten hinzu, dass sie mit den Strafverfolgungsbehörden des Bundes zusammenarbeiten.
Das Benachrichtigungsschreiben des Unternehmens zur Datenpanne enthielt folgende Aussage: „Wir bedauern jegliche Besorgnis oder Unannehmlichkeiten, die dieser Vorfall verursachen könnte. Wir ergreifen Maßnahmen, um Ihre Informationen zu schützen, und arbeiten daran, unsere Sicherheitsmaßnahmen als Reaktion auf diesen Vorfall weiter zu verstärken.“ iRhythm bekräftigte, dass es ein Callcenter zur Unterstützung der betroffenen Personen eingerichtet hat und einen 12-monatigen kostenlosen Identitätsschutzdienst anbietet. Diese Schritte sind Standard-Krisenmanagementverfahren in der Unternehmenswelt nach Datenpannen und zeigen die Bemühungen des Unternehmens, seinen gesetzlichen Verpflichtungen nachzukommen.