Der Gesundheitsdienstleister Aesto Health hat einen schwerwiegenden Sicherheitsvorfall bestätigt, bei dem unbefugte Dritte auf geschützte Patientendaten zugegriffen haben. Das Unternehmen, das als Software-as-a-Service-Anbieter für die Migration und Archivierung von Patientenakten agiert, gab bekannt, dass der Vorfall insgesamt mehr als 9,5 Millionen Menschen betrifft. Die Datenpanne reiht sich in eine Serie von Cyberangriffen auf Gesundheitstechnologie-Unternehmen ein und wirft erneut Fragen zur Sicherheit sensibler medizinischer Informationen auf.
Der Vorfall: Zeitlicher Ablauf und betroffene Systeme
Erstmals informierte Aesto Health die Öffentlichkeit am 24. Juni über den Angriff auf seiner Website. Damals hieß es, ein „begrenzter Teil“ der Amazon-Web-Services-Infrastruktur sei kompromittiert worden. Die tatsächliche Intrusion fand jedoch bereits im Dezember 2025 statt – zwischen dem 2. und 18. Dezember. Erst am 26. Mai 2026 konnte das Unternehmen nach einer forensischen Untersuchung durch externe Spezialisten intern bestätigen, dass Patientendaten abgeflossen waren. Die Verzögerung zwischen der Entdeckung und der öffentlichen Meldung verdeutlicht die Komplexität der Aufarbeitung. Die Analyse der kompromittierten Umgebungen sowie die manuelle Durchsicht von Dokumenten erforderte mehrere Monate, um das volle Ausmaß des Vorfalls zu erfassen.
„Nach einer umfassenden forensischen Untersuchung und einer manuellen Dokumentenprüfung haben wir am 26. Mai 2026 bestätigt, dass zwischen dem 2. Dezember 2025 und dem 18. Dezember 2025 bestimmte geschützte Gesundheitsinformationen von Patienten verschiedener angeschlossener Unternehmen, die in den Netzwerken von Aesto gespeichert waren, möglicherweise von einem unbefugten Dritten eingesehen oder entwendet wurden“, erklärte das Unternehmen. Gegenüber dem US-amerikanischen Ministerium für Gesundheit und Soziale Dienste gab Aesto Health an, dass der Datenverstoß 9.540.683 Personen betrifft.
Welche Daten wurden gestohlen?
Die gestohlenen Datensätze umfassen eine Reihe höchst sensibler Informationen. Nach Angaben des Unternehmens sind folgende Kategorien betroffen: vollständige Namen, Geburtsdaten, medizinische Informationen, Führerscheinnummern, Finanzkontonummern, Krankenversicherungsdaten, individuelle Steueridentifikationsnummern, andere staatliche Ausweisnummern sowie Sozialversicherungsnummern. Die Kombination dieser Daten macht die Opfer besonders anfällig für Identitätsdiebstahl und Betrug, da die Informationen sowohl für medizinische als auch für finanzielle Transaktionen missbraucht werden können. Der Schutz dieser Daten ist nicht nur eine Frage der Privatsphäre, sondern auch der Sicherheit vor Missbrauch im Gesundheitswesen.
Indirekt betroffen: 29 Gesundheitsdienstleister und ihre Patienten
Der Vorfall hat nicht nur direkte Konsequenzen für Aesto Health, sondern wirkt sich indirekt auf eine Vielzahl von Gesundheitsdienstleistern aus. Das HIPAA Journal berichtet, dass insgesamt 29 Gesundheitsanbieter von dem Datenleck betroffen sind, darunter bekannte Namen wie VillageMD, Everside Health (Marathon Health), Marana Health und Together Women’s Health. Diese Unternehmen hatten Patientendaten in der Cloud-Infrastruktur von Aesto Health gespeichert, um die Migration und Archivierung von elektronischen Gesundheitsakten zu erleichtern. Die betroffenen Patienten müssen nun mit potenziellen Folgen rechnen – von betrügerischen Abrechnungen bis hin zu gestohlenen Identitäten.
Ab dem 21. August begann das Unternehmen, die betroffenen Personen über den Vorfall zu informieren. In den Benachrichtigungen erhalten die Opfer detaillierte Hinweise zum Vorfall und Anweisungen zur Nutzung eines 24-monatigen Identitätsschutz- und Kreditüberwachungsdienstes von Experian. Diese Maßnahme ist zwar ein wichtiger Schritt, aber angesichts der Datenmenge und der Sensibilität der Informationen nur ein erster, minimaler Schutz.
Einordnung in die aktuelle Sicherheitslage im Gesundheitswesen
Der Vorfall bei Aesto Health steht in einer Reihe ähnlicher Sicherheitsverletzungen, die die Gesundheitsbranche in den letzten Jahren erschüttert haben. Zu den jüngsten Beispielen zählen Angriffe auf iRhythm, Xolis (mit 1,4 Millionen Betroffenen), Medronic, MCBS, Health-ISAC, Unlimited Technology Systems, CareCloud, Nutex Health und McKesson. Diese Serie zeigt, dass Gesundheitstechnologie-Unternehmen und ihre Cloud-Dienstleister zunehmend im Visier von Cyberkriminellen stehen. Die Angreifer nutzen oft gültige Zugangsdaten, um in die Systeme einzudringen, was die Erkennung erschwert. Ein aktueller Bericht von Blue Report 2026 zeigt, dass die Präventionsraten nach dem initialen Zugriff drastisch sinken, sobald Angreifer legitime Anmeldeinformationen verwenden. Die Branche steht vor der Herausforderung, nicht nur Perimeter-Sicherheit zu gewährleisten, sondern auch die Aktivitäten innerhalb der Cloud-Umgebungen besser zu überwachen.
Bislang hat sich keine bekannte Bedrohungsgruppe öffentlich zu dem Angriff auf Aesto Health bekannt. Dies könnte darauf hindeuten, dass die Daten entweder noch nicht auf dem Schwarzmarkt angeboten werden oder dass die Täter eine andere Strategie verfolgen, etwa die gezielte Erpressung der betroffenen Unternehmen. Die fehlende öffentliche Bekennung ändert jedoch nichts an der Schwere des Vorfalls.
Blick nach vorn: Konsequenzen für die Branche
Der Vorfall bei Aesto Health verdeutlicht, dass die zunehmende Digitalisierung im Gesundheitswesen mit erheblichen Sicherheitsrisiken einhergeht. Unternehmen, die als Dienstleister für die Datenverarbeitung fungieren, müssen nicht nur ihre eigenen Systeme schützen, sondern auch die der angeschlossenen Kliniken und Praxen. Die 9,5 Millionen betroffenen Patienten sind ein alarmierendes Signal für die gesamte Branche. Die kommenden Monate werden zeigen, ob die Aufsichtsbehörden strengere Auflagen für Cloud-Dienstleister im Gesundheitswesen erlassen werden. Für Patienten bedeutet dies, dass sie wachsamer sein müssen – insbesondere bei der Überwachung von Kontoauszügen, medizinischen Abrechnungen und der Nutzung von Identitätsschutzdiensten. Die Sicherheit im Gesundheitswesen ist kein statischer Zustand, sondern ein kontinuierlicher Prozess, der alle Beteiligten fordert.
