4,5 Millionen US-Dollar Strafe nach Ransomeware-Attacke

Enzo Biochem einigt sich mit Generalstaatsanwälten auf einen Vergleich und zahlt 4,5 Millionen US-Dollar für Sicherheitsmängel bei Gesundheitsdaten.

Noch einmal 4,5 Millionen US-Dollar kostet das US-Biotech Unternehmen Enzo Biochem ein Ransomware-Angriff im April letzten Jahres. Damals hatten sich Angreifer über eine Schadsoftware Zugang zu Patientendaten verschafft, über die der Anbieter diagnostischer Tests verfügt. Möglich sei das nur gewesen, weil es gravierende Sicherheitslücken gab, argumentierten die Generalstaatsanwälte der Bundesstaaten New York, Connecticut und New Jersey, wo Enzo Biochem seine Labordienstleistungen anbietet.

Enzo habe zwar richtig reagiert, seine Systeme sofort abgeschaltet und die US-Strafverfolgungsbehörden informiert, möglich sei der Angriff aber nur gewesen, weil sich die Cyberkriminellen Zugang über Anmeldedaten von Mitarbeitern verschaffen konnten. Und die wurden von mindestens fünf Enzo-Mitarbeitern gemeinsam genutzt und wurden in den letzten zehn Jahren nicht geändert, ergaben die Untersuchungen der Generalstaatsanwälte.

Zu den Informationen, die bei dem Verstoß kompromittiert wurden, gehörten Namen, Adressen, Telefonnummern, Geburtsdaten, Sozialversicherungsnummern und Informationen über medizinische Behandlungen. 2,4 Millionen Patienten waren von dem Vorfall im vergangenen Jahr betroffen.

Neben der Geldstrafe hat sich Enzo außerdem dazu verpflichtet, konkrete Cyberschutzmaßnahmen zu ergreifen. Für den Generalstaatsanwalt von Connecticut William Tong ist der Vergleich ein klarer Sieg: „Diese Vereinbarung sendet eine deutliche Botschaft an Unternehmen, dass wir sie zur Rechenschaft ziehen werden, wenn sie keine angemessenen Maßnahmen zum Schutz der Verbraucherdaten ergreifen.“ Und seine New Yorker Kollegin Letitia James ergänzt: „Gesundheitsunternehmen wie Enzo, die der Datensicherheit keine Priorität einräumen, setzen Patienten einem ernsthaften Risiko von Betrug und Identitätsdiebstahl aus. Datensicherheit ist Teil der Patientensicherheit.“

Dieser Fall ist der jüngste in einer Reihe ähnlicher Vereinbarungen zwischen den Generalstaatsanwälten der Bundesstaaten und Gesundheitsdienstleistern, die von Datenschutzverletzungen betroffen waren.