Beim US-Softwareanbieter Unlimited Technology Systems sind Daten von rund 3,8 Millionen Menschen in die Hände Unbefugter gelangt. Betroffen sind unter anderem Namen, Sozialversicherungsnummern, Versicherungs- und Gesundheitsdaten. Der Vorfall gilt als zweitgrößtes Gesundheitsdatenleck des Jahres in den USA.
Ein Cyberangriff auf den US-Gesundheitssoftware-Anbieter Unlimited Technology Systems (UTS) hat weitreichende Folgen: Nach Angaben des Melderegisters des US-Gesundheitsministeriums (HHS) sind die geschützten Gesundheitsdaten von 3.803.750 Menschen betroffen [1] [2]. Das Unternehmen, das Abrechnungs- und Praxisverwaltungssoftware für Kliniken entwickelt, hatte den Vorfall zunächst im Juli 2026 gemeldet, ohne die Zahl der Betroffenen zu nennen [3].
Angriff im Oktober 2025 entdeckt
UTS erklärte, am 19. Oktober 2025 ungewöhnliche Aktivitäten in einem kommerziellen Rechenzentrum festgestellt zu haben [1]. Eine Untersuchung mit Unterstützung eines forensischen IT-Dienstleisters ergab, dass ein unbekannter Akteur zwischen dem 5. und 10. Oktober 2025 auf bestimmte Dateien zugegriffen und Kopien personenbezogener Daten erstellt hatte [1] [3]. Das Unternehmen informierte die Strafverfolgungsbehörden, eine Ransomware- oder Datenerpressungsgruppe hat bislang keine Verantwortung übernommen [1]. Auch die Identität der Angreifer ist nach Unternehmensangaben weiterhin ungeklärt [1] [3].
Welche Daten abgeflossen sind
Zu den potenziell kompromittierten Daten gehören laut Unternehmensangaben vollständige Namen, Sozialversicherungsnummern, Geburtsdaten, E-Mail- und Postadressen, Telefonnummern sowie demografische Angaben [1]. Hinzu kommen besonders sensible Informationen wie Scans von Führerscheinen oder anderen Ausweisdokumenten, Versicherungskarten, Aufnahmeformulare, Krankenversicherungsnummern, Informationen zu Ansprüchen und Leistungen, medizinische Aktennummern, Behandlungsdaten und Diagnosen [1] [3].
UTS betonte, dass keine vollständigen Krankenakten, keine medizinischen Bilder sowie keine Kreditkarten- oder Bankdaten betroffen seien [2] [3]. Als Vorsichtsmaßnahme bietet das Unternehmen den Betroffenen eine 24-monatige Kreditüberwachung und Identitätsschutzdienste an [2] [3].
Warum die Betroffenen erst im Juli 2026 informiert wurden
Zwischen der Entdeckung des Angriffs im Oktober 2025 und der Benachrichtigung der Betroffenen ab dem 1. Juli 2026 liegen rund neun Monate [1]. Der Grund ist die aufwendige Datenanalyse: UTS musste zunächst klären, welche Dateien der Angreifer tatsächlich eingesehen und kopiert hatte, bevor die betroffenen Personen identifiziert und benachrichtigt werden konnten [2] [3]. Die Datenprüfung wurde nach Unternehmensangaben erst kurz vor der Benachrichtigung abgeschlossen [2].
Hohes Risiko für Betroffene
Die Kombination aus Sozialversicherungsnummern, Ausweisdokumenten, Versicherungsdaten und medizinischen Informationen erhöht das Risiko von Identitätsdiebstahl, Versicherungsbetrug und gezielten Phishing-Angriffen erheblich [1]. Betroffene sollten ungewöhnliche Konto-, Versicherungs- oder Kreditaktivitäten prüfen und bei verdächtigen Kontaktaufnahmen besonders vorsichtig sein [1].
UTS entwickelt Software für Finanz- und Abrechnungsprozesse im Gesundheitswesen und bedient nach eigenen Angaben rund 4.500 Kliniken und 6.500 spezialisierte Gesundheitsanbieter in den USA [1]. Patienten haben deshalb häufig keine direkte Geschäftsbeziehung zu dem Unternehmen, obwohl ihre Daten über dessen Systeme verarbeitet werden [1].
Einordnung: Angriffe auf Dienstleister als wachsende Gefahr
Der Fall verdeutlicht ein strukturelles Problem im US-Gesundheitswesen: Dienstleister wie UTS verarbeiten Patientendaten vieler Kliniken zentral und sind damit besonders attraktive Ziele für Angreifer. Sechs der zehn größten gemeldeten Datenlecks des Jahres betrafen solche Geschäftspartner von Gesundheitseinrichtungen [2]. Mit 3,8 Millionen Betroffenen übertrifft der Vorfall das 3,4-Millionen-Leck bei TriZetto Provider Solutions und ist damit das zweitgrößte Gesundheitsdatenleck des Jahres in den USA – hinter dem 15-Millionen-Fall bei DentaQuest [2] [3].
Die geplante Überarbeitung der HIPAA-Sicherheitsregeln, die strengere Anforderungen an Geschäftspartner vorsieht, wurde nach Angaben des HIPAA Journal verschoben und wird nun erst für Juli 2027 erwartet [2]. Solange diese Lücke besteht, dürften Angriffe auf zentrale Datenverarbeiter im Gesundheitswesen ein wiederkehrendes Risiko bleiben.