Französisches Krankenhaus erhält Geldbuße von 500.000 Euro wegen Datenpanne

Die französische Datenschutzbehörde hat gegen Hôpital privé de la Loire eine Geldbuße von 500.000 Euro verhängt, nachdem eine Datenpanne sensible Informationen von mehr als 727.000 Personen offengelegt hatte.

Die Datenpanne bei dem französischen Krankenhaus betraf 524.867 Patienten und 202.246 Personen, die als vertrauenswürdige Dritte aufgeführt waren. Die CNIL stellte fest, dass das Krankenhaus keine angemessenen Schutzmaßnahmen für die Daten umgesetzt hatte.

Datenpanne legte Daten von Hunderttausenden offen

Der Vorfall ereignete sich im Sommer 2025, nachdem sich ein Angreifer Zugang zum elektronischen Patientenaktensystem des Krankenhauses verschafft hatte.

Hôpital privé de la Loire ist ein Allgemeinkrankenhaus in Saint-Étienne und gehört zur Gesundheitsgruppe Ramsay Santé. Es bietet medizinische und chirurgische Behandlungen, Geburtshilfe, Krebsbehandlung, Intensivmedizin und Notfallversorgung an.

Der Angreifer entwendete sensible Daten von Personen, die im Krankenhaus behandelt worden waren, Patienten begleitet oder sie anderweitig unterstützt hatten.

CNIL stellt erhebliche Sicherheitsmängel fest

Die Untersuchung der CNIL stellte mehrere Verstöße gegen die DSGVO im Zusammenhang mit der Datenpanne bei dem französischen Krankenhaus fest.

Externe Nutzer, darunter niedergelassene Ärzte, konnten ohne ein virtuelles privates Netzwerk oder eine Multi-Faktor-Authentifizierung auf das System zugreifen. Darüber hinaus ermöglichten schwache Zugriffskontrollen einem kompromittierten Konto den Zugriff auf die Akten aller Patienten des Krankenhauses.

Die Aufsichtsbehörde stellte außerdem fest, dass dem Krankenhaus eine Überwachung in Echtzeit oder nahezu in Echtzeit fehlte. Dadurch konnte der Angreifer das System erkunden und über mehrere Tage hinweg große Datenmengen extrahieren, ohne entdeckt zu werden.

Das Krankenhaus informierte die betroffenen Patienten über die Datenpanne. Die 202.246 vertrauenswürdigen Dritten, deren Daten ebenfalls gestohlen wurden, wurden jedoch nicht direkt benachrichtigt.

Krankenhaus verstärkte seine Sicherheitsmaßnahmen

Die CNIL erklärte, dass Hôpital privé de la Loire während des Durchsetzungsverfahrens mehrere Sicherheitsverbesserungen eingeführt habe. Dennoch kam die Aufsichtsbehörde zu dem Schluss, dass die Organisation gegen ihre Verpflichtungen gemäß Artikel 32 und 34 der DSGVO verstoßen hatte.

Ein jugendlicher Hacker mit dem Alias „Marak“ bekannte sich zu dem Angriff. Der Angreifer soll sich den ersten Zugang über das Konto eines einzelnen Arztes verschafft haben, das Zugriff auf das interne System des Krankenhauses ermöglichte.

Der Angreifer soll versucht haben, die gestohlenen Daten für 2.000 bis 5.000 Euro zu verkaufen. Spätere Berichte deuteten darauf hin, dass die Daten weder verkauft noch veröffentlicht wurden.