Ein massiver Sicherheitsvorfall beim polnischen E-Health-Dienstleister MyDr hat landesweit für Erschütterung gesorgt. Laut offiziellen Angaben sind die hochsensiblen medizinischen und persönlichen Daten von rund 19 Millionen Menschen abgeflossen. Die polnische Regierung hat eine umfassende Untersuchung eingeleitet, während Experten vor den langfristigen Folgen des Identitätsdiebstahls für die Betroffenen warnen.
Ein beispielloser Vorfall im polnischen Gesundheitswesen
Ein massiver Cyberangriff auf den polnischen Softwareanbieter MyDr hat die medizinischen und persönlichen Daten von schätzungsweise 19 Millionen Menschen kompromittiert. Der Vorfall, der von der polnischen Regierung als einer der größten Sicherheitsverstöße in der Geschichte des Landes eingestuft wurde, hat landesweit für erhebliche Besorgnis gesorgt [1] [2]. MyDr ist ein zentraler Akteur im Bereich der digitalen medizinischen Dokumentation, dessen Systeme von zahlreichen Praxen und medizinischen Einrichtungen genutzt werden [3].
Der Umfang der entwendeten Daten ist schwerwiegend. Nach ersten Erkenntnissen der polnischen Behörden beläuft sich das Datenvolumen auf mehr als zwei Terabyte [4] [5]. Die gestohlenen Informationen umfassen sensible personenbezogene Daten, darunter die sog. PESEL-Nummer – das polnische Äquivalent zur Sozialversicherungsnummer –, sowie detaillierte Aufzeichnungen über verschriebene Medikamente, ärztliche Diagnosen und Informationen zu medizinischen Behandlungen [6].
Hergang und erste Ermittlungsergebnisse
Das polnische Ministerium für Digitalisierung hat den Vorfall offiziell bestätigt. Der stellvertretende Premierminister und Digitalminister Krzysztof Gawkowski betonte, dass derzeit keine Hinweise auf einen staatlich gesteuerten Cyberangriff, etwa durch ausländische Akteure wie Russland, vorlägen [7] [8].
Erste Analysen der Ermittlungsbehörden deuten stattdessen auf menschliches Versagen als mögliche Ursache hin [4]. Der stellvertretende Digitalminister Michał Gramatyka gab an, dass eine Sicherheitslücke im System von MyDr den Zugriff durch Unbefugte ermöglicht haben könnte [4]. Die genauen Details, wie die Angreifer Zugang zu einer solch großen Datenbank erhielten, sind Gegenstand laufender forensischer Untersuchungen [9]. Um die Sicherheit der nationalen Infrastruktur zu gewährleisten, wurde das „Combined Cybersecurity Operations Center“ einberufen, um den Vorfall zu koordinieren und weitere Sicherheitsmaßnahmen zu prüfen [10].
Tragweite für die Betroffenen
Für die nahezu 19 Millionen betroffenen polnischen Bürger stellt dieser Datendiebstahl ein erhebliches Risiko dar. Die Kombination aus Identitätsdaten (PESEL) und detaillierten medizinischen Historien ermöglicht Betrügern vielfältige Szenarien für Identitätsdiebstahl, Erpressung oder zielgerichtetes Phishing [11].
Experten warnen zudem davor, dass die Informationen dazu genutzt werden könnten, um sich als autorisierte Akteure im Gesundheitswesen auszugeben oder Patienten mit manipulierten Informationen über ihre medizinischen Behandlungen zu kontaktieren [11]. Besonders sensibel ist dabei die Tatsache, dass auch hochrangige Politiker unter den Betroffenen sein sollen, was die politische Brisanz des Vorfalls weiter verschärft [12].
Einordnung und regulatorische Konsequenzen
Dieser Vorfall verdeutlicht die extreme Anfälligkeit zentralisierter digitaler Gesundheitssysteme. Während die Digitalisierung von Patientendaten Effizienzgewinne verspricht, vergrößert sie gleichzeitig das Schadenspotenzial bei Sicherheitslücken. In Polen wird nun eine grundlegende Überprüfung der IT-Sicherheitsstandards für Anbieter elektronischer Gesundheitsakten gefordert [12].
Die Regierung plant, die Sicherheitsvorgaben für Unternehmen in diesem Sektor drastisch zu verschärfen, um das Vertrauen der Bevölkerung in das E-Health-System wiederherzustellen [12]. Für MyDr dürfte der Vorfall schwerwiegende rechtliche sowie wirtschaftliche Konsequenzen nach sich ziehen, insbesondere im Hinblick auf mögliche Sanktionen durch die Datenschutzbehörden gemäß den EU-weiten Vorgaben der DSGVO. Ob und wie die betroffenen Patienten entschädigt werden oder welche Unterstützungsleistungen ihnen im Falle eines Identitätsmissbrauchs zuteilwerden, bleibt Gegenstand der weiteren politischen Debatte.