Schweden verhängt Geldbuße gegen Miljödata nach Datenverstoß mit 2,2 Millionen Betroffenen

Schwedens Datenschutzbehörde hat gegen den Softwareanbieter Miljödata nach einem Cyberangriff im August 2025 eine Geldbuße von 1,8 Millionen SEK, etwa 183.000 US-Dollar, verhängt. Nach Angaben des Unternehmens waren von dem Miljödata-Datenverstoß 2,2 Millionen Menschen betroffen.

Die als IMY bekannte Aufsichtsbehörde stellte fest, dass Miljödata keine angemessene Sicherheit für die sensiblen personenbezogenen Daten in seinen Systemen gewährleistet hatte.

Angriff legte Gesundheits- und Identitätsdaten offen

Miljödata bietet Organisationen in ganz Schweden Software für Arbeitsplatz- und Personalverwaltung an. Zu seinen Kunden gehören Kommunen, Regionalbehörden, staatliche Behörden und private Unternehmen.

Während des Angriffs im August 2025 erlangte ein Bedrohungsakteur Zugriff auf eine große Menge personenbezogener Daten. Die gestohlenen Daten tauchten später unter dem Namen „Datacarry“ im Dark Web auf.

Die Datensätze enthielten persönliche Identifikationsnummern und Kontaktdaten. Sie umfassten außerdem Informationen über krankheitsbedingte Abwesenheiten, Rehabilitation und Vorfälle mit Schülern.

Der Angreifer forderte 1,5 Bitcoin, um die Veröffentlichung der Daten zu verhindern. Trotz dieser Forderung erschienen die Informationen im Internet. Der Datenverstoß störte außerdem Dienste, die von zahlreichen schwedischen Kommunen und anderen Organisationen genutzt wurden.

Aufsichtsbehörde stellt Sicherheitsmängel fest

IMY leitete im November 2025 eine Untersuchung ein, um die Sicherheitspraktiken von Miljödata zu bewerten. Die Überprüfung ergab zwei erhebliche Mängel.

Erstens führte das Unternehmen bei der Installation neuer Software keine ausreichenden Kontrollen durch. Zweitens fehlte eine automatisierte Echtzeitüberwachung, um Eindringversuche und verdächtige Aktivitäten zu erkennen.

IMY bewertete diese Maßnahmen angesichts der Menge und Sensibilität der von Miljödata verarbeiteten Daten als unzureichend. Die Aufsichtsbehörde kam zu dem Schluss, dass das Unternehmen fahrlässig gehandelt und gegen Artikel 32 Absatz 1 der Datenschutz-Grundverordnung der EU verstoßen hatte.

Infolgedessen verhängte IMY eine Geldbuße von 1,8 Millionen SEK. Die Entscheidung betrifft die Sicherheitsverpflichtungen von Miljödata und weist keine Verantwortung für den Angriff selbst zu.

Untersuchungen bei Kunden des öffentlichen Sektors dauern an

Der Miljödata-Datenverstoß betraf Kunden in ganz Schweden. Laut IMY gehörten die meisten schwedischen Kommunen zu den betroffenen Organisationen, ebenso wie mehrere Regionen, staatliche Behörden und private Unternehmen.

Die Aufsichtsbehörde hat außerdem separate Untersuchungen gegen zwei Kommunen und eine Region im Zusammenhang mit dem Vorfall eingeleitet. Diese Untersuchungen dauern an, und IMY hat ihre Ergebnisse noch nicht bekannt gegeben.

Der Fall zeigt, wie ein Angriff auf einen einzigen Softwareanbieter Informationen offenlegen kann, die für zahlreiche Kunden gespeichert werden. Er unterstreicht außerdem, wie wichtig es ist, Softwareänderungen zu überprüfen und verdächtige Aktivitäten beim Umgang mit sensiblen Daten frühzeitig zu erkennen.