Medtronic: Patienten- und Gesundheitsdaten könnten bei Netzwerkangriff im April offengelegt worden sein

Medtronic, der für Herzschrittmacher und Insulinpumpen bekannte Medizintechnikhersteller, hat einige Patienten darüber informiert, dass ihre personenbezogenen und gesundheitsbezogenen Daten bei einem Cyberangriff Anfang dieses Jahres möglicherweise abgerufen wurden.

In den an betroffene Personen versandten Datenschutzverletzungsmitteilungen teilte das Unternehmen mit, am 15. April verdächtige Aktivitäten festgestellt zu haben. Später kam es zu dem Schluss, dass ein unbefugter Akteur vom 13. bis zum 19. April Zugriff auf bestimmte Unternehmenssysteme hatte. Die betroffenen Systeme enthielten unter anderem Namen, Kontaktdaten, Geburtsdaten, Sozialversicherungsnummern und gesundheitsbezogene Angaben.

Medtronic erklärte, dass das Unternehmen einige dieser Informationen erhebt, um Produktaktualisierungen zu unterstützen und regulatorische Verpflichtungen zu erfüllen. Das Unternehmen fügte hinzu, es gebe keine Hinweise darauf, dass die Daten öffentlich gemacht oder online veröffentlicht wurden. Allerdings äußerte es sich nicht dazu, ob der Eindringling Kopien der Daten angefertigt hat.

Patientengeräte waren laut Medtronic nicht betroffen

Das Unternehmen bemühte sich außerdem, Patienten zu versichern, dass der Vorfall weder die Sicherheit noch die Funktionsfähigkeit seiner Geräte beeinträchtigt habe. In der Mitteilung erklärte Medtronic, die Untersuchung habe keine Hinweise darauf ergeben, dass ein Gerät in einer Weise beeinträchtigt wurde, die es an der Abgabe der vorgesehenen Therapie gehindert hätte.

Als die Sicherheitsverletzung im April erstmals bekannt gegeben wurde, erklärte Medtronic, der Vorfall habe weder die Patientensicherheit, die Herstellung, den Vertrieb und die Finanzberichterstattung noch die Fähigkeit des Unternehmens beeinträchtigt, seine Kunden zu bedienen. Das Unternehmen wies außerdem darauf hin, dass seine interne Unternehmensumgebung von den Netzwerken getrennt ist, die seine Produkte unterstützen, und dass die Netzwerke von Krankenhauskunden unabhängig verwaltet werden.

Kurz nach dem Eindringen nahm die Erpressergruppe ShinyHunters Medtronic in ihre Leak-Seite auf und behauptete, mehr als neun Millionen Datensätze gestohlen zu haben. Die Gruppe drohte mit der Veröffentlichung des Materials, sollte keine Zahlung erfolgen. Der Eintrag wurde später jedoch entfernt, und es wurden keine Daten öffentlich veröffentlicht. Medtronic hat die Angreifer nicht öffentlich identifiziert und den Vorfall keiner bestimmten Gruppe zugeordnet.

Die Mitteilung zur Datenschutzverletzung lässt mehrere Fragen offen, darunter die Zahl der betroffenen Personen, die Art und Weise, wie der Zugriff erlangt wurde, und der Grund dafür, dass die Benachrichtigung mehr als zwei Monate dauerte. Medtronic erklärte, zusätzliche Sicherheitsmaßnahmen ergriffen, Strafverfolgungsbehörden und Aufsichtsbehörden informiert zu haben und betroffenen Personen zwei Jahre lang eine Überwachung ihrer Kreditwürdigkeit, eine Überwachung des Dark Web sowie Dienste zur Wiederherstellung ihrer Identität anzubieten.