Ein Cyberangriff auf den US-Softwareanbieter Unlimited Technology Systems hat die sensiblen Daten von rund 3,8 Millionen Menschen offengelegt. Das Unternehmen, das Abrechnungs- und Finanzsoftware für Krankenhäuser und Gesundheitseinrichtungen entwickelt, bestätigte den Vorfall und informiert seit Juli 2026 die betroffenen Patienten. Der Vorfall unterstreicht die wachsende Bedrohung für die Gesundheitsbranche, in der zentralisierte Datenverarbeiter zu einem bevorzugten Ziel von Kriminellen werden.
Datenleck bei Unlimited Technology Systems: 3,8 Millionen Datensätze betroffen
Unlimited Technology Systems entdeckte am 19. Oktober 2025 ungewöhnliche Aktivitäten in einem von ihm genutzten kommerziellen Rechenzentrum. Eine forensische Untersuchung ergab, dass ein unbekannter Angreifer zwischen dem 5. und 10. Oktober 2025 auf Dateien zugegriffen und Kopien personenbezogener Daten erstellt hatte. Die genaue Zahl der Betroffenen wurde zunächst nicht genannt. Ein Eintrag im Melderegister des US-Gesundheitsministeriums (HHS) weist jedoch exakt 3.803.750 betroffene Personen aus. Das Unternehmen hat die Strafverfolgungsbehörden eingeschaltet. Bislang hat sich keine Ransomware- oder Erpressergruppe zu dem Angriff bekannt, und die Täter konnten noch nicht identifiziert werden.
Welche Daten bei dem Cyberangriff abgeflossen sind
Die kompromittierten Daten umfassen eine besonders gefährliche Mischung aus Identitäts- und Gesundheitsinformationen, die das Risiko für Identitätsdiebstahl und Versicherungsbetrug massiv erhöht. Nach Unternehmensangaben gehören dazu:
- Sozialversicherungsnummern
- E-Mail- und Postadressen
- Demografische Angaben
- Scans von Führerscheinen und anderen Ausweisdokumenten
- Krankenversicherungsnummern
- Informationen zu Ansprüchen und Leistungen
- Medizinische Aktennummern
Die Kombination dieser Datentypen ist besonders wertvoll für Kriminelle. Mit Sozialversicherungsnummer und Ausweiskopie lassen sich Kreditkonten eröffnen, mit den Versicherungsdaten können falsche Abrechnungen erstellt werden. Die medizinischen Informationen wiederum ermöglichen hochgradig personalisierte Phishing-Angriffe, bei denen sich Täter als Ärzte oder Krankenkassen ausgeben.
Warum der Angriff auf Unlimited Technology Systems besonders relevant ist
Unlimited Technology Systems ist kein direkter Leistungserbringer für Patienten, sondern ein Backend-Dienstleister. Das Unternehmen entwickelt Software für Finanz- und Abrechnungsprozesse im Gesundheitswesen und bedient rund 4.500 Kliniken sowie 6.500 spezialisierte Gesundheitsanbieter in den USA. Die meisten Betroffenen haben keine direkte Geschäftsbeziehung zu Unlimited Technology Systems, obwohl ihre sensibelsten Daten über dessen Systeme verarbeitet werden. Dieses Phänomen der datenverarbeitenden Dienstleister in der Gesundheitsbranche wird zunehmend zum Sicherheitsrisiko: Ein einziger Angriff auf einen zentralen Dienstleister gefährdet die Daten von Millionen Patienten aus Hunderten von Einrichtungen. Im deutschsprachigen Raum ist die Gefahr vergleichbar, wenn Dienstleister wie Rechenzentren oder Abrechnungsdienstleister für die elektronische Patientenakte (ePA) oder Krankenhausinformationssysteme angegriffen werden.
Risiken und Handlungsempfehlungen für betroffene Patienten
Die abgeflossenen Daten ermöglichen eine Reihe von Straftaten, die weit über den klassischen Identitätsdiebstahl hinausgehen. Versicherungsbetrug ist eine unmittelbare Gefahr: Mit gestohlenen Versicherungsnummern und Leistungsdaten können Täter falsche Behandlungen abrechnen oder Rezepte einlösen. Die medizinischen Aktennummern erlauben zudem den Zugriff auf Patientenakten, was zu Erpressung oder Manipulation von Behandlungsdaten führen kann.
Betroffene sollten folgende Maßnahmen ergreifen:
- Konto- und Kreditaktivitäten prüfen: Ungewöhnliche Abbuchungen oder Kreditanfragen können auf Identitätsdiebstahl hindeuten.
- Versicherungsabrechnungen kontrollieren: Auffällige oder nicht veranlasste Abrechnungen sollten sofort der Krankenversicherung gemeldet werden.
- Vorsicht bei Kontaktaufnahmen: Phishing-Versuche, die medizinische Daten oder Versicherungsinformationen nutzen, sind besonders schwer zu erkennen. Betroffene sollten keine sensiblen Daten preisgeben, wenn sie ungefragt kontaktiert werden.
- Kreditwarnung einrichten: In den USA können Betroffene eine Sicherheitswarnung bei den großen Kreditauskunfteien setzen, um die Eröffnung neuer Konten zu erschweren.
Der Vorfall bei Unlimited Technology Systems reiht sich ein in eine Serie von Angriffen auf die US-Gesundheitsinfrastruktur. Allein im Jahr 2025 wurden mehrere große Gesundheitsdienstleister und Softwareanbieter Opfer von Cyberangriffen, bei denen Millionen von Patientendaten abflossen. Die zunehmende Digitalisierung und Zentralisierung von Gesundheitsdaten macht die Branche zu einem der am stärksten gefährdeten Sektoren. Die Meldung des Vorfalls an das US-Gesundheitsministerium zeigt, dass die gesetzlichen Meldefristen eingehalten wurden, dennoch bleibt die Frage, ob die Sicherheitsvorkehrungen bei Unlimited Technology Systems dem aktuellen Bedrohungsniveau entsprachen. Für die Zukunft zeichnet sich ab, dass Gesundheitsdienstleister und ihre Softwarepartner in weitreichendere Sicherheitsarchitekturen investieren müssen, die nicht nur die eigenen Systeme, sondern die gesamte Lieferkette der Datenverarbeitung umfassen.
