Bei der Amazon-Tochter One Medical ist ein Drittanbieter-Speichersystem mit archivierten Patientendaten kompromittiert worden. Die Erpressergruppe ShinyHunters reklamiert den Angriff für sich und droht mit der Veröffentlichung von 8,8 Terabyte an Daten. Der Fall reiht sich in eine wachsende Liste von ShinyHunters-Opfern im Gesundheitswesen ein und zeigt erneut, wie stark übernommene Altsysteme die Angriffsfläche eines Unternehmens vergrößern können.

Was ist passiert

Nach Angaben von One Medical verschafften sich Unbekannte zwischen dem 8. und 11. Juni 2026 Zugriff auf ein Dateispeichersystem eines Drittanbieters. Darin lagen archivierte Daten von Patientinnen und Patienten von One Medical Seniors sowie der zuvor übernommenen Gesundheitsorganisation Iora Health. One Medical entdeckte den Vorfall am 13. Juni, sperrte den Zugriff umgehend und leitete eine Untersuchung ein. Die Veröffentlichung der Datenschutzmitteilung erfolgte am 17. Juni.

Einen Tag später meldete sich die Erpressergruppe ShinyHunters auf ihrer Darknet-Leak-Seite zu Wort und behauptete, 8,8 Terabyte an Unternehmens- und Patientendaten erbeutet zu haben. Die Gruppe setzte eine Frist bis zum 22. Juni 2026 für die Aufnahme von Verhandlungen, andernfalls werde sie die Daten veröffentlichen. One Medical hat ShinyHunters bislang nicht namentlich als Verursacher bestätigt, und bis zum jetzigen Zeitpunkt haben die Angreifer keine Datenproben veröffentlicht, die Umfang oder Art der Informationen belegen würden.

Nach eigenen Angaben betrifft der Vorfall ausschließlich bestimmte Altbestände von One Medical Seniors und Iora Health. Andere One-Medical-Standorte, Dienste und das elektronische Patientenaktensystem seien nicht betroffen. Wer nie Patient von One Medical Seniors war, sei laut Unternehmen von dem Vorfall nicht betroffen.

Hintergrund zu Betroffenen und Angreifern

One Medical betreibt mehr als 250 Gesundheitszentren in 19 US-Großstädten und versorgt nach eigenen Angaben über 830.000 Patienten mit stationären und virtuellen Behandlungsangeboten. Amazon hatte das Unternehmen, damals unter dem Namen 1Life Healthcare, im Februar 2023 für rund 3,9 Milliarden US-Dollar übernommen. Iora Health, ein auf die Versorgung älterer Patienten spezialisierter Anbieter, war bereits 2021 von One Medical aufgekauft und später in One Medical Seniors umbenannt worden.

ShinyHunters ist eine seit mindestens 2019 aktive, überwiegend englischsprachige Erpressergruppe, die sich auf den Diebstahl und die anschließende Veröffentlichung von Daten spezialisiert hat, statt Systeme zu verschlüsseln. Die Gruppe nutzt nach Angaben von Mandiant und dem FBI bevorzugt gestohlene Zugangsdaten, OAuth-Token-Diebstahl und Voice-Phishing für den Erstzugriff und exfiltriert anschließend Daten über SaaS-Anwendungen. Zu den jüngsten Opfern zählen unter anderem der Dentalversicherer DentaQuest mit angeblich 234 Gigabyte und 2,6 Millionen betroffenen Personen sowie Madison Square Garden Entertainment.

Warum der Fall relevant ist

Der Vorfall verdeutlicht ein wiederkehrendes Muster bei Unternehmensübernahmen: Mitgekaufte Altsysteme werden nach einer Akquisition häufig nicht sofort in ein einheitliches Sicherheitskonzept überführt, weil die Migration aufwendig ist und andere Prioritäten Vorrang haben. Genau ein solches Altsystem, das ursprünglich zu Iora Health gehörte, steht hier im Mittelpunkt. Ein vergleichbares Muster war bereits beim Angriff auf den Abrechnungsdienstleister Change Healthcare zu beobachten, wo nach der Übernahme durch UnitedHealth unterschiedliche Systeme zunächst nicht auf einen gemeinsamen Sicherheitsstandard gebracht worden waren.