Datenverstoß bei ManageMyHealth ⇐ Artikelentwürfe

[Anonymous]

Bei der „ManageMyHealth-Datenpanne“ handelte es sich um einen Cybersicherheitsvorfall, der unbefugten Zugriff auf das Online-Patientenportal „ManageMyHealth“ in Neuseeland beinhaltete. Der Verstoß wurde Ende Dezember 2025 bekannt gegeben und beinhaltete die Exfiltration von Hunderttausenden sensiblen medizinischen Dokumenten zu mehr als 120.000 Patienten. Der Vorfall löste dringende rechtliche Schritte vor dem Obersten Gerichtshof, behördliche und behördliche Überprüfungen sowie Warnungen von Cybersecurity aus Datenschutzorganisationen und weit verbreitete Besorgnis bei Patienten, Gesundheitsdienstleistern und Datenschutzbefürwortern.

== Hintergrund ==

„ManageMyHealth“ ist ein privat betriebenes Online-Patientenportal, das von Allgemeinpraxen in ganz Neuseeland genutzt wird. Die Plattform ermöglicht Patienten den Zugriff auf persönliche Gesundheitsinformationen, einschließlich Überweisungen, Entlassungszusammenfassungen, Laborergebnisse, Bildgebungsberichte, klinische Korrespondenz und von Ärzten oder Patienten hochgeladene Dokumente. Es ermöglicht auch die Terminbuchung, Rezeptanfragen und die Nachrichtenübermittlung zwischen Patienten und Gesundheitsdienstleistern.

Der Dienst arbeitet unabhängig von Health New Zealand (Te Whatu Ora), das die öffentliche Gesundheitsinfrastruktur und nationale klinische Systeme verwaltet. Im Jahr 2025 verzeichnete „ManageMyHealth“ etwa 1,8 Millionen registrierte Benutzer und ist damit das größte patientenorientierte Gesundheitsinformationsportal in Neuseeland.

== Entdeckung und erste Reaktion ==

Laut „ManageMyHealth“ wurde das Unternehmen am 30. Dezember 2025 nach Meldung durch eine Partnerorganisation auf den unbefugten Zugriff auf seine Systeme aufmerksam. Das Unternehmen erklärte, dass es sofort Maßnahmen ergriffen habe, um die Plattform zu sichern, weiteren unbefugten Zugriff zu verhindern, Systemprotokolle und Beweise aufzubewahren und unabhängige Spezialisten für Cybersicherheit und Forensik zu engagieren.

Am selben Tag wurden die zuständigen Behörden benachrichtigt, darunter die neuseeländische Polizei, der Datenschutzbeauftragte (New Zealand) und Health New Zealand. Am 1. Januar 2026 wurde auf der Website „ManageMyHealth“ eine öffentliche Erklärung veröffentlicht, in der ein Cybersicherheitsvorfall anerkannt wurde.

== Offenlegung ==

Am 31. Dezember 2025 begannen nationale Medien zu berichten, dass „ManageMyHealth“ eine Cybersicherheitsverletzung im Zusammenhang mit Patientendaten untersucht. Am 1. Januar 2026 bestätigte das Unternehmen, dass vorläufige Analysen darauf hindeuteten, dass etwa 6–7 Prozent seiner registrierten Benutzer betroffen sein könnten, was etwa 120.000 bis 127.000 Personen entspricht.

Das Unternehmen gab an, dass die Ermittlungen noch im Gange seien und dass weitere Informationen veröffentlicht würden, sobald verifizierte Fakten vorliegen.

== Art und Umfang des Verstoßes ==

Laut Aussagen von „ManageMyHealth“ und Beweisen, die später dem High Court of New Zealand vorgelegt wurden, beschränkte sich der unbefugte Zugriff auf ein bestimmtes Dokumentenspeichermodul innerhalb der Plattform und nicht auf die zentrale Patientendatenbank oder nationale klinische Systeme.

Zu den kompromittierten Daten gehörten medizinische Dokumente wie Facharztüberweisungen, Krankenhausentlassungszusammenfassungen, Labortestergebnisse, medizinische Bildgebungsberichte, klinische Korrespondenz und von Patienten hochgeladene Dokumente.

Medienberichten zufolge wurden mehr als 400.000 Dokumente exfiltriert, wobei einige Aufzeichnungen mehrere Jahre zurückreichen, darunter Material aus den Jahren 2017 bis 2019.

Einige der betroffenen Informationen betrafen Patienten, deren Hausarztpraxen „ManageMyHealth“ nicht mehr nutzten. In einigen Fällen wurden Patientenakten weiterhin auf das Portal hochgeladen, obwohl Praxen ihre Vertragsbeziehungen mit dem Dienst beendet hatten.

„ManageMyHealth“ sagte, es gebe keine Beweise dafür, dass Benutzernamen oder Passwörter kompromittiert, auf zentrale klinische Systeme zugegriffen oder Daten verändert oder zerstört wurden. Das Unternehmen gab an, dass die Schwachstelle, die für den Zugriff genutzt wurde, von externen Cybersicherheitsspezialisten identifiziert, behoben und unabhängig überprüft wurde.

== Lösegeldforderung und Zuschreibung ==

Nach dem Verstoß bekannte sich eine Gruppe, die sich als „Kazu“ identifizierte, zu dem Angriff und sagte, sie habe mehr als 400.000 Gesundheitsdokumente gestohlen. Die Gruppe forderte ein Lösegeld in Höhe von 60.000 US-Dollar und drohte mit der Veröffentlichung der Daten, falls die Zahlung nicht erfolgt.

Zur Untermauerung der Behauptung wurden Proben der gestohlenen Daten online veröffentlicht. Medienberichten zufolge wurde die Lösegeldfrist Anfang Januar 2026 mehrmals verschoben. Nach Ablauf der ersten Fristen wurde keine weitere groß angelegte öffentliche Veröffentlichung von Daten gemeldet.

„ManageMyHealth“ lehnte es ab, sich öffentlich zu der Lösegeldforderung zu äußern, und erklärte, dass die Angelegenheit von der Polizei bearbeitet werde und die Ermittlungen noch im Gange seien.

== Gerichtsverfahren ==

Am 5. Januar 2026 beantragte „ManageMyHealth“ beim High Court einen dringenden Unterlassungsanspruch, um den Zugriff auf die gestohlenen Daten, deren Nutzung oder Verbreitung zu verhindern.

Der Oberste Gerichtshof erließ einstweilige Verfügungen, mit denen unbekannte Angeklagte und Dritte daran gehindert wurden, die gestohlenen Informationen zu veröffentlichen, zu verbreiten oder anderweitig damit umzugehen, und ordnete an, dass alle Parteien, die im Besitz der Daten sind, diese löschen müssen.

Der vorsitzende Richter erklärte, dass die Dokumente hochsensible und vertrauliche medizinische Informationen enthielten und dass eine weitere Offenlegung ein ernstes Risiko für die betroffenen Personen darstelle. Nach der einstweiligen Verfügung wurden Online-Beiträge entfernt, in denen die Angreifer auf die Daten verwiesen.

== Auswirkungen auf Patienten ==

Allgemeinmedizinische Praxen in ganz Neuseeland berichteten, dass sie große Mengen an Anfragen von Patienten erhalten hätten, die eine Bestätigung darüber suchten, ob ihre Daten kompromittiert worden seien. Viele Praxen gaben an, dass ihnen in den frühen Phasen der Reaktion klare Informationen darüber fehlten, welche Patienten betroffen waren.

Cybersicherheitsexperten und Verbraucherschutzorganisationen warnten, dass betroffene Personen Risiken wie Identitätsdiebstahl, Erpressung oder Erpressung sowie gezielten Phishing- und Identitätsbetrugsbetrug ausgesetzt sein könnten.

Netsafe, Neuseelands Online-Sicherheitsorganisation, rät „ManageMyHealth“-Benutzern, besonders vorsichtig bei E-Mails oder Nachrichten zu sein, die persönliche Informationen enthalten.

Organisationen, die sich für Überlebende von sexueller Gewalt und Familienschäden einsetzen, sagten, dass der Verstoß für Personen, deren Krankenakten hochsensible persönliche Informationen enthielten, besonders belastend oder retraumatisierend sein könnte.

== Benachrichtigungen und Abhilfe ==

Anfang Januar 2026 begann „ManageMyHealth“ damit, betroffene Allgemeinpraxen zu benachrichtigen und erklärte, dass es betroffene Patienten gemäß dem Privacy Act 2020 direkt per E-Mail benachrichtigen werde.

Um Betroffene zu informieren und zu unterstützen, wurde eine 0800-Hotline eingerichtet. Das Unternehmen gab an, dass es sich zum Ziel gesetzt habe, die Patientenbenachrichtigungen bis Mitte Januar 2026 abzuschließen.

== Reaktion der Regierung und der Regulierungsbehörden ==

Health New Zealand gab an, dass es keine Beweise dafür gebe, dass seine Systeme oder nationalen Patientendatenbanken von dem Verstoß betroffen seien.

Am 5. Januar 2026 beauftragte Gesundheitsminister Simeon Brown das Gesundheitsministerium (Ministerium für Gesundheit (Neuseeland)) mit der Durchführung einer dringenden Überprüfung des Verstoßes und der Reaktion sowohl von „ManageMyHealth“ als auch von Health New Zealand.

Die Public Service Association sagte, der Verstoß habe umfassendere Risiken aufgezeigt, die mit geringeren Investitionen in digitales und IT-Know-how im Gesundheitssektor verbunden seien.

== Breiterer Kontext ==

Der Vorfall ereignete sich inmitten einer verstärkten Prüfung der Cybersicherheit und des Datenschutzes in Neuseeland nach früheren schwerwiegenden Verstößen im Zusammenhang mit Finanz- und Gesundheitsdaten. Kommentatoren verglichen den Verstoß mit früheren Ransomware-Angriffen im Gesundheitssektor, einschließlich des Waikato DHB-Ransomware-Angriffs im Jahr 2021.

== Siehe auch ==
* Datenverstoß gegen Vastaamo
* Datenschutzgesetz 2020
* Cybersicherheit