Datenleck bei MCBS betrifft 1,2 Millionen Menschen

Was ist passiert?

Cyberangriffe auf den Gesundheitssektor gefährden weiterhin die privatesten Informationen von Patienten. Zuletzt gab Medical Computer Business Services (MCBS), ein Unternehmen für medizinische Abrechnungen und Praxismanagement mit Sitz in Georgia, USA, eine massive Datenpanne bekannt, von der 1.261.464 Personen betroffen sind. Das Unternehmen bestätigte, dass Angreifer im September 2025 in seine Systeme eingedrungen sind und Zugriff auf die Daten von Millionen von Patienten erlangt haben. Dieser Vorfall unterstreicht einmal mehr den immensen Wert von Gesundheitsdaten und wie Drittunternehmen, die diese Daten verarbeiten, zu attraktiven Zielen für Cyberkriminelle geworden sind.

MCBS ist ein wichtiger Geschäftspartner für viele Gesundheitsorganisationen in der Region und bietet Dienstleistungen wie Abrechnung, Kodierung, Forderungsmanagement sowie finanzielle und administrative Unterstützung an. Diese Rolle macht es praktisch zu einem Aggregator von Gesundheitsdaten. Das bedeutet, dass Ihre Daten auch dann betroffen sein könnten, wenn Sie kein direkter Patient von MCBS sind, aber Ihr Arzt oder Krankenhaus mit ihnen zusammenarbeitet. Laut der Erklärung des Unternehmens erlangten die Angreifer zwischen dem 22. und 26. September 2025, also über einen Zeitraum von vier Tagen, unbefugten Zugriff auf das Netzwerk. Es dauerte jedoch Monate, den vollen Umfang und die Auswirkungen dieses Einbruchs zu ermitteln. Das Unternehmen schloss seine umfangreiche Untersuchung erst am 28. Mai 2026 ab und klärte das Ausmaß der Panne. Die öffentliche Bekanntgabe erfolgte erst Ende Juni 2026. Dieser lange Zeitrahmen verdeutlicht die Komplexität und den Zeitaufwand bei der Reaktion auf Cybersicherheitsvorfälle.

Die Verantwortung für den Angriff wurde von einer Ransomware-Gruppe namens PEAR (Pure Extraction and Ransom) übernommen. Die Gruppe behauptete, unglaubliche 3,3 Terabyte an Daten aus den MCBS-Systemen gestohlen zu haben. Dieser riesige Datenberg enthält nicht nur Patienteninformationen, sondern auch wichtige Details über die internen Abläufe des Unternehmens. Die PEAR-Gruppe behauptete außerdem, die gestohlenen Daten vollständig online veröffentlicht zu haben. Das bedeutet, dass die Daten der 1,2 Millionen betroffenen Personen nun unkontrolliert in Cybercrime-Foren und im Dark Web zirkulieren.

Die offengelegten Daten

Die Art der bei dieser Panne durchgesickerten Daten erhöht die Schwere des Vorfalls erheblich. Die Informationen, die in die Hände von Cyberkriminellen gelangt sind, gehen weit über einfache persönliche Details hinaus und umfassen einige der privatesten und sensibelsten Informationen einer Person. Laut MCBS variiert die Art der offengelegten Daten für jede Person, aber die potenziell kompromittierten Informationen umfassen:

• Vollständiger Name: Der Grundstein für Identitätsdiebstahl.
• Physische Adresse: Kann für Betrug und sogar physische Sicherheitsbedrohungen verwendet werden.
• Sozialversicherungsnummer (SSN): Gilt in den USA als Generalschlüssel für Identitätsdiebstahl und kann für unzählige illegale Aktivitäten wie die Beantragung von Kreditkarten, die Eröffnung von Bankkonten oder die Einreichung betrügerischer Steuererklärungen im Namen einer Person verwendet werden.
• Geburtsdatum: Eine wichtige Information, die in Kombination mit anderen Daten zur Umgehung von Identitätsprüfungen verwendet wird.
• Leistungsempfängernummer des Gesundheitsplans: Kann direkt für medizinischen Identitätsdiebstahl verwendet werden.
• Krankenversicherungs- und Abonnement-Identifikationsnummer: Ermöglicht es Kriminellen, betrügerische medizinische Leistungen zu erhalten oder verschreibungspflichtige Medikamente unter Verwendung der Versicherung des Opfers zu beziehen.
• Krankengeschichte, Informationen zum geistigen und körperlichen Zustand: Die privatesten Details der Gesundheitsgeschichte einer Person. Diese Daten können für Erpressung, gezielten Betrug (z. B. gefälschte Behandlungsanzeigen für eine bestimmte Krankheit) oder Social-Engineering-Angriffe verwendet werden.
• Informationen zu medizinischer Behandlung und Diagnose: Äußerst sensible Informationen wie Krankheitsdiagnosen und erhaltene Behandlungen, die offengelegt werden könnten, um den Ruf einer Person zu schädigen oder ihr Leid zuzufügen.

Die Behauptungen der PEAR-Ransomware-Gruppe deuten darauf hin, dass die Situation noch schlimmer sein könnte. Die Gruppe gibt an, zusätzlich zu den Patientendaten auch Personaldaten, Details zu Geschäftsabläufen, Zahlungsinformationen, E-Mail-Korrespondenz und verschiedene Datenbanken exfiltriert zu haben. Dies könnte bedeuten, dass der Angriff nicht nur Patienten, sondern auch MCBS-Mitarbeiter und Geschäftspartner betrifft.

Wie der Angriff geschah

Obwohl MCBS erklärte, dass Angreifer zwischen dem 22. und 26. September 2025 in sein Netzwerk eingedrungen sind, hat das Unternehmen keine technischen Details darüber mitgeteilt, wie der Einbruch geschah. Kritische Fragen, wie welche Schwachstelle ausgenutzt wurde, wie der Erstzugriff erlangt wurde oder wie sich die Angreifer im Netzwerk bewegten, bleiben unbeantwortet. Typischerweise haben solche Angriffe ihren Ursprung in gängigen Sicherheitsmängeln wie Phishing-E-Mails, ungepatchten Software-Schwachstellen oder schwachen Passwortrichtlinien.

Die Beteiligung der PEAR-Ransomware-Gruppe deutet jedoch darauf hin, dass es sich um mehr als einen einfachen Datendiebstahl handelte. Ransomware-Gruppen verschlüsseln normalerweise Daten und machen Systeme unbrauchbar, nachdem sie in das Netzwerk eines Ziels eingedrungen sind. Sie fordern dann ein Lösegeld, um die Daten zu entschlüsseln und die Veröffentlichung der gestohlenen Informationen zu unterlassen. Es ist nicht bekannt, ob MCBS ein Lösegeld gezahlt hat, aber die Ankündigung der Gruppe, 3,3 TB an Daten veröffentlicht zu haben, deutet entweder darauf hin, dass das Lösegeld nicht gezahlt wurde, oder dass die Gruppe die Daten trotzdem veröffentlicht hat – eine gängige Taktik der doppelten Erpressung. Diese Taktik beweist, wie rücksichtslos Ransomware-Angriffe sein können. Für weitere Informationen zu diesem Thema können Sie die neuesten Datenleck Nachrichten verfolgen.

Wer ist betroffen?

Die Panne betrifft direkt die Patienten der Gesundheitsorganisationen, die Kunden von MCBS sind. In seiner Benachrichtigung listete das Unternehmen sieben „betroffene Stellen“ auf, für die es als Geschäftspartner tätig ist. Einige der genannten Organisationen sind:

• South Georgia Radiology Consultants
• SkinPath Solutions
• Stephen W. Brown and Radiology Associates

Diese Liste ist möglicherweise nicht vollständig. Da MCBS ein regionaler Dienstleister ist, könnte potenziell jeder, der in Georgia medizinische Dienstleistungen in Anspruch genommen hat, gefährdet sein. Es ist daher für Patienten in der Region von entscheidender Bedeutung, sich an ihre Gesundheitsdienstleister zu wenden, um zu bestätigen, ob sie mit MCBS zusammenarbeiten und ob ihre persönlichen Daten von diesem Vorfall betroffen sind. Wenn Sie sich fragen, ob Ihre Daten bei diesem oder einem anderen Leck kompromittiert wurden, können Sie eine Datenleck Suche durchführen.

Was Sie tun können

MCBS rät potenziell betroffenen Personen, mehrere wichtige Schritte zu unternehmen. Wenn Sie glauben, von dieser Panne betroffen zu sein, können die folgenden Maßnahmen zum Schutz Ihrer Identität und Ihrer Finanzen beitragen:

1. Setzen Sie einen Betrugsalarm auf Ihre Kreditauskünfte (Fraud Alert): Sie können die drei großen Kreditauskunfteien in den USA (Equifax, Experian, TransUnion) kontaktieren und einen Betrugsalarm in Ihrer Akte platzieren lassen. Dies erfordert, dass Kreditgeber zusätzliche Schritte zur Überprüfung Ihrer Identität unternehmen, bevor sie ein neues Konto in Ihrem Namen eröffnen, was es Betrügern erschwert, Kredite aufzunehmen.
2. Erwägen Sie eine Kreditsperre (Security Freeze): Eine stärkere Maßnahme, die Kreditsperre, blockiert die Weitergabe Ihrer Kreditauskunft an neue Gläubiger ohne Ihre Erlaubnis. Dies macht es nahezu unmöglich, dass jemand neue Kredit- oder Darlehenskonten in Ihrem Namen eröffnet, bis Sie die Sperre aufheben.
3. Überprüfen Sie Ihre Kontoauszüge und Rechnungen: Überwachen Sie sorgfältig Ihre Bank- und Kreditkartenabrechnungen sowie Ihre Leistungsübersichten (Explanation of Benefits - EOB) von Ihrer Krankenversicherung. Wenn Sie unbekannte Transaktionen oder in Ihrem Namen abgerechnete medizinische Leistungen sehen, wenden Sie sich umgehend an die jeweilige Institution.
4. Kontaktieren Sie Ihren Gesundheitsdienstleister: Wenden Sie sich an Ihren Arzt oder Ihr Krankenhaus, um herauszufinden, ob sie MCBS für die Abrechnung verwenden. Wenn ja, können Sie möglicherweise spezifischere Informationen darüber erhalten, ob Ihre Daten betroffen waren.

Was das Unternehmen sagt

MCBS hat eine Benachrichtigung auf seiner Website veröffentlicht, um den Vorfall öffentlich bekannt zu machen. Das Unternehmen gab an, dass der Angriff Ende 2025 stattfand und die Untersuchung im Mai 2026 abgeschlossen wurde. In ihrer Erklärung erwähnten sie, dass sie eine gründliche Untersuchung durchgeführt haben, um den Umfang und die Auswirkungen des Ereignisses zu bestimmen, und Schritte unternehmen, um den betroffenen Personen zu helfen. Das Unternehmen gab nicht an, ob es potenziellen Opfern Kreditüberwachungs- oder Identitätsdiebstahlschutzdienste anbietet, forderte jedoch Einzelpersonen auf, proaktive Maßnahmen wie das Setzen von Betrugsalarmen und Kreditsperren zu ergreifen. Die offizielle Meldung des Unternehmens an das US-Gesundheitsministerium bestätigte die Zahl der betroffenen Personen mit 1.261.464 und dokumentierte damit offiziell das massive Ausmaß des Vorfalls.

Quelle

https://www.bleepingcomputer.com/news/security/data-breach-at-medical-billing-firm-mcbs-affects-126-million-people/