In Polen ist es zu einer der bisher umfangreichsten Datenpannen in der Geschichte des Landes gekommen. Durch einen Cyberangriff auf den medizinischen Software-Anbieter MyDr erlangten Unbefugte Zugriff auf die sensiblen Informationen von rund 19 Millionen Bürgern. Der polnische Digitalisierungsminister Krzysztof Gawkowski informierte Mitte August über das Ausmaß des Vorfalls und bezeichnete das Ereignis als einen der schwerwiegendsten Cybersicherheitsvorfälle in der staatlichen Geschichte. Bei einer Gesamtbevölkerung von etwa 37 Millionen Menschen ist damit rechnerisch jeder zweite Einwohner betroffen.
Umfang und Art der entwendeten Informationen
Nach Angaben des betroffenen Unternehmens MyDr umfasst die kompromittierte Datenbank mehr als 2 Terabyte an Informationen. Der unbefugte Zugriff betrifft historische Daten aus Arztpraxen, die bis in den April 2024 zurückreichen. Das gestohlene Material ist hochsensibel und setzt sich aus einer Vielzahl verschiedener Datentypen zusammen. Dazu gehören unter anderem ärztliche Rezepte, Termindaten, Protokolle von Konsultationen sowie persönliche und steuerliche Angaben der Patienten.
Besonders kritisch bewerten Sicherheitsbehörden den Diebstahl von Identifikationsnummern. Hacker behaupten, insgesamt 18.814.422 eindeutige PESEL-Nummern erbeutet zu haben. Die PESEL-Nummer dient in Polen als zentrale Identifikationsnummer für Bürger und ist für Behördengänge, Finanzgeschäfte und medizinische Leistungen von essenzieller Bedeutung. Von dem Vorfall sind etwa 12.000 medizinische Einrichtungen betroffen, welche die Software-Dienste von MyDr in ihrem Betrieb nutzen.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. IT-Sicherheits-Checkliste jetzt kostenlos herunterladen
Ermittlungen und staatliche Reaktionsmaßnahmen
Die polnischen Behörden wurden erstmals am 10. August über den Vorfall in Kenntnis gesetzt. Daraufhin trat am 12. August das Gemeinsame Zentrum für Cybersicherheitsoperationen zu einer Sondersitzung zusammen. Inzwischen ist auch das Zentralamt für die Bekämpfung von Cyberkriminalität in die Ermittlungen eingeschaltet. Digitalisierungsminister Gawkowski erklärte, dass es derzeit keine Hinweise auf einen Angriff durch einen fremden Staat gebe. Stattdessen werde ein finanzielles Motiv der Cyberkriminellen vermutet, obwohl bisher keine Lösegeldforderungen eingegangen seien.
Die Regierung hat eine Untersuchung eingeleitet und erste Sicherungsmaßnahmen ergriffen. Um den betroffenen Bürgern Hilfestellung zu bieten, wurde eine spezielle Website eingerichtet. Dort können Einwohner prüfen, ob ihre persönlichen Daten kompromittiert wurden. Zudem besteht die Möglichkeit, die eigene PESEL-Identifikationsnummer vorsorglich zu sperren, um einen Missbrauch durch Dritte zu verhindern.
Rechtliche Verpflichtungen und Handlungsempfehlungen
Die polnische Datenschutzbehörde UODO rät der Bevölkerung zu erhöhter Wachsamkeit im Umgang mit persönlichen Daten. Die Behörde empfiehlt den Betroffenen ausdrücklich, ihre PESEL-Nummern umgehend sperren zu lassen. MyDr teilte unterdessen mit, dass die Systeme des Unternehmens nach dem Vorfall bereinigt wurden und inzwischen wieder sicher funktionieren. Das Unternehmen hat zudem ein Verfahren eingeleitet, um die 12.000 betroffenen medizinischen Einrichtungen und die dort tätigen Ärzte über den Vorfall zu informieren.
Wer sich mit dem Schutz sensibler Daten befasst, muss die rechtlichen Dokumentationspflichten genau kennen, um hohe Bußgelder zu vermeiden. Diese kostenlose Excel-Vorlage hilft Verantwortlichen dabei, ein rechtssicheres Verarbeitungsverzeichnis gemäß Art. 30 DSGVO zeitsparend zu erstellen. Kostenlose Muster-Vorlage für Verarbeitungsverzeichnis anfordern
Gemäß den Bestimmungen der Datenschutz-Grundverordnung (DSGVO) stehen nun die Administratoren der betroffenen Einrichtungen in der Pflicht. Diese müssen die betroffenen Personen über die Verletzung des Datenschutzes benachrichtigen. Zudem sieht der gesetzliche Rahmen vor, dass solche Vorfälle unverzüglich, spätestens jedoch 72 Stunden nach ihrer Feststellung, an die zuständige Aufsichtsbehörde gemeldet werden müssen. Die betroffenen Arztpraxen und Kliniken müssen somit nun prüfen, in welchem Umfang ihre jeweiligen Patientendaten Teil des Abflusses waren.
