Datenleck in Polen: Bis zu 19 Millionen Menschen könnten betroffen sein

Bei einem mutmaßlichen Cyberangriff auf das polnische Gesundheits-IT-System MyDr könnten Daten von bis zu 19 Millionen Menschen abgeflossen sein. Nach Angaben des polnischen Digitalministers und Vizepremierministers Krzysztof Gawkowski umfasst der Datensatz rund zwei Terabyte und könnte unter anderem PESEL-Nummern, Angaben zu Rezepten, Arztbesuchen und medizinischen Informationen enthalten. Noch ist allerdings nicht abschließend geklärt, wie viele Personen tatsächlich betroffen sind. MyDr erklärte, die möglicherweise kompromittierten Daten stammten wahrscheinlich aus dem Jahr 2024 oder früher.

Was ist beim MyDr-Datenleck passiert?

Nach den bisher vorliegenden Angaben arbeiten polnische Sicherheitsbehörden an der Aufklärung des Vorfalls. Gawkowski erklärte, die Behörden wüssten bereits, an welcher Stelle des Systems eine Schwachstelle gelegen habe und welche Bereiche des Systemmanagements versagt hätten. Diese Schwachstellen seien inzwischen geschlossen worden.

Der Minister betonte zugleich, die möglicherweise gestohlenen Daten seien derzeit nicht öffentlich zugänglich und würden nach seinen Angaben weder offen zum Verkauf angeboten noch für ein bekanntes Erpressungsszenario verwendet. Die Sicherheitsbehörden überwachten die Situation.

Wichtig ist dabei die Unterscheidung zwischen einem möglichen Datenabfluss und einer bestätigten Veröffentlichung. Dass eine große Datenmenge entwendet wurde, bedeutet nicht automatisch, dass sämtliche Informationen bereits öffentlich im Internet stehen.

MyDr selbst bezeichnet sich als Plattform für den Zugriff auf medizinische Daten und bietet unter anderem Terminverwaltung, elektronische Rezepte, elektronische Krankschreibungen sowie den Zugriff auf die Krankengeschichte an. Für Arztpraxen dient MyDr zudem als System für elektronische medizinische Dokumentation.

Datenleck in Polen – Welche Daten könnten betroffen sein?

Besonders brisant ist die mögliche Kombination verschiedener Datentypen. Nach den Angaben zum Vorfall könnten dazu gehören:

PESEL-Nummern,
Informationen zu ausgestellten Rezepten,
Angaben zu Arztbesuchen,
medizinische beziehungsweise gesundheitliche Informationen,
weitere personenbezogene Patientendaten.

Die genaue Zusammensetzung und der Umfang sind allerdings noch Gegenstand der Untersuchung. MyDr erklärte nach den vorliegenden Angaben, dass es sich wahrscheinlich um historische Daten aus 2024 und früher handelt und möglicherweise nicht sämtliche Kunden oder Patienten des Dienstes betroffen sind.

Die technische Dokumentation des MyDr-Systems zeigt, dass die Plattform grundsätzlich mit besonders sensiblen Patientendaten arbeitet, darunter PESEL-Nummern, Kontaktdaten, Geburtsdaten und Informationen zu elektronischen Rezepten.

Warum Gesundheitsdaten besonders gefährlich sind

Ein Verlust medizinischer Daten unterscheidet sich erheblich von einem gewöhnlichen Diebstahl von E-Mail-Adressen oder Telefonnummern. Informationen über Krankheiten, Medikamente, Behandlungen oder Arztbesuche können intime Lebensbereiche offenlegen und lassen sich nach einem Datenabfluss nicht einfach austauschen.

Der polnische Sicherheitsexperte Adam Haertle bezeichnete den möglichen Umfang des Vorfalls deshalb als besonders gravierend. Medizinische Informationen könnten seiner Einschätzung nach unter anderem für Erpressung, Bloßstellung oder gezielte Manipulation missbraucht werden.

Ein weiteres Risiko entsteht durch die Kombination mit anderen personenbezogenen Informationen. Wer neben einer PESEL-Nummer auch Namen, Kontaktdaten und möglicherweise Gesundheitsinformationen kennt, kann glaubwürdige Phishing- oder Social-Engineering-Angriffe durchführen.

Für Betroffene kann beispielsweise eine gefälschte Nachricht besonders überzeugend wirken, wenn ein Angreifer bereits weiß, bei welchem Arzt eine Person war oder welche Art von Rezept sie erhalten hat.

Was können Betroffene jetzt wegen Datenleck in Polen tun?

Nach den vorliegenden Informationen arbeiten die polnischen Behörden daran, eine Möglichkeit zu schaffen, mit der Bürger überprüfen können, ob ihre Daten Teil der betroffenen Datensätze sind. Diese staatliche Überprüfung soll jedoch erst nach der rechtssicheren Sicherung und Verarbeitung der Daten erfolgen.

Bis dahin sollten Betroffene besonders vorsichtig mit unerwarteten Nachrichten, Telefonanrufen und E-Mails sein, die sich auf medizinische Behandlungen, Rezepte oder angebliche Zahlungen beziehen.

Eine wichtige Schutzmaßnahme betrifft die PESEL-Nummer. In Polen besteht die Möglichkeit, die PESEL-Nummer vor bestimmten wirtschaftlichen beziehungsweise finanziellen Vorgängen zu schützen beziehungsweise zu sperren. Der Sicherheitsexperte Haertle empfiehlt diese Maßnahme unabhängig davon, ob die eigene Person letztlich vom aktuellen Datenleck betroffen ist.

Besonders wichtig: Eine PESEL-Sperre kann die möglichen Folgen eines medizinischen Datenlecks nicht vollständig verhindern. Sie schützt vor bestimmten Formen des Identitätsmissbrauchs, kann aber nicht bereits abgeflossene Gesundheitsinformationen zurückholen.

Staat will nicht mit Hackern verhandeln

Gawkowski erklärte, die polnischen Behörden würden nicht mit den mutmaßlichen Angreifern verhandeln und kein Lösegeld zahlen. Ziel sei es, die Verantwortlichen zu identifizieren und die betroffenen Daten zu sichern.

Die Ermittlungen sollen außerdem klären, wie genau es zum Datenabfluss kommen konnte. Nach Darstellung des Ministers gibt es bislang keine Hinweise darauf, dass ausländische staatliche Akteure hinter dem Vorfall stehen.

Für die polnische Regierung ist der Fall damit nicht nur ein Datenschutzproblem, sondern auch eine Frage der nationalen Cybersicherheit. Gesundheitsplattformen verarbeiten besonders große Mengen hochsensibler Informationen und sind deshalb attraktive Ziele für Cyberkriminelle.

Was bedeutet der Vorfall für Europa und Deutschland?

Auch deutsche Nutzer sollten den Fall aufmerksam verfolgen. Der Vorfall zeigt ein grundsätzliches Problem der zunehmenden Digitalisierung des Gesundheitswesens: Je mehr medizinische Informationen elektronisch gespeichert und zwischen verschiedenen Systemen verarbeitet werden, desto wichtiger werden sichere Schnittstellen, Zugriffskontrollen und eine klare Verantwortung für Datenverarbeiter.

Für Unternehmen im deutschen Gesundheitswesen ist der Fall zudem ein Hinweis auf die Bedeutung der Lieferketten. Nicht nur Kliniken und Arztpraxen selbst müssen ihre Systeme absichern. Auch externe Anbieter von Praxissoftware, elektronischer Dokumentation und digitalen Gesundheitsdiensten können Zugriff auf hochsensible Patientendaten haben.

Für Patienten bleibt eine praktische Regel entscheidend: Medizinische Informationen sollten niemals als gewöhnliche personenbezogene Daten betrachtet werden. Selbst wenn ein Angreifer mit einer gestohlenen Information zunächst keinen unmittelbaren finanziellen Schaden verursachen kann, kann ihre Kombination mit anderen Daten später erheblich gefährlicher werden.

Wegen Datenleck in Polen ist die entscheidende Frage noch offen

Noch ist nicht abschließend geklärt, wie viele Menschen tatsächlich betroffen sind und welche konkreten Datensätze entwendet wurden. Die Zahl von bis zu 19 Millionen Personen ist deshalb als mögliche Größenordnung und nicht als endgültige Zahl der Betroffenen zu verstehen.

Ebenso ist derzeit nicht bestätigt, dass die gestohlenen Daten öffentlich verfügbar sind. Die polnischen Behörden betonen vielmehr, dass sie die Situation überwachen und die weitere Verbreitung verhindern wollen.

Die nächsten wichtigen Schritte sind deshalb die forensische Untersuchung des Angriffs, die genaue Eingrenzung des Datensatzes und eine zuverlässige Benachrichtigung der tatsächlich betroffenen Personen. Erst danach wird sich das tatsächliche Ausmaß des Vorfalls beurteilen lassen.

Für die Öffentlichkeit ist der Fall dennoch bereits jetzt ein Warnsignal: Bei einem Gesundheitsdatenleck geht es nicht nur um Passwörter oder Kontaktdaten, sondern möglicherweise um Informationen, die Menschen ein Leben lang begleiten. Gerade deshalb sind Transparenz, schnelle Aufklärung und konkrete Schutzmaßnahmen für Betroffene entscheidend.