Der Vorfall ist deutlich größer als zunächst bekannt
Beim US-amerikanischen Gesundheitstechnologieanbieter CareCloud wurden die persönlichen und medizinischen Daten von 3.756.469 Menschen gestohlen. Damit ist der Vorfall zum Zeitpunkt der Meldung der fünftgrößte gemeldete Diebstahl von Gesundheitsdaten in den USA im Jahr 2026. Die nun genannte Zahl liegt mehr als zehnmal höher als die zunächst erwarteten rund 345.000 Betroffenen. 2
Was im März passiert ist
CareCloud hatte bereits im März eine Netzwerkstörung gemeldet. Nach den späteren Untersuchungsergebnissen verschafften sich Unbefugte über einen Zeitraum von sechs Tagen Zugriff auf eine Cloud-Speicherumgebung des Unternehmens und exfiltrierten Daten aus dessen Konto bei Amazon Web Services (AWS). AWS ist die Cloud-Plattform, auf der Unternehmen unter anderem Server- und Speicherdienste betreiben. 2
Die Störung selbst dauerte laut früheren Angaben etwa acht Stunden. Die tatsächliche Zahl der betroffenen Personen wurde jedoch erst durch die spätere Meldung an die US-Gesundheitsbehörden öffentlich. Die Zahl könnte sich im weiteren Verlauf der Untersuchung noch ändern. 2
Welche Informationen betroffen sind
Nach den verfügbaren Angaben umfassten die gestohlenen Datensätze unter anderem:
- Namen und Postanschriften,
- Sozialversicherungsnummern,
- medizinische Daten und Gesundheitsinformationen,
- Angaben zu Krankenversicherungen,
- staatliche Ausweisdaten, darunter Pass- und Führerscheinnummern,
- Geburtsdaten sowie
- bei einem Teil der Betroffenen Bank- und andere Finanzinformationen. 2
Die Kombination aus medizinischen Identitätsdaten und Finanzinformationen ist besonders sensibel: Sie kann nicht nur die Privatsphäre beeinträchtigen, sondern auch für Identitätsmissbrauch oder Finanzbetrug relevant sein. Welche konkreten Datensätze jeweils zu einzelnen Personen gehörten, ist öffentlich nicht vollständig aufgeschlüsselt.
Welche Rolle CareCloud spielt
CareCloud ist ein in New Jersey ansässiger Anbieter von Gesundheitstechnologie. Das Unternehmen stellt unter anderem elektronische Patientenakten, Praxismanagement- und Abrechnungsdienste für Krankenhäuser, Arztpraxen und andere Gesundheitseinrichtungen bereit. Dadurch verarbeitet beziehungsweise speichert CareCloud Informationen von Millionen Patientinnen und Patienten, auch wenn diese nicht direkt Kundinnen oder Kunden des Unternehmens sind. 2
Meldung an US-Behörden
CareCloud meldete den Vorfall an das Office for Civil Rights (OCR) im US-Gesundheitsministerium, dem Department of Health and Human Services (HHS). Das öffentliche HHS-Portal führt größere Verstöße gegen den Schutz medizinischer Daten auf, die derzeit untersucht werden. Auf der Meldung zu CareCloud wird der Vorfall als Hacker- beziehungsweise IT-Sicherheitsereignis in einem Netzwerkserver-System eines Geschäftspartners geführt. 1
Die im August im HHS-Portal ausgewiesene Zahl von 3.756.469 Betroffenen war die erste offizielle Bestätigung der tatsächlichen Größenordnung. 2
Was weiterhin unklar ist
CareCloud hat seit der ersten Mitteilung im März keine umfassendere öffentliche Darstellung des Angriffs vorgelegt. Nach vorliegenden Berichten beantwortete CEO Stephen Snyder Fragen dazu nicht, ob das Unternehmen Lösegeld gezahlt hat, wer für die Cybersicherheit verantwortlich war oder ob er zurücktreten werde. 2
Damit gibt es derzeit keine bestätigten öffentlichen Belege für eine Lösegeldzahlung, die Zuordnung des Angriffs zu einer bestimmten Hackergruppe, ein Fehlverhalten der Unternehmensleitung oder einen geplanten Rücktritt Snyders. Auch die konkrete Methode, mit der die Angreifer in die AWS-Umgebung gelangten, ist öffentlich nicht bekannt. 2
Einordnung im Vergleich zu anderen Gesundheitsdatenlecks 2026
CareCloud liegt in der aktuellen Rangfolge hinter größeren gemeldeten Vorfällen. DentaQuest, ein Anbieter im Bereich Zahnversicherungen, führt die Liste mit 15 Millionen Betroffenen an. Der Vorfall bei TriZetto Provider Solutions betraf laut Meldung 3.433.965 Menschen und war damit kleiner als der CareCloud-Angriff. 13
Auch der Anbieter von Abrechnungssoftware Craneware meldete 2026 einen Vorfall. Für Craneware lag zum Zeitpunkt der verfügbaren Berichte jedoch noch keine endgültige, direkt vergleichbare Zahl der Betroffenen vor. Deshalb lässt sich der Fall nicht seriös in dieselbe Rangfolge einordnen. 3
Der CareCloud-Fall zeigt vor allem, wie stark sich die zunächst kommunizierte Größenordnung eines Datenlecks nach einer forensischen Untersuchung verändern kann: Aus rund 345.000 zunächst benachrichtigten Personen wurden mehr als 3,75 Millionen – während zentrale Fragen zum Angriff und zur Reaktion des Unternehmens offen bleiben.
