Zwei Drittel der größten Datenschutzverletzungen im US-Gesundheitswesen gingen laut Bundesaufzeichnungen und unabhängigen Analysen auf Drittanbieter und nicht auf Krankenhäuser zurück.
Diese Vorfälle im Zusammenhang mit Anbietern haben insgesamt Hunderte Millionen von Patientendatensätzen offengelegt, darunter der Datenverstoß bei Change Healthcare im Jahr 2024 mit 192.7 Millionen Datensätzen – der größte jemals verzeichnete.
Der Bericht des HIPAA Journal vom September 2025 zeigt einen deutlichen Rückgang bei der Meldung neuer Datenschutzverletzungen. Lediglich 26 Vorfälle, die 1.29 Millionen Personen betrafen, wurden auf dem Portal des US-Gesundheitsministeriums (Office for Civil Rights, OCR) erfasst.
Dieser Rückgang deutet jedoch nicht auf einen tatsächlichen Rückgang der Verstöße hin. Aufgrund der Haushaltssperre der Bundesregierung stellte das OCR die Aktualisierung seines öffentlichen Portals am 24. September ein, wodurch sich die Bearbeitung mehrerer anhängiger Berichte verzögerte.
September 2025: Niedrigste monatliche Anzahl an Sicherheitsverletzungen seit 2018
Ende Oktober verzeichnete die Datenbank des OCR 26 größere Vorfälle, ein Rückgang um 56 % gegenüber den 64 im August. Die größten Angriffe betrafen Netzwerk-Server-Attacken auf das Goshen Medical Center (456,385 Betroffene) und Medical Associates of Brevard (246,711 Betroffene). Nur ein Vorfall, der La Perouse LLC in Nevada betraf, wurde einem Geschäftspartner zugeschrieben.
Selbst bei unvollständigen Daten beläuft sich die Gesamtzahl seit Jahresbeginn auf 469 größere Datenschutzverletzungen im Gesundheitswesen, verglichen mit 554 im gleichen Zeitraum im Jahr 2024. Dies deutet eher auf eine vorübergehende Verzögerung bei der Meldung als auf eine verbesserte Sicherheitslage hin.
Historische Daten: Anbieter verantwortlich für zwei Drittel der größeren Sicherheitslücken
Während die Stichprobe vom September einen Schwerpunkt auf Gesundheitsdienstleister legt, zeigen Langzeitdaten, dass Anbieter für die meisten großflächigen Datenschutzverletzungen verantwortlich sind. Von den 20 größten jemals verzeichneten Datenschutzverletzungen im Gesundheitswesen gingen 13 auf das Konto von Anbietern wie Geschäftspartnern, Abrechnungsdienstleistern und Analyseunternehmen.
Zu den bemerkenswerten Fällen zählen Welltok, PJ&A, Maximus und HealthEC, die alle im Jahr 2023 durch MOVEit-Dateiübertragungs-Exploits kompromittiert wurden. Der Ransomware-Angriff auf Change Healthcare im Jahr 2024, bei dem fast 200 Millionen Patientendatensätze offengelegt wurden, verdeutlicht das systemische Risiko von Abhängigkeiten von Anbietern.
Ein einziger kompromittierter Dienstleister kann die Schadensabwicklung in mehreren Krankenhäusern und Versicherern stören und innerhalb weniger Tage zu einem landesweiten Risiko für mehrere Mandanten führen.
Die größten Datenschutzverletzungen im US-Gesundheitswesen aller Zeiten
| Jahr | Wesen | Staat | Entitätstyp | Betroffene Personen |
|---|---|---|---|---|
| 2024 | Change Healthcare, Inc. | MN | Geschäftspartner | 192,700,000 |
| 2015 | Anthem Inc. | IN | Gesundheitsplan | 78,800,000 |
| 2023 | Welltok, Inc. | CO | Geschäftspartner | 14,782,887 |
| 2024 | Kaiser Foundation Health Plan, Inc. | CA | Gesundheitsplan | 13,400,000 |
| 2019 | Optum360, LLC | MN | Geschäftspartner | 11,500,000 |
| 2023 | HCA Gesundheitswesen | TN | Geschäftspartner | 11,270,000 |
| 2015 | Premera Blue Cross | WA | Gesundheitsplan | 11,000,000 |
| 2019 | Laboratory Corp. of America (LabCorp) | NC | Provider | 10,251,784 |
| 2015 | Excellus Health Plan, Inc. | NY | Gesundheitsplan | 9,358,891 |
| 2023 | PJ&A (Perry Johnson & Associates) | NV | Geschäftspartner | 9,302,588 |
| 2023 | Maximus, Inc. | VA | Geschäftspartner | 9,179,390 |
| 2023 | Managed Care in Nordamerika | GA | Geschäftspartner | 8,627,242 |
| 2014 | Gesundheitssysteme der Gemeinschaft | TN | Provider | 6,121,158 |
| 2023 | PharMerica Corporation | KY | Provider | 5,815,591 |
| 2025 | Yale New Haven Gesundheitssystem | CT | Provider | 5,556,702 |
| 2024 | Aufstieg Gesundheit | MO | Provider | 5,466,931 |
| 2025 | Episource, LLC | CA | Geschäftspartner | 5,418,866 |
| 2011 | SAIC | VA | Geschäftspartner | 4,900,000 |
| 2023 | HealthEC LLC | NJ | Geschäftspartner | 4,786,241 |
| 2025 | Blauer Schild von Kalifornien | CA | Geschäftspartner | 4,700,000 |
Quelle: US HHS OCR Breach Portal, zusammengestellt vom HIPAA Journal und unabhängigen Quellen HostScore Analyse.
Warum bleiben die Anbieter das schwächste Glied?
Geschäftspartner, darunter Abrechnungsdienstleister, Datenhosting-Anbieter und Analysedienstleister, stellen nach wie vor die am stärksten gefährdete Gruppe im Ökosystem der Gesundheitsdaten dar. Sie agieren in der Regel außerhalb der direkten Aufsicht der Krankenhäuser und Krankenkassen, die sie betreuen, was die Durchsetzung von Compliance-Vorgaben und die Transparenz von Vorfällen schwächt.
Zu den häufigsten Risikofaktoren zählen gemeinsam genutzte Cloud-Infrastrukturen, falsch konfigurierte Server, verzögerte Software-Updates und unzureichende Überwachung von Subunternehmernetzwerken. Jeder dieser Faktoren schafft eine Angriffsfläche, die Angreifer in großem Umfang ausnutzen können.
Laut dem Identity Theft Resource Center (ITRC) zählen Angriffe auf Drittanbieter und Lieferketten zu den drei häufigsten Ursachen für Datenschutzverletzungen in allen US-Branchen. Ransomware-Betreiber bevorzugen zunehmend die Ökosysteme von Anbietern, da ein einzelner Angriff sich auf zahlreiche Kunden im Gesundheitswesen ausweiten und Millionen von Patientendaten in einem koordinierten Angriff offenlegen kann.
HIPAA-konformes Hosting als erste Verteidigungslinie
Der Anstieg von Sicherheitsvorfällen, die durch Anbieter verursacht werden, bestätigt, dass Sicherheit auf der Hosting-Ebene und nicht erst auf Anwendungsebene beginnen muss. Wenn Anbieter im Gesundheitswesen Workloads in gemeinsam genutzten oder schlecht segmentierten Cloud-Umgebungen bereitstellen, kann bereits eine einzige Fehlkonfiguration oder schwache Zugangsdaten große Mengen an geschützten Gesundheitsdaten (PHI) offenlegen. Eine Compliance-konforme Hosting-Infrastruktur schützt sensible Daten, bevor es zu einer Interaktion zwischen Anwendung oder Benutzer kommt.
Zum Beispiel, Atlantic.NetHIPAA-konformes Hosting Es veranschaulicht, wie eine sichere Infrastruktur das Risiko von Sicherheitslücken verringern und die Einhaltung von Vorschriften für Anbieter im Gesundheitswesen vereinfachen kann. Die Plattform ist SOC 2 und SOC 3 zertifiziert, HIPAA und HITECH geprüft und speziell für den Schutz elektronischer geschützter Gesundheitsdaten (ePHI) entwickelt.
Seine Architektur vereint:
- Spezielle Firewalls blockieren unberechtigten Zugriff und externe Bedrohungen.
- Verschlüsselte Datenspeicherung und -übertragung, um Abfangen oder Manipulation zu verhindern.
- Isolierte Rechenumgebungen, die Arbeitslasten enthalten und die seitliche Bewegung einschränken.
- Kontinuierliche Überwachung, die Anomalien in Echtzeit erkennt.
Durch die Integration dieser Sicherheits- und Compliance-Kontrollen auf Infrastrukturebene ermöglicht HIPAA-konformes Hosting Anbietern im Gesundheitswesen, die bundesstaatlichen Datenschutzvorgaben zu erfüllen, ohne sich ausschließlich auf Software-Schutzmaßnahmen verlassen zu müssen. HostScoreDie Plattformanalysen von zeigen, dass die meisten Anbieter immer noch mit generischen Cloud-Stacks arbeiten, denen verifizierte Zertifizierungen, Verschlüsselungsbestätigungen oder dokumentierte Prüfprotokolle fehlen.
In einem vernetzten Gesundheitswesen hat sich die Hosting-Umgebung effektiv zum neuen Sicherheitsperimeter entwickelt. Plattformen, die für die Einhaltung der HIPAA-Richtlinien entwickelt wurden, bleiben eine der wirksamsten ersten Verteidigungslinien gegen großflächige Datenlecks.
Schlüssel zum Mitnehmen
Der scheinbare Rückgang der Datenschutzverletzungen im Jahr 2025 ist eher auf verzögerte Meldungen der Bundesbehörden als auf verbesserte Sicherheitsvorkehrungen zurückzuführen. Aufzeichnungen aus über zehn Jahren bestätigen, dass zwei Drittel der schwerwiegendsten Datenschutzverletzungen im Gesundheitswesen von Drittanbietern verursacht wurden.
Da Gesundheitsnetzwerke zunehmend vernetzter werden, sind die Überprüfung der Anbieterinfrastruktur und die Einhaltung der Vorschriften unerlässlich geworden. Echter Datenschutz beginnt auf der Hosting-Ebene, wo geprüfte und HIPAA-konforme Anbieter Festlegung messbarer Standards für den Schutz von Patientendaten und die Einhaltung gesetzlicher Vorschriften.
Quellen:
- HIPAA Journal – Bericht über Datenschutzverletzungen im Gesundheitswesen, September 2025 (22. Oktober 2025)
- US-Gesundheitsministerium (HHS) – Büro für das Portal für Bürgerrechtsverletzungen
- Bericht des Identity Theft Resource Center (ITRC) über Datenschutzverletzungen im 3. Quartal 2025
- HostScore unabhängige Datenanalyse, Oktober 2025
