Eine Datenpanne in Quest Diagnostics’ System zur Bestellung von Laboruntersuchungen hat Patienten und Gesundheitsdienstleister auf die Klärung warten lassen, welche Datensätze offengelegt wurden.
Der Laborbetreiber teilte am 22. Okt. mit, dass er am Vortag einen unbefugten Zugriff auf sein System Quanum Lab Services Manager entdeckt habe. Quest geht davon aus, dass auf einige Patientenakten zugegriffen wurde, doch die Zahl der Betroffenen und die konkret involvierten Datensätze sind weiterhin unbekannt.
Für Praxen, die Quanum LSM einsetzen, besteht die unmittelbare Herausforderung darin, Laboraufträge und Ergebnisse weiter zu bearbeiten, während noch geklärt wird, welche Patienten und Informationsarten betroffen waren.
Was Quest bestätigt hat
In seiner SEC-Einreichung, erklärte Quest, dass das Unternehmen seine Verfahren zur Reaktion auf Cybersicherheitsvorfälle aktiviert, die Bundesstrafverfolgungsbehörden benachrichtigt und externe Cybersicherheitsexperten hinzugezogen habe. Das Unternehmen erklärte, der Vorfall habe weder den Geschäftsbetrieb noch die Fähigkeit, Patienten zu versorgen, wesentlich beeinträchtigt.
Aus der Offenlegung geht nicht hervor, dass Sozialversicherungsnummern, Finanzdaten oder bestimmte Testergebnisse offengelegt wurden. Das vollständige Ausmaß des unbefugten Zugriffs wird laut AP-Berichterstattung weiterhin untersucht.
Diese Unterscheidung ist wichtig, weil die betroffenen Informationen die Risiken für Patienten und die erforderlichen Schutzmaßnahmen bestimmen. Frühere Vorfälle im Gesundheitswesen, einschließlich des TriZetto-Datenlecks und der daraus resultierenden Klagen, haben Bedenken hinsichtlich der Schnelligkeit und Klarheit von Benachrichtigungen über Datenpannen verstärkt.
Warum Patienteninformationen dauerhafte Risiken bergen können
Ross Filipek, CISO bei Corsica Technologies, erklärte, die möglichen Folgen hingen davon ab, was die Untersuchung ergebe.
„Die Quanum-Plattform von Quest befindet sich an einer sensiblen Schnittstelle zwischen Patienteninformationen und der täglichen Laborarbeit. Je nachdem, worauf zugegriffen wurde, könnten die Datensätze Kriminellen Material für Identitätsbetrug oder überzeugende Nachrichten über die Behandlung einer Person liefern. Ein Betrugsversuch, der sich auf einen echten Test bezieht, kann weitaus glaubwürdiger wirken als eine generische Phishing-E-Mail, und Patienten können ihre Krankengeschichte nach einer Offenlegung nicht einfach ersetzen“, sagte Filipek.
Dabei handelt es sich um mögliche Risiken und nicht um bestätigte Folgen dieses Vorfalls. Aus den verfügbaren Mitteilungen geht nicht hervor, dass Kriminelle die betroffenen Datensätze für Betrug oder gezielte Betrugsversuche genutzt haben.
Patienten sollten unerwartete Nachrichten zu Testergebnissen, der Wiederherstellung von Konten oder Unterstützung nach einer Datenpanne über einen etablierten Kontakt des Anbieters überprüfen, bevor sie persönliche Informationen übermitteln. Wie jüngste Microsoft-365-Kampagnen mit Kalender-Phishing zeigen, können vertraut wirkende Nachrichten als Vehikel für den Diebstahl von Zugangsdaten dienen.
Welche Möglichkeiten Anbietern weiterhin zur Verfügung stehen
Quest setzte den Zugriff auf Quanum LSM aus, nachdem das Unternehmen die unbefugten Aktivitäten entdeckt hatte. In seiner Meldung zum Vorfall, erklärte das Unternehmen, sein Kerngeschäft laufe weiterhin.
Anbieter, die direkte LIS-Schnittstellen (Laborinformationssysteme) für Kunden oder elektronische Patientenakten (EMRs) nutzen, können weiterhin über diese Verbindungen Aufträge erteilen. Quest zufolge waren sie nicht betroffen.
Quest erklärte, das Unternehmen rechne damit, die vollständige Funktionalität frühestens am 23. Okt. wiederherzustellen; diese Schätzung bestätigt jedoch nicht, dass der Dienst bereits wieder verfügbar ist. Betroffene Quanum-LSM-Kunden können Papieranforderungen oder Quanum eLabs nutzen, um Aufträge zu erteilen und Ergebnisse zu erhalten. Quest führt außerdem Telefon- und eFax-Optionen für den Abruf von Ergebnissen auf.
Praxen, die von der Aussetzung betroffen sind, sollten die verfügbaren Abläufe direkt mit Quest bestätigen und ausstehende Aufträge und Ergebnisse nachverfolgen. Ihr Notfallplan sollte neben der technischen Untersuchung auch Zuständigkeiten für die Aufrechterhaltung des Betriebs, die Kommunikation und Patientenanfragen festlegen.
Versorgung aufrechterhalten und Zugriffe überprüfen
Für Sicherheitsteams im Gesundheitswesen erfordern die Wiederherstellung des Dienstes und die Untersuchung einer möglichen Offenlegung von Patientendaten jeweils eigene Folgemaßnahmen. Eine funktionierende Verbindung zur Auftragserteilung klärt weder, auf welche Datensätze ein Eindringling zugegriffen hat, noch macht sie die Kommunikation mit Patienten überflüssig.
„Für Organisationen im Gesundheitswesen besteht die praktische Lehre darin zu prüfen, auf wie viele Patienteninformationen jedes Konto zugreifen kann“, sagte Filipek. „Die Überwachung muss ungewöhnliche Zugriffe erkennen, bevor ein legitimer Arbeitsablauf zu einem Zugang zu Datensätzen wird.“
Organisationen, die Quanum LSM nutzen, sollten betroffene Arbeitsabläufe identifizieren, vorläufige Regelungen dokumentieren und eine Person damit beauftragen, die Updates von Quest zu prüfen. Sicherheits- und Datenschutzteams sollten Einzelheiten zu betroffenen Konten, Zugriffszeitpunkten und Datenkategorien anfordern, sobald Erkenntnisse verfügbar werden. Diese Fakten können die Überprüfung von Zugriffsrechten steuern und klären, ob weitere Untersuchungen oder Schutzmaßnahmen erforderlich sind.
Patienten sollten bestätigten Informationen folgen, ohne davon auszugehen, dass jeder Quest-Kunde betroffen war. Die nächste wichtige Entwicklung wird eine klarere Darstellung darüber sein, wessen Informationen abgerufen wurden und was sie enthielten. Bis dahin sollten Anbieter die Versorgung aufrechterhalten und sich darauf vorbereiten, auf konkrete Erkenntnisse zu reagieren, während Patienten Nachrichten überprüfen und ausstehende Untersuchungen nachverfolgen.
Mehr dazu: Der Datenverstoß bei DentaQuest betraf 15 Millionen Menschen und zeigt, warum die Kombination aus offengelegten Gesundheits- und Identitätsdaten wichtig ist.