Change Healthcare, 100 Millionen Benachrichtigungen: der Kumul bei einem einzigen Dienstleister

Am 22. Oktober 2024 meldete Change Healthcare rund 100 Millionen Benachrichtigungen wegen des Angriffs vom Februar; die endgültige Zahl liegt bei 192,7 Millionen. Die Analyse: Konzentration, Rückwirkungsschäden, Benachrichtigung, Lösegeld und Fragen für die Vertragsverlängerung.

Archiv: Rekonstruktion, geschrieben im November 2026

Thema des Monats Oktober 2024 · von cybercoverinsurance

Am 22. Oktober 2024 teilte Change Healthcare der US-Gesundheitsaufsicht mit, rund 100 Millionen individuelle Benachrichtigungen wegen des Datendiebstahls beim Ransomware-Angriff vom Februar verschickt zu haben. Es war die erste offizielle Zahl. Am 31. Juli 2025 erreichte die endgültige Zählung 192,7 Millionen Menschen. Wenige Tage vor der Mitteilung hatte die Muttergesellschaft UnitedHealth Group ihre Schätzung der Angriffskosten allein für 2024 auf rund 2,87 Milliarden Dollar angehoben.

Change Healthcare ist das Lehrbuchbeispiel für einen Kumul bei einem einzigen Dienstleister. Ein in der Öffentlichkeit wenig bekanntes Unternehmen wickelte einen enormen Anteil der Gesundheitszahlungen in den USA ab. Als es stillstand, verloren Zehntausende Ärzte, Krankenhäuser und Apotheken Liquidität, ohne selbst kompromittiert worden zu sein. Für Cyber-Risikoträger stellt der Fall drei Deckungen zugleich auf die Probe: die Haftung für Daten, die Betriebsunterbrechung des angegriffenen Versicherten und die weit häufigere seiner Kunden.

Was bekannt ist

Der Angriff. Die Angreifer drangen mit gestohlenen Zugangsdaten in ein Citrix-Fernzugriffsportal ohne Mehr-Faktor-Authentifizierung ein. Sie entwendeten rund 6 TB Daten und verschlüsselten Systeme, woraufhin das Unternehmen seine Infrastruktur abschaltete (BleepingComputer). Der Zugang geht auf den 12. Februar 2024 zurück, entdeckt wurde der Angriff am 21. Februar. Optum, die Konzerngesellschaft, zu der Change gehört, zahlte der Gruppe BlackCat (ALPHV) ein Lösegeld von 22 Millionen Dollar (Nixon Peabody). BlackCat verschwand und behielt den gesamten Betrag. Der Affiliate, der den Angriff ausgeführt hatte, wechselte zu RansomHub und verlangte eine zweite Zahlung (BleepingComputer).

Die Daten. Der Diebstahl umfasst Versicherungsdaten, Diagnosen, Medikamente, Befunde und Bilder, Abrechnungs- und Zahlungsdaten, Sozialversicherungsnummern und Ausweisdokumente (BleepingComputer). Die Schätzung stieg von 100 Millionen (Oktober 2024) auf 190 Millionen und dann auf 192,7 Millionen (Juli 2025). Change warnte, die endgültige Zahl könne leicht überhöht sein, weil nicht alle Dubletten entfernt werden konnten (HIPAA Journal).

Die Konzentration. Nach Angaben des Office of Financial Research des US-Finanzministeriums wickelt Change jährlich rund 2 Billionen Dollar an medizinischen Abrechnungen ab, geschätzt 44% der Zahlungsströme des Gesundheitssystems. Das Unternehmen berührt eine von drei Patientenakten und bedient rund 189.000 Leistungserbringer. Mehr als ein Drittel der Kunden hatte Verträge mit Exklusivitätsklauseln (OFR).

Die Kosten. UnitedHealth meldete im April 2024 Verluste von 872 Millionen Dollar und im Oktober eine Schätzung von rund 2,87 Milliarden für das gesamte Jahr 2024, aus Reaktionskosten und Unterbrechungsverlusten (Healthcare Innovation). Optum zahlte Leistungserbringern über ein befristetes Finanzhilfeprogramm rund 9 Milliarden Dollar Vorschüsse. Bis April 2025 hatte es rund 3,2 Milliarden zurückerhalten (HIPAA Journal).

Spätere Entwicklungen. Die Klagen wurden in einem Bundesverfahren in Minnesota zusammengeführt. Leistungserbringer fechten zudem die Rückzahlungsbedingungen der Vorschüsse an. Der Bundesstaat Nebraska klagte im Dezember 2024, und im November 2025 wies der Richter den Antrag auf Abweisung zurück (HIPAA Journal). Im November 2025 hatte die Bundesaufsicht (OCR) noch keine Ergebnisse ihrer Untersuchung bekanntgegeben (Nixon Peabody).

Der Dienstleister, den niemand ersetzen kann

Ein Knoten mit 44% der Ströme hat keine fertige Alternative. Das OFR stellt fest, dass einige Kostenträger kein Ersatz-Zahlungssystem hatten und dass Exklusivitätsklauseln andere Clearingstellen am Anschluss hinderten. Change verzichtete später auf die Exklusivität, doch ein Wechsel kostet Zeit und Geld. Wochenlang hatten viele Leistungserbringer keinen Plan B.

Der Schaden bei den Kunden war vor allem ein Liquiditätsschaden. Nach einer vom OFR zitierten Umfrage der American Hospital Association waren 94% der Krankenhäuser finanziell betroffen, mehr als die Hälfte nannte die Auswirkungen erheblich oder schwer. 55% der Ärzte nutzten private Mittel, um Praxisausgaben zu decken. Für kleine Leistungserbringer war das Problem nicht der Verlust von Einnahmen, sondern deren monatelange Verzögerung.

Liquiditätsverlust ist kein Umsatzverlust. Viele Betriebsunterbrechungsdeckungen ersetzen entgangenen Deckungsbeitrag, nicht verspätete Zahlungseingänge. Ein Ertrag, der drei Monate später eingeht, löst unter Umständen keine Entschädigung aus, obwohl er den Versicherten in Not gebracht hat. Zinsen für Überbrückungskredite sind nur dann Mehrkosten, wenn die Police es vorsieht.

Drei Policen im Spiel

Die Police von Change greift für den eigenen Schaden und die eigene Haftung. Reaktionskosten, Benachrichtigung von 192,7 Millionen Menschen, Unterbrechungsverluste und Abwehr der Klagen. Ein Schaden in Milliardenhöhe übersteigt die Kapazität jedes Cyber-Programms bei weitem. Der Großteil bleibt beim Konzern.

Die Policen der Kunden greifen nur über die Deckung für Rückwirkungsschäden. Ärzte, Krankenhäuser und Apotheken wurden nicht kompromittiert. Ihr Schaden entsteht aus dem Ausfall eines Dienstleisters. Kirsten Bay, CEO von Cysurance, erwartete in einem Interview im Juli 2024, dass viele Organisationen Ansprüche aus Rückwirkungsschäden anmelden würden, auch kleine, und dass die Deckung restriktiver werde (TechTarget). Viele Policen beschränken diese Deckung auf IT-Dienstleister, mit niedrigen Sublimits und langen zeitlichen Selbstbehalten. Eine Clearingstelle für Gesundheitszahlungen fällt unter Umständen nicht unter die Definition.

Das Ereignis wurde als Cyber-Katastrophe eingestuft. Das OFR berichtet, dass PCS es als Cyber-Katastrophe einstufte, die Kategorie für Ereignisse mit erwarteten versicherten Schäden über 250 Millionen Dollar. Es war das zweite Ereignis mit dieser Einstufung. Das OFR fügt hinzu, dass der Großteil der Unternehmensschäden nicht versichert war.

Benachrichtigung und Haftung: Kosten, die mit der Zeit wachsen

Die Zahl der Betroffenen hat sich in neun Monaten fast verdoppelt. Von 100 auf 192,7 Millionen. Jede Revision erhöhte die Kosten für Benachrichtigung und Betreuung und den Kreis möglicher Kläger. Eine im Oktober 2024 gebildete Reserve wäre zu niedrig gewesen.

Die Delegation der Benachrichtigung verschiebt die Kosten, nicht das Risiko. Im Mai 2024 stellte die Bundesaufsicht klar, dass Leistungserbringer ihre Benachrichtigungspflichten an Change delegieren konnten (Nixon Peabody). Das vermied Millionen doppelter Schreiben. Jeder Leistungserbringer musste aber seine eigene Lage prüfen, und eine fehlerhafte Benachrichtigung durch einen Dritten kann dennoch auf den Verantwortlichen der Daten zurückfallen.

Rechtsstreitigkeiten dauern Jahre. Fast zwei Jahre nach dem Angriff war das Bundesverfahren nicht abgeschlossen, und die Klage Nebraskas hatte gerade die erste Hürde genommen. Für Risikoträger haben Haftpflichtschäden aus dem Diebstahl von Gesundheitsdaten einen langen Nachlauf, und die Abwehrkosten laufen lange vor jedem Vergleich.

Ein Lösegeld gezahlt, eine Erpressung nicht beendet

Die Zahlung hat die Löschung der Daten nicht erkauft. Optum zahlte 22 Millionen Dollar. BlackCat behielt den gesamten Betrag, und der Affiliate brachte die Daten zu einer anderen Gruppe. Der Fall zeigt, dass ein Lösegeld weder die Löschung noch das Ende der Erpressung garantiert.

Für die Police lautet die Frage, wer entscheidet. Erpressungsdeckungen verlangen in der Regel die Zustimmung des Versicherers und eine Sanktionsprüfung. Ist eine zweite Forderung eines anderen Akteurs mit denselben Daten ein neuer Schadenfall oder derselbe? Die Bedingungswerke sagen das selten klar.

Was in die Vertragsverlängerung gehört

Auswirkung für VersichererHoch

Ein einzelner Dienstleister mit beherrschendem Marktanteil verursachte direkte Schäden in Milliardenhöhe und Rückwirkungsschäden bei Zehntausenden Kunden.

Fragen für den Underwriting-Fragebogen

Welche externen Dienstleister wickeln Zahlungseingänge, Zahlungen oder Abrechnung ab, und welcher Anteil der Erlöse läuft über jeden von ihnen?
Gibt es für jeden dieser Dienstleister eine bereits angebundene und getestete Alternative, oder einen Exklusivvertrag, der sie verhindert?
Wie viele Tage kann die Organisation arbeiten, wenn die Zahlungseingänge stoppen, und mit welchen Kreditlinien?
Erfordern alle Fernzugänge, auch die von Dienstleistern, ausnahmslos eine Mehr-Faktor-Authentifizierung?
Deckt die Rückwirkungsschadendeckung auch Nicht-IT-Dienstleister wie Zahlungsintermediäre, und mit welchem Sublimit und zeitlichen Selbstbehalt?
Regeln die Verträge mit Dienstleistern, die personenbezogene Daten verarbeiten, wer bei einer Verletzung Benachrichtigung, Betreuung und Abwehr bezahlt?

Auf Portfolioebene verlangt der Fall Change, nicht nur gemeinsame Cloud-Anbieter zu kartieren, sondern auch Branchenintermediäre: Gesundheitszahlungen, Software für Autohäuser, Buchungsplattformen. Hängt ein großer Teil der Versicherten einer Branche an einem einzigen Knoten, ist der Kumul mit eigenen Szenarien und Limits zu behandeln.