NHS-Datenpanne bei Gesundheitsdaten: Patientenakten aus Essex über Drittanbieter kompromittiert

Ein jüngster Cyberangriff hat zur Kompromittierung Tausender Patientenakten in Essex geführt, insbesondere solcher, die dem Mid and South Essex NHS Foundation Trust (MSE) zuzuordnen sind. Der vom MSE bestätigte Vorfall führte zum Diebstahl von etwa 2.380 Patiententestakten. Besonders relevant ist die Tatsache, dass die Daten von einem Drittanbieter, Synnovis, verwaltet wurden, was die inhärenten Schwachstellen im Lieferkettenmanagement im Gesundheitswesen hervorhebt. Das Ereignis reiht sich in den Kontext einer umfassenderen „schwerwiegenden NHS-Datenpanne“ ein und unterstreicht eine bedeutende Herausforderung für die Cybersicherheit.

Der Mid and South Essex NHS Foundation Trust, der Gesundheitsdienste in Gebieten wie Southend verwaltet, ist die jüngste Einrichtung, die eine Datenpanne bestätigt hat, die auf einen Cyberangriff zurückgeht, der seine von Dritten bereitgestellten Dienste beeinträchtigt hat. Die spezifische Natur von „Patiententestakten“ deutet auf hochsensible medizinische Informationen hin, die strengen Datenschutzbestimmungen unterliegen. Die Beteiligung von Synnovis als Verwahrer der kompromittierten Daten verstärkt die entscheidende Bedeutung eines sorgfältigen Lieferantenrisikomanagements und robuster vertraglicher Vereinbarungen zum Schutz personenbezogener Daten bei der Auslagerung.

Für jede Organisation, insbesondere solche, die besondere Kategorien personenbezogener Daten wie Gesundheitsinformationen verarbeiten, dient dieser Vorfall als klare Mahnung vor den allgegenwärtigen und sich entwickelnden Risiken in der digitalen Landschaft. Unter normativen Rahmenbedingungen wie der DSGVO wird die Verletzung von Gesundheitsdaten als Vorfall von hoher Schwere eingestuft, mit potenziellen Auswirkungen auf den Ruf, erheblichen Sanktionen und der Pflicht zur Meldung an die Aufsichtsbehörden und die betroffenen Personen. Die Abhängigkeit von Drittanbietern legt den Verantwortlichen eine höhere Last auf, um sicherzustellen, dass ihre Partner angemessene Sicherheitsmaßnahmen implementieren und dass klare Protokolle für das Incident Management vorhanden sind. Die Lieferkette ist zunehmend der Schwachpunkt für gezielte Angriffe.

Darüber hinaus führt für als kritische Infrastrukturen geltende Einrichtungen, wie jene im Gesundheitswesen, die NIS2-Richtlinie (Network and Information Systems Security Directive) noch strengere Pflichten hinsichtlich des Risikomanagements und der Meldung von Vorfällen ein. Obwohl der Text die NIS2 nicht explizit erwähnt, ist der Gesundheitssektor explizit von dieser Richtlinie erfasst, wodurch diese Vorfälle für die zukünftige Compliance von besonderer Relevanz sind. Der Schutz von Gesundheitsinformationen ist nicht nur eine Frage der individuellen Privatsphäre, sondern auch der nationalen Sicherheit und der Kontinuität wesentlicher Dienste. Der Angriff unterstreicht die Notwendigkeit, einen ganzheitlichen Ansatz zur Cybersicherheit zu verfolgen, der nicht nur interne Abwehrmaßnahmen, sondern auch eine sorgfältige Bewertung und Überwachung der Risiken durch externe Partner umfasst.

Um ähnliche Risiken zu mindern und die eigene Sicherheitslage zu stärken, wird Organisationen, insbesondere jenen, die sensible Daten verarbeiten oder Teil kritischer Sektoren sind, empfohlen, die folgenden praktischen Maßnahmen in Betracht zu ziehen:

• Stärkung der Due Diligence bei Drittanbietern: Implementierung strenger Prozesse für die Auswahl, Bewertung und kontinuierliche Überwachung von Anbietern, die auf sensible Daten zugreifen oder diese verarbeiten.
• Klare Verträge und Sicherheitsklauseln: Sicherstellen, dass Verträge mit Dritten detaillierte Klauseln zur Datensicherheit, zur Haftung im Falle einer Verletzung und zu Meldepflichten enthalten.
• Robuste Sicherheitsmaßnahmen implementieren: Einführung fortschrittlicher Cybersicherheitsstandards (z.B. konform mit ISO 27001, NIST-Framework) zum Schutz sowohl interner als auch externer Daten.