Epic stoppt Produktentwicklung wegen Sicherheitslücken
Der Gesundheitssoftware-Anbieter Epic hat die meisten Produktentwicklungsaktivitäten vorübergehend ausgesetzt, um kritische Sicherheitslücken in der weit verbreiteten Patientenplattform MyChart zu beheben. Die Schwachstellen wurden durch das KI-gestützte Sicherheitsmodell Mythos von Anthropic identifiziert. Nach Angaben von CEO Judy Faulkner dauert die Entwicklungsunterbrechung voraussichtlich sechs Wochen und dient ausschließlich der systemweiten Absicherung. Epic betreibt MyChart, das in US-amerikanischen Krankenhäusern und Praxen eingesetzt wird und mehr als 320 Millionen Patientenakten verwaltet. Die Speicherung der sensiblen Gesundheitsdaten obliegt jedoch direkt den medizinischen Einrichtungen; Epic greift nicht darauf zu. Laut Chief Security Officer Stirling Martin könnten bestimmte Kundenkonfigurationen von MyChart externen Angreifern ermöglichen, auf Patientenakten zuzugreifen, ohne dass dies in den Systemprotokollen verzeichnet wird. Obwohl unklar bleibt, ob die Schwachstelle zur unbemerkten Manipulation von Aufzeichnungen genutzt werden kann, stuft Epic das Risiko als ausreichend für sofortige Gegenmaßnahmen ein. Eine technische Detailoffenlegung erfolgt nicht. Der Vorfall verdeutlicht die ambivalente Rolle von KI in der Cybersicherheit: Während sie proaktive Schwachstellenanalyse ermöglicht, erleichtert sie potenziell auch Angreifern die Identifizierung und Ausnutzung von Systemlücken. Gesundheitsdaten sind aufgrund ihres hohen Schwarzwertmarktpreises und des Erpressungspotenzials durch Datenlecks ein häufiges Ziel von Cyberkriminellen. In den vergangenen Monaten war die US-Gesundheitsbranche von einer Serie schwerer Sicherheitsvorfälle betroffen. Dazu zählen der Ransomware-Angriff auf Change Healthcare im Jahr 2024, der den Zugriff auf Daten von mehr als 192 Millionen Personen ermöglichte, sowie neuere Zwischenfälle bei CareCloud, McKesson und DentaQuest, bei denen jeweils Millionen Datensätze kompromittiert wurden. Die vorübergehende Einstellung der Produktentwicklung bei Epic unterstreicht die Priorisierung von Datensicherheit vor kommerzieller Innovationsgeschwindigkeit. Angesichts der zunehmenden Automatisierung von Angriffswerkzeugen und der kritischen Infrastruktur im Gesundheitswesen wird die proaktive Absicherung von Patientendaten systematisch zur wesentlichen Anforderung für Softwareanbieter. Epic arbeitet derzeit intensiv an der Fehlerbehebung und der Validierung seiner Schutzmechanismen, um die Vertraulichkeit und Integrität der verwalteten Gesundheitsinformationen zu gewährleisten.
