Was geschehen ist
Zwischen Juni und Juli 2025 nutzte ein Angreifer die kompromittierten Zugangsdaten eines Arztes, um in die elektronische Patientenakte des Hôpital privé de la Loire zu gelangen. In fünf Tagen entnahm er die Daten von 524.867 Patientinnen und Patienten, bei einem Teil davon auch Gesundheitsdaten, sowie von 202.246 als Vertrauensperson benannten Personen: insgesamt mehr als siebenhunderttausend Menschen. Am 3. September 2026 verhängte die CNIL 500.000 Euro wegen Verstoßes gegen die Sicherheitspflicht.
Die Zahl, auf die es ankommt, ist nicht fünfhunderttausend Euro und auch nicht siebenhunderttausend Menschen. Es ist dreiundsiebzig: Patientenakten, die jede Minute abgezogen wurden, fünf Tage hintereinander, ohne dass ein einziger Alarm auslöste. Ein solches Tempo gleicht nichts, was ein Mensch arbeitend hervorbringt, und ein System, das es nicht von normaler Arbeit unterscheiden kann, ist kein überwachtes System.
- Der Zugang erfolgte mit legitimen, anderswo kompromittierten Zugangsdaten eines Arztes: aus Sicht des Systems war es eine berechtigte Anmeldung.
- Auf der Patientenakte war keine Mehr-Faktor-Authentifizierung aktiv, die diese Zugangsdaten allein wertlos gemacht hätte.
- Es gab kein Werkzeug, das auffälliges Verhalten hätte erkennen können: keine Schwellenwerte, keine Warnungen, keine von jemandem gelesenen Protokolle.
- Die CNIL ordnete die Überprüfung der Zugriffsberechtigungen binnen fünfzehn Monaten und eine wirksame Zugriffsprotokollierung binnen drei Monaten an, mit einem Zwangsgeld von 1.000 Euro je Verzugstag.
Die beiden Anordnungen zeigen, wie die Behörde den Fall gelesen hat. Drei Monate für die Protokolle, fünfzehn für die Berechtigungen: die unterschiedlichen Fristen sind kein Entgegenkommen, sie sind eine Priorität. Zu überprüfen, wer in einem Krankenhaus was sehen darf, ist lange Arbeit und muss gründlich geschehen; zu bemerken, dass jemand das Archiv herunterlädt, muss sofort möglich sein.
Die Frage, die man dem Mandanten am Montag stellt
Nicht «sind wir geschützt», worauf es keine Antwort gibt. Die Frage lautet: wenn sich heute Nacht jemand mit den Zugangsdaten einer Ihrer Beschäftigten anmeldete und begänne, das Archiv herunterzuladen, wie lange würde es dauern, bis es jemandem auffällt — und wer wäre dieser Jemand, mit Namen. Lautet die Antwort «das sähen wir in den Protokollen», ist die zweite Frage, wann er zuletzt hineingesehen hat. Ein Protokoll, das niemand liest, ist ein Beweis im Nachhinein und keine Sicherheitsmaßnahme.
Art. 32 verlangt dem Risiko angemessene Maßnahmen, und bei einem Gesundheitsarchiv besteht das Risiko nicht nur darin, dass jemand hineinkommt: sondern dass er unbemerkt darin bleibt. Prävention hat eine bekannte Grenze — Zugangsdaten werden gestohlen, und diese waren anderswo gestohlen worden — während Erkennung das Einzige ist, was arbeitet, nachdem die Prävention bereits versagt hat. Es ist der Teil, der im Budget immer an zweiter Stelle kommt, und es ist der Teil, den die CNIL gemessen hat.
Offizielle Quelle:CNIL — Verletzung des Schutzes von Gesundheitsdaten: 500.000 Euro gegen das Hôpital privé de la Loire (03.09.2026)Offizielle Quelle:CNIL — Health data breach: EUR 500,000 fine against Hôpital privé de la LoireSuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
