Der Healthcare-Dienstleister AdaptHealth hat bestätigt, dass bei einem Cyberangriff, der im Juli 2026 entdeckt wurde, die Daten von rund 4,1 Millionen Menschen offengelegt wurden. Das Unternehmen mit Sitz in den USA beliefert Patienten mit medizinischen Geräten und Hilfsmitteln für den Hausgebrauch – von Schlafapnoe-Therapiegeräten über Sauerstofftherapie bis hin zu Krankenhausbetten und Mobilitätsprodukten. Der Vorfall reiht sich ein in eine Serie von Angriffen auf Gesundheitstechnologie-Unternehmen, die zuletzt immer häufiger ins Visier von Erpressergruppen geraten.
AdaptHealth: Angriff über Social Engineering – kompromittiertes Drittanbieter-Konto
Den Ermittlungen zufolge verschafften sich die Angreifer bereits am 5. Juni 2026 Zugang zu den Systemen des Unternehmens. AdaptHealth reichte am 2. Juli 2026 eine Pflichtmeldung bei der US-Börsenaufsicht SEC ein und informierte über den unbefugten Zugriff und die Exfiltration von Patientendaten. Die Sicherheitslücke lag nicht in der eigenen Infrastruktur, sondern in einem erfolgreichen Social-Engineering-Angriff: Die Täter kompromittierten das privilegierte Konto eines Drittanbieters und gelangten so in cloudbasierte Geschäftsanwendungen, darunter Patientenverwaltungssysteme, Dokumentenplattformen und Portale für elektronische Gesundheitsakten.
Am 15. Juni nahm ein nicht näher bezeichneter Bedrohungsakteur Kontakt zu AdaptHealth auf und forderte Lösegeld, um die gestohlenen Daten nicht zu veröffentlichen. Das Unternehmen gab an, bislang keine Anzeichen für Identitätsdiebstahl oder Betrug im Zusammenhang mit dem Vorfall gefunden zu haben.
Welche Daten gestohlen wurden – Übersicht über die kompromittierten Informationen
In einem Update vom 14. August 2026 legte AdaptHealth offen, welche Patientendaten von dem Einbruch betroffen sind. Die gestohlenen Datensätze umfassen:
- Vollständige Namen
- Kontaktinformationen (Adressen, Telefonnummern, E-Mail-Adressen)
- Demografische Informationen (Alter, Geschlecht, Geburtsdatum)
- Krankenversicherungsinformationen (Versichertennummer, Policendaten)
- Gesundheitsinformationen (Diagnosen, Behandlungshistorie, Medikation)
Die genaue Anzahl der betroffenen Personen gab der Konzern in einer Meldung an das US-Gesundheitsministerium (HHS) mit 4.115.802 an. Alle Betroffenen wurden per Datenschutzbenachrichtigung informiert und erhalten ein kostenloses, zwölfmonatiges Kreditüberwachungs- und Identitätsschutzpaket.
Einordnung: ShinyHunters als Drahtzieher – aber kein Eintrag im Erpressungsportal
Mehrere Sicherheitsquellen führen den Angriff auf die Gruppe ShinyHunters zurück, die in der Vergangenheit bereits für Datenlecks bei großen US-Unternehmen verantwortlich war. Im Fall von AdaptHealth fand sich auf dem öffentlichen Erpressungsportal der Gruppe jedoch kein entsprechender Eintrag – ein Hinweis darauf, dass die Täter das Unternehmen möglicherweise entfernt haben, nachdem eine Zahlung geleistet wurde oder die Verhandlungen abgebrochen wurden. AdaptHealth selbst äußerte sich nicht zur Lösegeldforderung.
Serie von Angriffen auf die Gesundheitsbranche – Parallelen zu anderen Vorfällen
Der Vorfall bei AdaptHealth ist kein Einzelfall. Im selben Zeitraum meldeten mehrere weitere Firmen aus dem Gesundheitssektor massive Datenschutzverletzungen: Aesto Health gab bekannt, dass Daten von über 95 Millionen Patienten betroffen waren, CareCloud meldete 37 Millionen betroffene Personen, und Unlimited Technology Systems sprach von 38 Millionen. Auch McKesson und Nutex Health legten Ende Juli Datenlecks offen, ohne jedoch bereits die genauen Zahlen der betroffenen Individuen zu nennen. Die Häufung zeigt, dass Angreifer gezielt die Verwundbarkeit von Healthcare-Unternehmen ausnutzen – insbesondere über kompromittierte Drittanbieter-Zugänge und Social Engineering.
Warum Social Engineering für Healthcare-Unternehmen besonders gefährlich ist
Der Angriff auf AdaptHealth verdeutlicht ein wachsendes Risiko: Selbst wenn interne Systeme gut geschützt sind, können über privilegierte Konten von Dienstleistern und Partnern kritische Sicherheitslücken entstehen. Im Gesundheitswesen, wo sensible Patientendaten nach US-amerikanischem Recht besonders geschützt sind (HIPAA), führen solche Vorfälle nicht nur zu Reputationsschäden, sondern auch zu erheblichen regulatorischen Konsequenzen und potenziellen Schadensersatzklagen. Unternehmen müssen künftig stärker auf das Identity- und Zugriffsmanagement von Drittanbietern setzen – etwa durch Multi-Faktor-Authentifizierung, kontinuierliche Überwachung und regelmäßige Sicherheitsaudits.
Die Meldung bei der SEC und dem HHS sowie die unverzügliche Bereitstellung von Schutzmaßnahmen für Betroffene zeigen, dass AdaptHealth die gesetzlichen Vorgaben einhält. Dennoch wirft der Vorfall ein Schlaglicht auf die systematische Verwundbarkeit der digitalen Gesundheitsinfrastruktur. Angesichts der Dimension von über vier Millionen betroffenen Personen wird der Fall AdaptHealth als weiterer Meilenstein in der Diskussion um Cybersicherheit im Gesundheitswesen in die Geschichte eingehen – und als Mahnung, dass Social Engineering, nicht nur technische Hacks, die größte Bedrohung für Patientendaten darstellt.
