KIungefiltert

· 4 Min. Lesezeit · Read in English

Quest Diagnostics: Angreifer greifen über das Bestellportal Quanum LSM auf Patientendaten zu

Das US-Labor Quest Diagnostics meldet unbefugten Zugriff auf den Quanum Lab Services Manager. Patientendaten sind betroffen, die Opferzahl fehlt weiter. Was bekannt ist und was Betroffene tun sollten.

Sicherheit

Quest Diagnostics, einer der größten Laborbetreiber der USA, hat einen Sicherheitsvorfall bestätigt. Ein Angreifer hat unbefugt auf den Quanum Lab Services Manager (kurz Quanum LSM) zugegriffen und dabei Patientendaten erreicht. Ich habe das bereits auf X und im WhatsApp-Kanal gemeldet. Inzwischen gibt es ein paar Details mehr, die zentrale Frage ist aber weiter offen.

Was passiert ist

Laut BleepingComputer hat Quest den Zugriff am 21. Oktober 2026 bemerkt und ihn am Tag danach in einem 8-K gemeldet. Das ist eine Pflichtmitteilung an die US-Börsenaufsicht SEC, mit der börsennotierte Firmen wesentliche Ereignisse bekannt geben müssen. SecurityWeek hat den Bericht der Nachrichtenagentur AP übernommen. Darin steht, dass Quest davon ausgeht, dass „bestimmte Patientendatensätze“ eingesehen wurden.

Quanum LSM ist eine Weboberfläche für Arztpraxen, Kliniken und deren Personal. Darüber bestellen sie Labortests, rufen Ergebnisse ab, verfolgen den Bearbeitungsstand und bestellen Material. Es ist also kein Patientenportal. Trotzdem laufen dort Auftrags- und Befunddaten von Patienten zusammen.

Was sich seit dem Post geändert hat

Im WhatsApp-Post schrieb ich, dass es keine belegten Angaben zu den Datenarten gibt. Das stimmt nur noch teilweise. TechCrunch berichtet, Quest habe bestätigt, dass geschützte Gesundheitsdaten abgeflossen sind, nämlich „persönliche Informationen und Patientenakten“. Welche Felder genau betroffen sind, also etwa Namen, Geburtsdaten, Versicherungsdaten oder konkrete Befunde, untersucht Quest noch.

Außerdem ist inzwischen bekannt:

  • Quest hat Quanum LSM abgeschaltet. Kunden sollen auf Papieraufträge oder das separate Portal Quanum eLabs ausweichen. Die Dienste Essential Insights und LabHQ sind vorsorglich pausiert (BleepingComputer).
  • Praxen, die direkt per Laborsystem-Schnittstelle (LIS) oder über ihre elektronische Patientenakte (EMR) angebunden sind, sind laut Quest nicht betroffen.
  • Quest hat die Bundesbehörden eingeschaltet und arbeitet mit externen Sicherheitsfachleuten.
  • Laut Quest hat der Vorfall nichts mit der PHP-Schwachstelle zu tun, über die in derselben Woche berichtet wurde (SecurityWeek/AP).
  • Bisher hat sich keine Angreifergruppe zu dem Angriff bekannt.

Weiter offen sind die Zahl der Betroffenen, der Einstiegsweg und die Täter. Eine CVE oder einen Patch gibt es nicht, weil bisher keine konkrete Schwachstelle genannt wurde. Vorsicht bei Artikeln, die von 11,9 Millionen Opfern sprechen: Diese Zahl stammt aus dem AMCA-Vorfall von 2019 bei einem Inkassodienstleister. Mit dem aktuellen Fall hat sie nichts zu tun.

Warum das wichtig ist

Labordaten sind sehr sensibel. Aus einem Testauftrag kann man Schwangerschaften, Infektionen, Drogentests oder chronische Erkrankungen ablesen. Anders als ein Passwort kann man so etwas nicht ändern. Für Betrüger sind solche Daten wertvoll, weil sie damit glaubwürdige Phishing-Mails schreiben können: Wer den Arzt, das Labor und den Testtermin kennt, wirkt am Telefon schnell echt.

Dazu kommt ein strukturelles Problem. Getroffen wurde ein Portal, das Dritte nutzen, also Praxen und Kliniken. Patienten haben mit diesem System nie direkt zu tun und wissen oft nicht, dass ihre Daten dort liegen. Für Quest ist es außerdem nicht der erste Vorfall: 2016 wurden laut AP Daten von rund 34.000 Menschen offengelegt, 2019 folgte der AMCA-Fall.

Wer betroffen ist

In erster Linie Patienten in den USA, deren Tests über Praxen oder Kliniken mit Quanum LSM bestellt wurden. Leserinnen und Leser in Deutschland dürften kaum direkt betroffen sein. Die Lehre gilt aber überall, wo Labore, Praxissoftware und externe Portale Daten austauschen.

Was du tun solltest

Als Patient (vor allem in den USA):

  • Achte auf offizielle Benachrichtigungen von Quest oder deiner Praxis. Nach der HIPAA-Meldepflicht, dem US-Gesetz zum Schutz von Gesundheitsdaten, müssen Betroffene spätestens 60 Tage nach Entdeckung informiert werden.
  • Sei misstrauisch bei unerwarteten Anrufen oder Mails zu Laborergebnissen, Nachzahlungen oder „Identitätsprüfungen“.
  • Bestätige keine Daten über Links in Nachrichten. Ruf lieber selbst über die bekannte Nummer der Praxis an.
  • Prüfe Abrechnungen deiner Krankenversicherung auf Leistungen, die du nicht bekommen hast.

Als Praxis, Klinik oder IT-Verantwortlicher:

  • Prüfe, welche externen Portale Patientendaten verarbeiten und wer dort Zugänge hat.
  • Ein Notfallplan sollte auch den Ausfall eines Dienstleister-Portals abdecken. Quest musste Kunden kurzfristig auf Papier und Ersatzportale umstellen.
  • Erzwinge Mehr-Faktor-Anmeldung für Webportale mit Gesundheitsdaten und entferne verwaiste Konten.

Sobald Quest Opferzahlen oder den Einstiegsweg nennt, ergänze ich das hier.

Quellen