Datendiebstahl bei dem mit UnitedHealth verbundenen Gesundheitstechnologieunternehmen Episource betrifft 5,4 Millionen Patienten

Episource, ein auf medizinische Abrechnungen spezialisiertes Unternehmen, informiert derzeit mehr als 5,4 Millionen Menschen in den Vereinigten Staaten darüber, dass ihre persönlichen Daten und Gesundheitsdaten Anfang des Jahres bei einem Cyberangriff gestohlen wurden.

Dieser Vorfall, der eine beträchtliche Zahl von Amerikanern betrifft, ist den Daten des US-Gesundheitsministeriums zufolge der schwerwiegendste Verstoß gegen den Datenschutz im Gesundheitswesen, der im Jahr 2025 bisher gemeldet wurde.

Episource, Teil von Optum, einer Tochtergesellschaft der UnitedHealth Group, spielt eine entscheidende Rolle im Gesundheitssystem. Als Anbieter medizinischer Abrechnungen arbeitet das Unternehmen mit Ärzten, Krankenhäusern und anderen Gesundheitsdienstleistern zusammen, um Krankenversicherungsansprüche abzuwickeln. Dabei verarbeitet das Unternehmen große Mengen sensibler Patientendaten.

Episource gab in Mitteilungen an die Behörden in Kalifornien undVermont an, dass sich ein Cyberkrimineller unbefugten Zugriff auf die Systeme des Unternehmens verschafft habe. Am 6. Februar 2025 stellte das Unternehmen ungewöhnliche Aktivitäten in seinen Computersystemen fest.

Untersuchungen ergaben, dass der Angreifer zwischen dem 27. Januar 2025 und dem 6. Februar 2025 in der Lage war, verschiedene Arten von Patienten- und Mitgliedsdaten aus den Systemen von Episource einzusehen und zu kopieren.

Obwohl Episource die genaue Art des Angriffs nicht öffentlich dargelegt hat, hat Sharp Healthcare, einer ihrer vom Angriff betroffenen Kunden, seine Kunden darüber informiert, dass der Vorfall durch Ransomware verursacht wurde.

„Am 24. April 2025 bestätigte Episource, ein Geschäftspartner von Sharp HealthCare und der Sharp Community Medical Group, dass Sharp einer ihrer Kunden war, der von einer Ransomware-Datenpanne betroffen war“, hieß es in der Benachrichtigung des Unternehmens über die Panne .

Die gestohlenen Informationen sind umfangreich und umfassen sensible persönliche und gesundheitliche Daten. Dazu gehören grundlegende Kontaktinformationen wie Namen, Post- und E-Mail-Adressen sowie Telefonnummern.

Noch kritischer ist, dass durch den Datendiebstahl geschützte Gesundheitsdaten wie Krankenaktennummern, Informationen über Ärzte, Diagnosen, Medikamente, Testergebnisse, bildgebende Verfahren sowie Details zu Pflege und Behandlung offengelegt wurden. Darüber hinaus wurden auch Krankenversicherungsdaten, darunter Krankenversicherungspläne, Versicherungsdetails und Mitgliedsnummern, gestohlen.

Episource begann am 23. April 2025 damit, betroffene Kunden über die betroffenen Daten zu informieren. Das Unternehmen hat seitdem Schritte unternommen, um seine Computersysteme zu stärken, und sich mit den Strafverfolgungsbehörden in Verbindung gesetzt, um den Vorfall zu untersuchen.

Um Betroffenen zu helfen, bietet Episource über IDX zwei Jahre lang kostenlose Kreditüberwachung und Schutz vor Identitätsdiebstahl an. Einzelpersonen haben bis zum 11. Oktober 2025 Zeit, sich für diese Dienste anzumelden.

Das Unternehmen rät allen, die Kontoauszüge von Gesundheitsdienstleistern, Versicherungen und Finanzinstituten sorgfältig auf verdächtige Aktivitäten zu prüfen und etwaige Bedenken umgehend den zuständigen Behörden zu melden.

„ Dieser Verstoß deutet darauf hin, dass die Bedrohungsakteure ihren Fokus von Krankenhäusern und Kliniken auf Drittanbieter verlagern, da sie durch diesen Ansatz auf einmal auf große Mengen an PHI zugreifen können “ , sagte Piyush Pandey , CEO von Pathlock.

„ Sobald Angreifer Zugriff auf diese Daten haben, können sie diese jahrelang für hochgradig personalisierte Betrugs- und Erpressungskampagnen missbrauchen. Ein Datendiebstahl dieser Größenordnung birgt Compliance-Risiken und führt zu strengeren regulatorischen Kontrollen für alle Beteiligten in der Gesundheitsversorgungskette “, betonte er.

Dies ist der zweite große Datendiebstahl im Zusammenhang mit der UnitedHealth Group innerhalb von etwas mehr als einem Jahr. HackRead berichtete zuvor , dass ein Ransomware-Angriff auf die Change Healthcare-Einheit von UnitedHealth im Februar 2024 Daten von rund 190 Millionen Amerikanern offenlegte und damit zu einem der größten Datenlecks im Gesundheitswesen aller Zeiten zählte.

Nun ist es bei der mit UnitedHealth verbundenen Firma Episource zu einem weiteren Datenleck gekommen, von dem 5,4 Millionen Patienten betroffen sind. Dies zeigt ein problematisches Muster von Cybersicherheitslücken bei allen mit UnitedHealth verbundenen Unternehmen.