Ein Zugang, fast 525.000 Patienten
Ein einziger gehackter Zugang. Mehr brauchte es nicht, um in einem französischen Krankenhaus an die Daten von fast 525.000 Patienten zu kommen. Dazu kamen mehr als 200.000 weitere Personen, darunter Angehörige und hinterlegte Notfallkontakte. Der Angriff fand im Sommer 2025 statt. Im September 2026, also mehr als ein Jahr später, hat die französische Datenschutzaufsicht CNIL dafür ein Bußgeld von 500.000 Euro verhängt. Der Weg hinein war ziemlich unspektakulär. Der Angreifer nutzte einen kompromittierten Zugang für externe Nutzer, den unter anderem niedergelassene Ärzte verwendeten. Von dort kam er in das digitale Patientenaktensystem des Krankenhauses. Am gestohlenen Zugang selbst finde ich wenig Überraschendes. Zugangsdaten werden gestohlen oder missbraucht. Das passiert, und auch mit guter Technik lässt es sich nie ganz ausschließen. Interessant wird es erst danach. Wie weit kommt jemand mit genau diesem einen Konto?
Warum ein einzelnes Konto so viel sehen konnte
Gesundheitsdaten gehören zu den sensibelsten Daten, die ein Unternehmen überhaupt verarbeiten kann. Trotzdem sehe ich in der Praxis immer wieder, dass Berechtigungen eher großzügig vergeben werden. Der Grund ist nachvollziehbar. Es ist bequem. Niemand muss ständig nach Freigaben fragen, Abläufe stocken nicht und alles ist sofort da.
Diese Bequemlichkeit hat aber einen Preis, den man erst bemerkt, wenn ein Konto in falsche Hände gerät. Dann hat der Angreifer genau die Rechte, die dieses Konto hat. Nicht mehr, aber eben auch nicht weniger. Wenn ein niedergelassener Arzt die Befunde seiner eigenen Patienten einsehen möchte, stellt sich schon die Frage, warum sein Zugang überhaupt in die Nähe von Hunderttausenden anderer Akten kommen sollte. Genau dafür gibt es Rollen- und Berechtigungskonzepte. Der Haken ist, dass sie oft einmal aufgesetzt und danach kaum noch angefasst werden. Aufgaben ändern sich aber. Mitarbeitende wechseln die Abteilung, übernehmen neue Funktionen oder verlassen das Haus. Die alten Rechte bleiben dabei gern einfach hängen. Ein Berechtigungskonzept ist deshalb nur so gut wie seine letzte Überprüfung. Wer einen Zugriff nicht mehr braucht, dem sollte man ihn auch konsequent wieder wegnehmen.
Ein Passwort allein ist zu wenig, und irgendwer muss hinschauen
Die CNIL hat noch mehr beanstandet. Der betroffene Zugang war weder über ein VPN noch über eine Multi-Faktor-Authentifizierung abgesichert. Benutzername und Passwort genügten also, um sich anzumelden. Mit einer dieser Absicherungen hätten die gestohlenen Zugangsdaten allein nicht mehr ausgereicht. Mindestens genauso wichtig finde ich aber eine andere Frage. Hätte es überhaupt jemand gemerkt? In dem Krankenhaus konnte sich der Angreifer mehrere Tage im Patientenaktensystem bewegen und große Datenmengen abrufen, bevor der Vorfall auffiel. Hier kommen Protokollierung und Überwachung ins Spiel, und zwar ganz praktisch. Wenn ein Konto, das sonst ein paar Dutzend Akten öffnet, plötzlich Tausende Datensätze abruft, oder wenn sich jemand zu einer Uhrzeit anmeldet, zu der das sonst nie vorkommt, dann sollte das auffallen. Und zwar möglichst früh und nicht erst nach Tagen.
Die mehr als 200.000 Betroffenen, die keine Nachricht bekamen
Ein Detail aus dem Fall halte ich für besonders lehrreich. Das Krankenhaus hat seine Patienten über den Datendiebstahl informiert. Die mehr als 200.000 weiteren Personen, deren Daten ebenfalls entwendet worden waren, erhielten dagegen keine entsprechende Information. Auch das hat die CNIL beanstandet. Wirklich überraschend finde ich das nicht. Bei einem Datenleck im Krankenhaus denkt man zuerst an die Patienten. Angehörige und Notfallkontakte stehen aber genauso im System, und ihre Daten sind genauso abgeflossen. Für den Datenschutz sind sie Betroffene wie alle anderen auch. Mit der technischen Behebung ist ein Vorfall deshalb noch lange nicht erledigt. Man muss auch sauber klären, wessen Daten eigentlich betroffen sind.
Was ich mir in einer Praxis oder Klinik jetzt anschauen würde
Ein gutes Berechtigungskonzept verhindert nicht, dass Zugangsdaten gestohlen werden. Es sorgt aber dafür, dass ein gekapertes Konto nicht automatisch Daten freigibt, die für die eigentliche Tätigkeit nie nötig waren. Aus einem einzelnen Vorfall wird dann nicht gleich ein Großschaden. Für Arztpraxen, Medizinische Versorgungszentren und Kliniken ist der Fall ein guter Anlass, sich die eigenen Abläufe noch einmal genau anzusehen. Ich würde mit drei einfachen Fragen anfangen. Wer kann heute eigentlich auf welche Patientendaten zugreifen? Wie sind diese Zugänge abgesichert, gerade die für Externe? Und würde es irgendwem auffallen, wenn ein Benutzer plötzlich ungewöhnlich viele Daten abruft? Wer bei der dritten Frage kurz zögert, hat vermutlich schon gefunden, wo er anfangen sollte.
Bei der ad hoc datenschutz prüfen wir bestehende Zugriffs- und Berechtigungskonzepte aus Datenschutzsicht und entwickeln gemeinsam mit Ihnen Prozesse für den Umgang mit sensiblen personenbezogenen Daten, die im Alltag auch funktionieren.