MCBS-Datenleck: PEAR-Ransomware stiehlt 3 TB Gesundheits- und persönliche Daten von über 1,2 Millionen Patienten

Einführung

Ein massiver Cyberangriff hat Medical Computer Business Services (MCBS) getroffen, ein in Atlanta ansässiges Unternehmen, das auf Revenue-Cycle-Management und Abrechnungsdienste für das Gesundheitswesen spezialisiert ist. Der Angriff im September 2025 führte zur Exfiltration von mehr als 3 Terabyte an Daten, die die Ransomware-Gruppe PEAR bereits auf ihrem Leak-Portal veröffentlicht hat. Laut offiziellen Benachrichtigungen sind 1.261.464 Personen und sieben Gesundheitsorganisationen, die Kunden von MCBS sind, von dem Vorfall betroffen.

Technische Analyse

Der unbefugte Zugriff auf die Systeme von MCBS erfolgte zwischen dem 22. und 26. September 2025. In diesem Zeitfenster entwendeten die Angreifer eine enorme Menge an Dateien mit vollständigen persönlichen Daten (Name, Adresse, Geburtsdatum), Sozialversicherungsnummern (Social Security Number), Krankenversicherungsinformationen und klinischen Unterlagen. Die Vielfalt der gestohlenen Daten – Finanzdaten, Personalakten, E-Mails, personenbezogene Daten (PII) und geschützte Gesundheitsdaten (PHI) von Patienten – deutet auf eine tiefgreifende Kompromittierung der Unternehmensinfrastruktur hin.

Die kriminelle Gruppe hinter dem Angriff, PEAR, ist Mitte 2025 aufgetaucht und hat sich schnell durch die Anwendung von Double-Extortion-Techniken etabliert: Zuerst verschlüsselt sie die Daten, um den Betrieb des Opfers lahmzulegen, dann droht sie mit deren Veröffentlichung, falls das Lösegeld nicht gezahlt wird. Mit über 100 beanspruchten Opfern ist PEAR bereits für weitere groß angelegte Angriffe im Gesundheits- und Medizinsektor verantwortlich, darunter auf Motility Software Solutions (766.000 betroffene Personen) und Tri‑Century Eye Care (200.000 Personen). Die Veröffentlichung der MCBS-Daten auf der Leak-Seite bestätigt entweder die Nichtzahlung des Lösegelds oder die Absicht der Gruppe, weiterhin Druck auf die Opfer auszuüben.

Auswirkungen

Die Offenlegung hochsensibler persönlicher und gesundheitlicher Daten setzt die betroffenen Personen einem hohen Risiko von Identitätsdiebstahl und Versicherungsbetrug aus. Mit klinischen Informationen und Sozialversicherungsnummern in den Händen von Kriminellen könnten die Opfer jahrelang Ziel von gezielten Phishing-Versuchen, betrügerischen Erstattungsanträgen oder der Eröffnung betrügerischer Kreditlinien werden.

Für MCBS und die angeschlossenen Gesundheitseinrichtungen bringt der Vorfall schwer quantifizierbare Reputationsschäden sowie mögliche rechtliche und regulatorische Konsequenzen mit sich, einschließlich Sanktionen wegen Verstößen gegen Datenschutzvorschriften im Gesundheitswesen (wie HIPAA in den USA). Die unkontrollierte Verbreitung der Dateien verstärkt zudem den langfristigen Schaden, da die Daten weiterhin für jedermann zugänglich bleiben, der sie für weitere Angriffe nutzen möchte.

Gegenmaßnahmen

MCBS hat auf seiner Website eine offizielle Sicherheitsverletzungsmeldung veröffentlicht, jedoch wurden bisher weder die technischen Maßnahmen zur Eindämmung des Vorfalls noch ein etwaiges Angebot von Identitätsschutzdiensten für die Betroffenen bekannt gegeben. In Ermangelung weiterer Details wird jedem, der sich als betroffen betrachtet, Folgendes empfohlen:

• Überwachen Sie sorgfältig Ihre Finanzkonten und Versicherungsunterlagen;
• Aktivieren Sie eine Kreditüberwachung oder lassen Sie eine Sperrung Ihres Profils bei den großen Auskunfteien einrichten;
• Seien Sie besonders achtsam bei verdächtigen E-Mails, SMS oder Anrufen und geben Sie keine persönlichen Daten preis.

Organisationen, die Gesundheitsdaten verwalten, sind angehalten, ihre Abwehrmaßnahmen gegen Ransomware zu überprüfen und dabei auf Multi-Faktor-Authentifizierung, Offline-Backups, Netzwerksegmentierung und regelmäßige Angriffssimulationen zu setzen.

FAQ

1. Welche Daten wurden bei dem Angriff auf MCBS gestohlen?
Zu den exfiltrierten Daten gehören Name, Adresse, Sozialversicherungsnummer, Geburtsdatum, Krankenversicherungsinformationen und klinische Daten. Darüber hinaus behauptet die PEAR-Gruppe, Finanzdokumente, Personalakten, E-Mails und Zahlungsdetails gestohlen zu haben, insgesamt über 3 TB.

2. Wie kann ich feststellen, ob ich zu den Betroffenen gehöre?
MCBS hat individuelle Benachrichtigungen an die Betroffenen versandt. Aufgrund der hohen Zahl der Betroffenen (1.261.464) und der Veröffentlichung der Daten ist es jedoch ratsam, die eigene Gefährdung direkt über Kreditüberwachungsdienste zu prüfen oder nach Mitteilungen der Gesundheitseinrichtungen zu suchen, bei denen man in Behandlung war. Eine Kontaktaufnahme mit MCBS oder dem eigenen Gesundheitsdienstleister kann Klarheit bringen.

3. Was kann ich nach diesem Vorfall zu meinem Schutz tun?
Neben der Überwachung von Finanz- und Versicherungskonten sollten Sie die Passwörter für Ihre Online-Dienste ändern, wo immer möglich die Zwei-Faktor-Authentifizierung aktivieren und misstrauisch gegenüber unaufgeforderten Mitteilungen sein, die nach persönlichen Daten fragen. Eine Sperrung Ihrer Kreditakte kann die unbefugte Eröffnung neuer Konten in Ihrem Namen verhindern. Bei betrügerischer Nutzung Ihrer Gesundheitsdaten wenden Sie sich umgehend an Ihre Versicherung und die zuständigen Behörden.