DaVita, einer der größten Anbieter von Nierenpflege- und Dialysedienstleistungen in den Vereinigten Staaten, hat zugestimmt, 15 Millionen US-Dollar zur Beilegung einer vorgeschlagenen Sammelklage zu zahlen, die aus einer Datenschutzverletzung hervorging, von der etwa 2,7 Millionen Menschen betroffen waren. Das Unternehmen unterzeichnete die von einem Richter im Bundesstaat Colorado in der vergangenen Woche genehmigte Vergleichsvereinbarung; die Vereinbarung befindet sich jedoch weiterhin in der Phase der vorläufigen Genehmigung.
Der Fall betrifft einen von der Gruppe Interlock im April 2025 ausgeführten Ransomware-Angriff, der auf DaVita-Systeme abzielte, die mehr als 2.600 ambulante Dialysezentren in den Vereinigten Staaten verwalten. Nach der Entdeckung des Angriffs erklärte das Unternehmen, es habe während seiner Reaktion auf den Vorfall zu manuellen Verfahren zurückkehren und auf Backup-Systeme zurückgreifen müssen.
Welche Daten waren gefährdet?
Den in der Klage und der Vergleichsvereinbarung enthaltenen Informationen zufolge könnte die Datenschutzverletzung Namen und Adressen von Patienten, Sozialversicherungsnummern, Krankenversicherungsinformationen und mit der Dialyse verbundene Laborbefunde sowie Bilder auf das Unternehmen ausgestellter Schecks offengelegt haben.
Nachdem es den Angreifern nicht gelungen war, ein Lösegeld zu erhalten, veröffentlichte Interlock die personenbezogenen Daten der Opfer laut einer der ursprünglichen rechtlichen Beschwerden im Darknet. Nach Angaben des Health Information Sharing and Analysis Center verwendet die Gruppe die Methode der doppelten Erpressung, bei der Datendiebstahl und die Verschlüsselung von Systemen mit der Drohung kombiniert werden, die Informationen zu veröffentlichen.
Die Kosten übersteigen den Vergleichsbetrag
Dem Artikel zufolge kostete der Angriff DaVita im Jahr 2025 rund 25 Millionen US-Dollar und führte außerdem zur Erhebung von mindestens zehn Klagen. Diese Klagen wurden später in einer einzigen Beschwerde zusammengeführt, die nun beigelegt wird. Die Kläger erklären laut Vergleichsvereinbarung, dass ihnen mehrere Schäden entstanden seien, darunter ein anhaltendes Risiko von Betrug und Identitätsdiebstahl aufgrund der Art der durchgesickerten Daten.
DaVita bezeichnete den Angriff als einen Vorfall, den das Unternehmen schnell bewältigt habe. Ein Sprecher erklärte, das Unternehmen sei sich der Bedeutung des Schutzes personenbezogener Daten bewusst und verstärke seine Cybersicherheitsmaßnahmen weiter. Die Quelle enthält keine technischen Einzelheiten zu diesen Maßnahmen oder zu den betrieblichen Änderungen, die das Unternehmen nach dem Vorfall umgesetzt hat.
Warum ist diese Nachricht wichtig?
Der Fall zeigt, dass sich die Auswirkungen eines Ransomware-Angriffs auf eine Gesundheitseinrichtung nicht auf den Ausfall von Systemen oder die unmittelbaren Kosten der Wiederherstellung beschränken. Die Rückkehr zu manuellen Verfahren kann den Arbeitsablauf beeinträchtigen, während der Verlust von Patientendaten eine langfristige rechtliche und datenschutzbezogene Dimension hinzufügt, insbesondere wenn Sozialversicherungsnummern, Untersuchungsergebnisse und Versicherungsinformationen betroffen sind.
Dass der Angriff mit einer Gruppe in Verbindung steht, die für Angriffe auf den Gesundheitssektor bekannt ist, verdeutlicht zudem die Bedeutung des Schutzes von Backups und der Fähigkeit, den Betrieb fortzusetzen, wenn Systeme isoliert werden, ohne davon auszugehen, dass die Risiken mit der Nichtzahlung des Lösegelds enden. Die verfügbaren Informationen belegen jedoch allein weder die Ursache der Datenschutzverletzung noch den Erfolg der neuen Sicherheitsmaßnahmen von DaVita; auch die endgültige rechtliche Verantwortung ist noch nicht geklärt.
Das Gericht hat noch keinen Termin für die endgültige Genehmigungsverhandlung festgelegt; dem Artikel zufolge soll sie im kommenden Jahr stattfinden. Daher stellt der Betrag von 15 Millionen US-Dollar in dieser Phase einen vorgeschlagenen Vergleich dar und weder ein endgültiges Urteil noch eine bestätigte Auszahlung der Forderungen.