Der US-amerikanische Gesundheits-IT-Anbieter Aesto Health hat einen Cyberangriff bestätigt, von dem mehr als 9,5 Millionen Menschen betroffen sind. Nach Angaben des Unternehmens und der US-Gesundheitsbehörde HHS wurden bei dem Vorfall sensible Patientendaten entwendet – eines der größten Gesundheitsdatenlecks des Jahres 2026.
Was ist passiert?
Aesto Health mit Sitz in Birmingham, Alabama, bietet Software für Krankenhäuser und Arztpraxen an, um Patientendaten beim Wechsel elektronischer Patientenakten (EHR) zu migrieren, zu archivieren und darauf zuzugreifen. Nach bislang vorläufigem Kenntnisstand verschafften sich Unbefugte zwischen dem 2. und 18. Dezember 2025 Zugang zu Teilen der bei Amazon Web Services (AWS) gehosteten Infrastruktur und exfiltrierten dabei Daten. Der Vorfall wurde nach einer forensischen Untersuchung am 26. Mai 2026 bestätigt; eine erste Mitteilung veröffentlichte das Unternehmen im Juni, die Benachrichtigung Betroffener begann im August 2026.
Welche Daten sind betroffen?
An die HHS-Behörde für Bürgerrechte (OCR) meldete Aesto Health 9.540.683 betroffene Personen. Laut Mitteilung können folgende Angaben abgeflossen sein:
- Namen, Geburtsdaten und Sozialversicherungsnummern
- Führerschein- und Steuer-IDs sowie weitere Ausweisnummern
- Finanzkontodaten und Angaben zur Krankenversicherung
- Medizinische Informationen und Krankengeschichten (PHI)
Rund 29 Gesundheitsdienstleister als Kunden sind betroffen. Ein Ransomware-Bezug ist bislang nicht bestätigt, und keine Tätergruppe hat sich zu dem Angriff bekannt.
Einordnung
Der Fall reiht sich in eine Häufung von Angriffen auf Gesundheits-IT und Datenmigrations-Dienstleister ein. Weil solche Anbieter Daten vieler Kliniken bündeln, wirkt ein einzelner Einbruch als Hebel über Millionen Datensätze. Die Angaben sind vorläufig; eine OCR-Untersuchung gilt als wahrscheinlich.
Quellen: BleepingComputer, SecurityWeek, The Record, HIPAA Journal.
