Der US-Dialysekonzern DaVita hat sich bereit erklärt, 15 Millionen US-Dollar zur Beilegung einer Sammelklage zu zahlen, die aus einem Ransomware-Angriff der Gruppe Interlock resultiert. Von dem Datenleck im April 2025 waren rund 2,7 Millionen Menschen betroffen – ein Richter in Colorado hat die vorläufige Einigung bereits abgesegnet.
Der US-Dialysekonzern DaVita, einer der größten Anbieter von Nierenersatztherapie in den Vereinigten Staaten, hat sich bereit erklärt, 15 Millionen US-Dollar zur Beilegung einer Sammelklage zu zahlen. Die Klage geht auf einen Ransomware-Angriff der Cyberkriminalitätsgruppe Interlock zurück, bei dem im April 2025 Daten von rund 2,7 Millionen Menschen gestohlen wurden [1]. Ein Bundesrichter in Colorado hat der vorläufigen Einigung bereits zugestimmt [1] [2].
Was bei dem Angriff gestohlen wurde
Der Angriff begann am 12. April 2025, als die Gruppe Interlock in das Netzwerk von DaVita eindrang, Teile der Systeme verschlüsselte und Daten kopierte, bevor das Unternehmen die Intrusion stoppen konnte [2]. Nach Angaben des Konzerns umfassten die entwendeten Daten sensible persönliche und medizinische Informationen: Namen, Adressen, Sozialversicherungsnummern, Angaben zur Krankenversicherung, Ergebnisse von Dialyse-Labortests sowie Abbildungen von Schecks, die an den Anbieter ausgestellt worden waren [1].
Interlock ist eine finanziell motivierte Gruppe, die nach Einschätzung des Health Information Sharing and Analysis Center (H-ISAC) wiederholt im Gesundheitssektor aktiv war [1]. Die Gruppe setzt typischerweise auf eine Strategie der doppelten Erpressung: Sie stiehlt sensible Daten und verschlüsselt Systeme, um anschließend mit der Veröffentlichung der Daten zu drohen, falls kein Lösegeld gezahlt wird [1]. Als DaVita nicht zahlte, veröffentlichte Interlock die persönlichen Daten der Betroffenen im Darknet – so lautet der Vorwurf in einer der ursprünglichen Klageschriften [1].
Wie die Klage zustande kam
Der Angriff verursachte DaVita nach Unternehmensangaben Kosten von rund 25 Millionen US-Dollar im Jahr 2025 und löste mindestens zehn Klagen aus [1]. Diese wurden später zu einer einzigen Sammelklage zusammengeführt, die nun beigelegt wird [1]. Die Kläger machten geltend, dass DaVita keine angemessenen Datensicherheitsmaßnahmen zum Schutz der sensiblen medizinischen und finanziellen Informationen seiner Patienten ergriffen habe [2].
Die Einigung sieht vor, dass DaVita nach der endgültigen Genehmigung Ansprüche im Zusammenhang mit dem Datenleck auszahlt [1]. Nach Angaben des Harm Report, der sich auf die Gerichtsunterlagen stützt, umfasst die Klasse rund 2,4 Millionen Menschen – basierend auf der ursprünglichen Meldung des Konzerns, der von 2,7 Millionen Betroffenen ausgegangen war [2]. Die Struktur der Einigung ist zweistufig: Für die meisten Betroffenen ist eine pauschale Zahlung ohne Nachweise vorgesehen, während Personen, die konkrete finanzielle Schäden wie Betrug oder Identitätsdiebstahl nachweisen können, eine höhere Erstattung von bis zu 2.500 US-Dollar beanspruchen können [2].
Was die Einigung für Betroffene bedeutet
Die Kläger hatten geltend gemacht, durch den Angriff „zahlreiche Verletzungen" erlitten zu haben, darunter die anhaltende Gefahr von Betrug und Identitätsdiebstahl [1]. Gesundheitsdaten bergen dabei ein längerfristiges Risiko als gestohlene Kreditkartennummern: Eine Sozialversicherungsnummer oder eine Diagnosehistorie kann nicht einfach gesperrt und neu ausgestellt werden – einmal in kriminellen Kreisen im Umlauf, bleibt sie für Identitätsdiebe über Jahre nutzbar [2].
Für Dialysepatienten kommt hinzu, dass sie im Gegensatz zu Kunden eines Einzelhändlers kaum die Möglichkeit haben, den Anbieter zu wechseln. Das Bundesrecht legt Gesundheitsdienstleistern deshalb erhöhte Sicherheitspflichten für geschützte Gesundheitsinformationen auf [2]. Die endgültige Genehmigung der Einigung steht noch aus; eine Anhörung ist für das kommende Jahr angesetzt, ein genauer Termin wurde noch nicht festgelegt [1]. Nach dem aktuellen Zeitplan des Gerichts wird nicht vor Anfang 2027 mit einer endgültigen Entscheidung gerechnet [2]. Bis dahin gibt es kein Antragsformular – Betroffene sollten auf eine weitere Benachrichtigung über die Frist zur Anspruchserhebung achten [2].
Wie DaVita reagiert
DaVita bestreitet im Rahmen der Einigung kein Fehlverhalten. Wie bei Sammelklagen üblich, weist das Unternehmen den Vorwurf zurück, gegen gesetzliche Pflichten verstoßen zu haben, und begründet die Einigung mit dem Wunsch, den Rechtsstreit effizient zu beenden [2]. Ein Sprecher erklärte: „Wir verstehen, wie wichtig der Schutz persönlicher Informationen ist. Wir haben prompt auf diesen Angriff reagiert und bleiben darauf fokussiert, unsere Cybersicherheitsabwehr zu stärken" [1].
Nach der Entdeckung des Angriffs hatte DaVita nach eigenen Angaben auf manuelle Prozesse und Backup-Systeme zurückgreifen müssen, um den Betrieb aufrechtzuerhalten [1]. Das Unternehmen betreibt mehr als 2.600 ambulante Zentren in den USA [1].
Einordnung
Die Einigung reiht sich in eine Serie großer Datenschutzvergleiche im US-Gesundheitssektor ein. Sie zeigt zugleich die wachsende Bedrohung durch Ransomware-Gruppen, die gezielt kritische Infrastruktur angreifen und auf die Erpressbarkeit von Gesundheitsdaten setzen. Für DaVita dürfte der finanzielle Schaden überschaubar bleiben – der Konzern hatte die Kosten des Angriffs bereits im Jahresergebnis 2025 verarbeitet. Entscheidend für die Betroffenen wird sein, wie schnell und unbürokratisch die Anspruchserhebung nach der endgültigen Genehmigung funktioniert. Bis dahin bleibt die Empfehlung von Sicherheitsexperten: eine Kreditsperre und die Überwachung der exponierten Sozialversicherungsnummern, die unbegrenzt anfällig für Missbrauch bleibt [2].