Einbruch in Polens Patientenakten-System: Erpresser sprechen von 18,8 Millionen Menschen

Angreifer behaupten, 2,5 Terabyte aus MyDr geholt zu haben, einem der grössten Anbieter von Software für elektronische Patientenakten in Polen, und darin lägen 18 814 422 eindeutige PESEL-Nummern, die polnische Personenkennziffer. Das ist etwa die Hälfte des Landes. Das Unternehmen bestätigt einen Vorfall und sagt, es kläre den Umfang; einen Datendiebstahl bestätigt es nicht. Der für Digitales zuständige Vizepremier erklärte, die Behörden prüften die Umstände.

Wie es ans Licht kam

Am Samstag meldete sich bei dem polnischen Sicherheitsportal Zaufana Trzecia Strona jemand, der Daten von mehr als 18 Millionen Menschen aus medizinischen Systemen zu besitzen behauptete. Die Redaktion nahm das ernst, nahm direkten Kontakt auf und informierte die zuständigen Stellen. Was sie danach veröffentlichte, ist der entscheidende Teil, denn es ist bislang die einzige unabhängige Prüfung, die jemand vornehmen konnte.

Als Beleg kam ein Screenshot von Datenbankeinträgen zu einem der bekanntesten Politiker Polens: korrektes Geburtsdatum, PESEL, Vor- und Nachname sowie zwei Telefonnummern, von denen die Journalisten eine aus anderen Quellen bestätigen konnten. Die im Eintrag genannte Region der Gesundheitskasse stimmte. Dazu kam ein Rezept über ein bestimmtes Medikament, das von aussen niemand überprüfen kann. Die Angreifer schickten ausserdem den Eintrag des Autors selbst: PESEL stimmte, die Region stimmte, im Telefonfeld stand 111111111, der übliche Platzhalter von Praxen, die nicht alle Felder ausfüllen wollen.

Erpressung im Gewand eines Audits

Die Angreifer zeigten auch eine Nachricht, die sie nach eigener Aussage am 5. August an den Geschäftsführer des Unternehmens schickten, dem die Plattform gehört. Sie enthielt einen Link zu einer PDF-Datei, die sich nach dem Download selbst löschen sollte und es nicht tat: die Journalisten öffneten denselben Link Tage später. Die Datei war passwortgeschützt, und das Passwort war die PESEL-Nummer des Geschäftsführers, zu erraten war da nichts. Drinnen lagen dieselben Belege und die Bitte um Kontakt, das Ganze verpackt als Angebot, die Ergebnisse eines Sicherheitsaudits zu kaufen.

Aus diesem Detail folgen zwei Dinge. Die Erpressung ist professionell in der Form und dilettantisch in der eigenen Sicherheit. Und die Kennziffer, um die sich die ganze Geschichte dreht, ist so vorhersehbar, dass ausgerechnet der Chef jener Firma sie als Passwort benutzte.

Was bestätigt ist und was nicht

Warum eine Patientenakte schlimmer ist als ein Passwort

Ein Passwort ist ein Merkmal, das man in einer Minute ersetzt. Eine PESEL wird einmal vergeben, und die Krankheit hinter einem Rezept ist überhaupt kein Zugangsdatum, sondern eine Tatsache über einen Menschen. Ein geleaktes Paar aus Personenkennziffer und Rezepthistorie gibt einem Fremden zweierlei zugleich: genug, um sich bei einer Behörde als Sie auszugeben, und genug, um Sie still unter Druck zu setzen.

Die Rezepte sind dabei die scharfe Kante. Eine einzige Zeile mit einem Medikamentennamen kann eine psychiatrische Diagnose verraten, einen HIV-Status, einen Schwangerschaftsabbruch, eine Suchtbehandlung. Im Normalfall schützt das die ärztliche Schweigepflicht, in einer schlechten Woche wird daraus eine Zeile in einer Datenbank, die herumgereicht wird.

Ein Anbieter, tausende Praxen

Die unbequeme Struktur kennt man aus jedem grossen Leck. Ärzte betreiben keine eigenen Datenbanken: sie tippen in das System, das ihre Praxis gekauft hat, und tausende Praxen kaufen dieselben wenigen Systeme. Das ist effizient und bedeutet zugleich, dass ein einziger Anbieter die Krankengeschichten eines halben Landes hält. MyDr gehört zur Gruppe ZnanyLekarz, diese wiederum zu DocPlanner, das in über einem Dutzend Ländern tätig ist, weshalb ein Vorfall bei einem polnischen Produkt weit über Polen hinaus aufmerksam gelesen wird. Hinweise darauf, dass Daten anderer Länder betroffen sind, gibt es bisher nicht.

Konzentration ist niemandes Fehler. So sieht ein gereifter Markt aus, und genau sie macht aus dem Einbruch bei einem Zulieferer ein nationales Ereignis.

Was man in Polen heute tun kann

1. Die eigene PESEL über die App mObywatel oder gov.pl sperren. Seit Juni 2024 müssen Banken das Register vor einer Kreditvergabe prüfen, eine gesperrte Nummer verhindert also Kredite auf Ihren Namen. Die Sperre lässt sich kurzzeitig aufheben, wenn sie wirklich stört.
2. Mit Phishing rechnen, das medizinische Details kennt. Ein Anrufer, der Ihre Praxis, Ihren Arzt und ein echtes Rezept nennt, ist überzeugender als der übliche Bankbetrug.
3. Keine Daten am Telefon bestätigen, nur weil ein Teil davon schon genannt wurde. Auflegen und die Einrichtung unter einer selbst herausgesuchten Nummer zurückrufen.
4. Einige Monate lang Bankbenachrichtigungen und Kreditauskünfte beobachten. Identitätsdiebstahl mit geleakter Kennziffer zeigt sich meist als Antrag, den Sie nie gestellt haben.

Ein VPN ist hier nicht das Werkzeug

Das gehört klar gesagt, denn nach jedem Leck werden Datenschutzwerkzeuge reflexhaft genannt. Ein VPN schützt Daten unterwegs zwischen Ihnen und einem Dienst. Diese Daten wurden am anderen Ende geholt, aus den Systemen, in denen Praxen sie speichern, und keine Einstellung auf dem Telefon hätte daran etwas geändert. Was hier hilft, liegt auf der institutionellen Seite: wie der Anbieter Daten speichert, wie schnell er Betroffene informiert und was die Aufsicht danach tut.