Medizinische Daten von fast 19 Millionen Polen bei Sicherheitsverletzung der Plattform MyDr gestohlen

Polens Minister für digitale Angelegenheiten, Krzysztof Gawkowski, bestätigte am 13. August, dass Hacker medizinische Daten von fast 19 Millionen Menschen von MyDr gestohlen haben, einer der größten Plattformen für elektronische Patientenakten des Landes, die von Ärzten und Kliniken landesweit genutzt wird. Die gestohlene Datenbank umfasst über 2 Terabyte und macht den Vorfall zu einer der größten in Europa in diesem Jahr gemeldeten Datenschutzverletzungen im Gesundheitswesen.

Was gestohlen wurde

MyDr bestätigte, Ziel dessen gewesen zu sein, was das Unternehmen als „externe, vorsätzliche kriminelle Handlung“ bezeichnete, die einen Teil seiner Daten betraf. Die gestohlenen Datensätze sollen Berichten zufolge Informationen zu Rezepten, geplanten Terminen, verschriebenen Medikamenten und von Patienten bei Ärzten eingereichten Dokumenten umfassen — Daten, die in Kombination bestimmten Personen zugeordnet werden können, statt als anonymisierte Fragmente vorzuliegen.

Gawkowski bezeichnete den Vorfall angesichts sowohl des Ausmaßes als auch der Sensibilität der betroffenen medizinischen Informationen als „beispiellos“ für einen Cyberangriff auf Online-Patientenakten in Polen. Polens Bevölkerung umfasst rund 38 Millionen Menschen, was bedeutet, dass die Sicherheitsverletzung möglicherweise Daten von fast der Hälfte des Landes offengelegt hat.

Ermittlungen noch in frühem Stadium

Cybersicherheitsdienste und Strafverfolgungsbehörden untersuchen aktiv, wie es zu dem Eindringen kam und wer dafür verantwortlich ist. Gawkowski merkte an, dass die Behörden in diesem Stadium noch nicht abschließend bestätigt haben, dass der Vorfall die formale rechtliche Definition einer Datenschutzverletzung erfüllt, obwohl es starke Hinweise auf unbefugten Zugriff auf die Datenbank gibt. Offiziellen zufolge gibt es derzeit keine Hinweise darauf, dass der Angriff von einem fremden Staat durchgeführt wurde, wobei sich diese Einschätzung im Verlauf der Ermittlungen noch ändern könnte.

Reaktion der Regierung

Die polnische Regierung arbeitet daran, die betroffenen Daten zu sichern und deren Verkauf oder Verbreitung online zu verhindern, und plant den Aufbau einer eigenen Datenbank, mit der Personen prüfen können, ob ihre persönlichen Daten bei der Sicherheitsverletzung offengelegt wurden — eine Reaktion, die sich an ähnlichen Benachrichtigungstools orientiert, die nach großangelegten Vorfällen andernorts in Europa eingesetzt wurden.

Der Vorfall reiht sich in eine Serie großer, 2026 weltweit offengelegter Datenschutzverletzungen im Gesundheitswesen ein und erfolgt zu einem Zeitpunkt, an dem EU-Mitgliedstaaten unter wachsendem Druck stehen, ihre medizinische Dateninfrastruktur im Rahmen der DSGVO zu härten — angesichts einer steigenden Zahl von Angriffen, die gezielt Gesundheitsdaten ins Visier nehmen, die auf Darknet-Märkten einen Aufpreis erzielen, da gestohlene medizinische Informationen im Gegensatz zu etwa einem Passwort nur schwer geändert werden können.