Was ist MyChart?
MyChart ist ein Patientenportal des amerikanischen Softwareunternehmens Epic Systems. Über die Plattform können Patienten ihre Termine verwalten, Befunde einsehen und Nachrichten mit ihrer Arztpraxis austauschen. Epic betreut eigenen Angaben zufolge 253 Millionen Patienten und hält einen Marktanteil von 44 Prozent im Gesundheitswesen. Weltweit besitzen rund 190 Millionen Menschen ein MyChart-Konto.
Aufgrund der weiten Verbreitung ist MyChart für Betrüger besonders attraktiv. Fast jede große Klinik in den USA nutzt eine eigene MyChart-Variante zur Kommunikation mit Patienten. Beispiele sind „Emory MyChart” in Georgia oder „OhioHealth MyChart” in Ohio. Wer eine Nachricht mit solchen Namen erhält, hält sie oft für echt. Genau darauf zielen die aktuellen Angriffe ab.
Wie funktioniert die MyChart-Phishing-Masche?
In der Regel beginnt die Masche mit einer E-Mail oder einer SMS. Darin wird oft entweder über angeblich neue medizinische Testergebnisse informiert oder eine Prämie für treue Nutzer angekündigt. Ein Klick auf den enthaltenen Link führt zu einer gefälschten Website oder löst den Download von Schadsoftware aus.
Das Ziel der Phishing-Betrüger
Die Betrüger zielen darauf ab, über gefälschte Login-Seiten MyChart-Zugangsdaten zu stehlen, um Zugriff auf sensible Gesundheitsdaten zu erlangen. Zusätzlich verleiten die Absender der Phishing-Mails ihre Opfer dazu, die Datei „Full_Analysis_Report.exe“ herunterzuladen und auszuführen. Dadurch können die Angreifer die volle Kontrolle über das System übernehmen. Den Phishing-Nachrichten liegt sogar eine Anleitung zum Umgehen von Windows-Sicherheitswarnungen bei, die eigentlich vor solcher Schadsoftware schützen sollen.
Gefälschte Testergebnisse als Köder
In seiner offiziellen Warnung beschreibt Epic, dass die Phishing-Nachrichten gezielt Sorgen um die eigene Gesundheit ausnutzen. Wer annimmt, ein wichtiger medizinischer Befund liege bereit, lässt sich schnell zum Klick verleiten. Andere Varianten werben mit einem angeblichen „MyChart Medicare Kit” oder einem „Senior Health Package”.
Aktuelle Artikel
Warum warnen so viele Kliniken gleichzeitig?
Die Kampagne läuft offenbar in allen US-Bundesstaaten und betrifft zur gleichen Zeit zahlreiche Gesundheitssysteme.
In Florida warnten 20 Krankenhäuser, darunter Tampa General und Tallahassee Memorial. Auch in Texas, Georgia, Wisconsin und Ohio informierten Gesundheitssysteme wie Baylor Scott & White, Emory, Froedtert und OhioHealth ihre Patienten. Weitere Warnungen kamen unter anderem von Texas Health, Avera Health, Methodist, Premier Health und Sentara.
Wäre ein solcher Phishing-Skandal im Gesundheitsbereich auch in Deutschland möglich?
Mit der elektronischen Patientenakte (ePA) und den Patientenportalen einzelner Kliniken oder Krankenkassen entstehen hierzulande zunehmend ähnliche Anknüpfungspunkte für Angriffe. Je mehr Menschen ein bestimmtes digitales Gesundheitsportal aktiv nutzen, desto attraktiver wird es für Phishing-Kampagnen. Betrüger müssen dabei lediglich eine plausible Nachricht im Namen einer bekannten Krankenkasse oder Klinik verschicken, etwa mit dem Hinweis auf neue Befunde oder eine angebliche Gutschrift.
Ein wichtiger Unterschied liegt allerdings in der Marktstruktur in Deutschland. Während MyChart mit einer einzigen Marke einen Großteil des amerikanischen Gesundheitswesens abdeckt, verteilt sich die digitale Patientenkommunikation in Deutschland auf viele einzelne Krankenkassen, Kliniken und Anbieter.
Dieser fragmentierte Markt erschwert es Angreifern, mit einer einzigen Phishing-Kampagne Millionen Nutzer gleichzeitig zu erreichen. Gleichzeitig wächst mit der verpflichtenden Einführung der elektronischen Patientenakte (ePA) für alle gesetzlich Versicherten die Zahl potenzieller Ziele deutlich, sodass ein vergleichbarer Vorfall mit zunehmender Digitalisierung wahrscheinlicher wird.
Wie schützen Sie sich vor Phishing?
Der wichtigste Phishing-Abwehr beginnt mit Skepsis gegenüber unerwarteten E-Mails oder SMS. Öffnen Sie Links oder Anhänge nur, wenn Sie den Absender kennen und die Nachricht erwarten. Prüfen Sie die Absenderadresse daher genau und vergleichen Sie sie mit der offiziellen Adresse des Absenders.
Geben Sie niemals Passwörter, PINs oder Kontodaten über einen Link aus einer E-Mail oder SMS ein. Loggen Sie sich stattdessen direkt über die zugehörige Website oder die offizielle App ein. Tippen Sie die Webadresse zur Website immer selbst ein.
Lassen Sie sich auch bei drängenden Formulierungen wie „Handeln Sie sofort!“ oder der Androhung einer Kontosperrung Zeit, um die Situation zu prüfen. Das Erzeugen von Drucksituationen und das Schüren von Eile sind typische Werkzeuge der Angreifer. Melden Sie verdächtige Nachrichten bei Unsicherheit direkt Ihrer Bank, Klinik oder dem jeweiligen Anbieter.
Erklärungen und Begriffsdefinitionen
Phishing
Betrüger versenden gefälschte Nachrichten, die von einer vertrauenswürdigen Quelle zu stammen scheinen. Ziel ist der Diebstahl von Zugangsdaten oder persönlichen Informationen. Die Nachrichten imitieren dabei häufig bekannte Marken oder Institutionen.
Patientenportal
Eine Online-Plattform, über die Patienten auf ihre Gesundheitsdaten zugreifen können. Sie ermöglicht Terminvereinbarungen, die Einsicht in Befunde und die Kommunikation mit der Praxis. MyChart ist einer der größten Anbieter dieser Art in den USA.
Social Engineering
Eine Betrugsmethode, die menschliche Eigenschaften wie Neugier oder Angstreaktionen ausnutzt, um Empfänger dazu zu bringen, Phishing-Links anzuklicken und Formulare auszufüllen.
Häufig gestellte Fragen zum Phishing-Angriff auf MyChart
Ist MyChart gehackt worden?
Laut Epic liegt keine Sicherheitslücke im System vor. Die Betrüger imitieren lediglich den bekannten Markennamen der Plattform.
Woran erkenne ich eine Phishing-Nachricht, die nur vorgibt, von MyChart zu sein?
Typische Merkmale sind unerwartete Testergebnisse, angebliche Prämien oder Gesundheitspakete sowie die Aufforderung, schnell auf einen Link zu klicken.
Fragen echte E-Mails von MyChart nach Passwörtern per E-Mail?
MyChart betont, niemals in E-Mails nach Passwörtern zu fragen. Passwörter werden ausschließlich über die offizielle App oder Website abgefragt.
Warum sind Phishing-Kriminelle so schwer zu fassen?
Phishing-Kriminelle agieren meist aus verschiedenen Ländern im Ausland und verschleiern ihre Identität über anonyme Server und wechselnde Domains. Zudem nutzen sie gezielt Strafverfolgungslücken zwischen Ländern aus, was eine Ermittlung und Verfolgung enorm erschwert.
