Polen bestätigt Datenleck von 2 TB und fast 19 Millionen PESEL auf der medizinischen Plattform MyDr

Der stellvertretende Ministerpräsident und Minister für Digitalisierung Polens, Krzysztof Gawkowski, bestätigte am Mittwoch den Diebstahl von Daten, die mit fast 19 Millionen Bürgern aus dem System MyDr verknüpft sind, einem der größten Betreiber elektronischer Patientenakten im Land. Laut der Mitteilung des Ministeriums für Digitalisierung und der staatlichen Agentur PAP wurden mehr als 2 Terabyte an Daten exfiltriert. Die Angreifer beanspruchen den Besitz von 18.814.422 einzigartigen PESEL-Nummern, dem polnischen nationalen Identifikator.

MyDr wird von etwa 12.000 Kliniken und Arztpraxen in ganz Polen genutzt. Die betroffenen Daten gehen über den grundlegenden Identifizierungskatalog hinaus: ausgestellte Rezepte, Terminkalender, klinische Akten, registrierte Medikamente und Postanschriften. Gawkowski bezeichnete den Vorfall als einen der größten Vorfälle in der Geschichte des Landes und empfahl öffentlich, dass Bürger die Nutzung des PESEL einschränken, bis der endgültige Umfang des Lecks ermittelt ist.

Der Umfang

CERT Polska, das Zentralbüro zur Bekämpfung der Cyberkriminalität und das Büro für den Datenschutz (UODO) haben eine gemeinsame Ermittlung eingeleitet. Das Ministerium richtete das Portal Bezpieczne Dane (Sichere Daten) ein, damit Bürger überprüfen können, ob sie in der betroffenen Datenbank sind. Bis zum Zeitpunkt der Veröffentlichung dieses Artikels hatte MyDr weder eine eigene Mitteilung veröffentlicht, die den Zugangspfad, Fristen für die Eindämmung oder einen Plan zur obligatorischen individuellen Benachrichtigung gemäß der DSGVO bei Vorfällen mit sensiblen Gesundheitsdaten detailliert.

Die Regierung meidet es, den Angriff einem ausländischen Staat zuzuschreiben. Gawkowski erklärte, die Ursache könnte menschliches Versagen, ein systemisches Versagen, Sabotage oder Nachlässigkeit des beauftragten Unternehmens sein. Die Wahl der Sprache ist rechtlich von Bedeutung: Die Charakterisierung als Fehlverhalten des Betreibers setzt MyDr größeren administrativen Sanktionen gemäß Artikel 83 der DSGVO aus, mit einer Obergrenze von 4% des weltweiten Jahresumsatzes.

Ein sich wiederholendes Muster

Die betroffene Anordnung ist in fast ganz Europa die gleiche: Eine ausgelagerte Plattform konzentriert die elektronische Patientenakte eines Netzes von unabhängigen Kliniken, mit losem föderierten Zugangskontroll zwischen den Einheiten und wenig individueller Sichtbarkeit der Sicherheitslage jedes Knotens. Ein einziges kompromittiertes Zugangspasswort in einer kleinen Einheit stellt die aggregierten Daten offen.

Für den CIO in Europa wird der polnische Präzedenzfall zum operativen Fallbeispiel: die nationale Behörde hat den Vorfall in weniger als 72 Stunden bestätigt, residuelle Daten in staatliche Infrastruktur verschoben und öffentlich kommuniziert, bevor der Plattformbetreiber dies tat. Wenn sich diese Dynamik zum Standardreaktionsmuster der EU entwickelt, ändert sich die reputationsbezogene Kostenstruktur eines Vorfalls in Europa, und lastet mehr auf dem Anbieter als auf dem Staat oder der Klinik als Kunde.

Über Polen hinaus

In Deutschland verstärken das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Gesundheitsministerium die Anforderungen an Betreiber der Telematik-Infrastruktur, dem Rückgrat der elektronischen Patientenakte in Deutschland. Ein Vorfall wie MyDr verlagert den politischen Druck sofort, um Audits über die Gematik und die privaten Betreiber, die das Netz integrieren, zu beschleunigen.

In Brasilien operiert der private Gesundheitssektor mit elektronischen Patientenakten in einem identischen Modell zum MyDr: spezialisierte SaaS, die unabhängige Kliniken und Gesundheitspläne aggregieren. Anbieter wie Feegow, iClinic, MV Sistemas und Tasy von Philips bedienen Tausende von Einrichtungen und konzentrieren Identifikationsdaten, CPF und klinische Historien in einem einzigen Betreiber. Die Nationale Datenschutzbehörde hat die Anforderungen an die Sicherheitsstandards für Gesundheitsdaten verschärft, und die Anvisa verlangt einen Incident-Response-Plan bei der Erneuerung von Krankenhauslizenzen. Der Fall MyDr beschleunigt diese Debatte.

In den Vereinigten Staaten operiert der Sektor weiterhin unter der Reaktion auf den Angriff von Change Healthcare, der 2024 die Krankenhausabrechnung lahmlegte und eine Überprüfung der Verträge zwischen Zahlern, Anbietern und EHR-Anbietern erforderte. Die Theorie, die der amerikanische CISO dem Vorstand seit achtzehn Monaten verkaufen will, erhält nun ein aktuelles und überprüftes europäisches Beispiel.

Beratungsunternehmen und Underwriter unter Beschuss

Die finanzielle Betrachtung ist ebenfalls wichtig. Beratungsunternehmen und Cyber-Versicherer müssen zwei Blöcke schnell neu bewerten. Deloitte, PwC und KPMG halten Sicherheitspraktiken im Gesundheitswesen mit Verträgen, die nach Risiko pro Anbieter indexiert sind; wenn der Anbieter die primäre Verantwortung übernimmt, steigen die Kosten der Bewertungen. Underwriter wie AIG, Chubb und Munich Re, die Ausschlüsse für Vorfälle auf aggregierenden Plattformen verschärfen, erhalten sofortige Argumente, um die Selbstbehalte bei SaaS-Betreibern von EHR im nächsten Erneuerungszyklus zu erhöhen. Für den CFO des Anbieters einer medizinischen Plattform bedeutet dies, dass die Kapitalkosten und die Prämienkosten in dieselbe Richtung tendieren.

Der entscheidende Punkt ist operativ. Die polnische Krise hat gezeigt, dass der Staat schneller kommunizieren kann als der kommerzielle Betreiber und dabei den Schadensvektor der Reputation umkehrt. Europäische und brasilianische Anbieter klinischer Plattformen, die noch keinen öffentlichen Reaktionsplan innerhalb von 72 Stunden erstellt haben, haben gerade eine informelle Frist erhalten, die durch die Erwartungen, die der Fall MyDr geschaffen hat, auferlegt wurde.