Polen integriert Daten des MyDr-Datenlecks in nationales Portal für 19 Millionen Bürger

Regierungsportal zur Überprüfung gestartet

Am 29. August 2026 aktualisierte die polnische Regierung ihr Überprüfungsportal unter bezpiecznedane.gov.pl und nahm darin Informationen aus dem Datenleck beim Medizinsoftware-Unternehmen MyDr auf. Der Vorfall betraf personenbezogene Daten von 19 Millionen polnischen Bürgern in 12.000 öffentlichen und privaten Gesundheitseinrichtungen. Starker Nutzerverkehr nach dem Update zwang das System, Besucher in eine virtuelle Warteschlange zu stellen, um die Serverkapazität zu verwalten. Nutzer können die Plattform kostenlos nutzen, indem sie sich über die mObywatel-App, das elektronische Banking, einen elektronischen Personalausweis oder ein vertrauenswürdiges Profil authentifizieren.

Das System ermöglicht es Einzelpersonen zu prüfen, ob ihre nationale Identifikationsnummer (PESEL), Telefonnummer oder E-Mail-Adresse in den kompromittierten Datenbanken aufgetaucht sind. Polnische Sicherheitsbehörden bestätigten, dass zwar ein Unbefugter in die MyDr-Systeme eingedrungen sei, die Behörden jedoch keine Hinweise darauf gefunden hätten, dass die gestohlenen Dateien online veröffentlicht wurden.

Umfang der offengelegten Informationen

Das Regierungsportal gibt nur eine binäre Bestätigung darüber, ob die persönlichen Identifikatoren einer Person Teil des Lecks waren. Es speichert keine Krankenakten, Verschreibungshistorien oder Besuchsnotizen. Patienten, die Details zu den betroffenen medizinischen Aufzeichnungen erfahren möchten, müssen sich direkt an ihre jeweilige Arztpraxis oder Klinik wenden. Der Leiter des Amtes für den Schutz personenbezogener Daten, Mirosław Wróblewski, erläuterte die rechtlichen Beschränkungen des staatlichen Überprüfungstools.

Die gesetzlichen Bestimmungen legen eindeutig fest, welche Datenkategorien auf dem Portal Bezpieczne Dane verarbeitet werden dürfen. Der Staat, konkret CSIRT NASK, das dieses System verwaltet, kann von den Administratoren oder Verarbeitern keinerlei Informationen über Krankengeschichten, medizinische Verfahren oder Patientenverschreibungen verlangen. Es wird nur gewöhnliche, grundlegende Daten geben, die es den Bürgern ermöglichen, sich zu identifizieren und festzustellen, ob der Vorfall sie betrifft: Nachname, Geburtsdatum, Wohnadresse, Geschlecht, Geburtsort, Telefonnummer und PESEL-Nummer. Dies ist der Mindestsatz an Informationen, der eine Überprüfung auf einfacher Ja-Nein-Basis ermöglicht: Ihre Daten sind durchgesickert oder nicht.

Chronologie und Systemzugang

Der Sicherheitsvorfall begann Anfang August 2026, als unbefugte Akteure in das von MyDr betriebene System für elektronische Gesundheitsakten eindrangen. Die Täter versuchten am 5. August, Kontakt mit dem Unternehmen aufzunehmen, aber nachdem sie keine Antwort erhielten, gaben sie die Daten am 10. August an das Cybersicherheitsportal Zaufana Trzecia Strona weiter. Das Ministerium für Digitalisierung bestätigte den Vorfall öffentlich am 12. August und wies die Bürger an, vorbeugende Sicherheitsmaßnahmen zu ergreifen, während technische Teams und die Polizei das Überprüfungsregister vorbereiteten.

Ermittlungen und Sicherheitshinweise

Das Zentrale Cyberkriminalitätsamt führt unter der Aufsicht der Staatsanwaltschaft Warschau ein strafrechtliches Ermittlungsverfahren durch. Die Untersuchung konzentriert sich auf den unbefugten Zugriff auf das IT-System und die rechtswidrige Datenübertragung, Straftaten, die mit einer Höchststrafe von drei Jahren Gefängnis geahndet werden. Das Amt für den Schutz personenbezogener Daten leitete eine aufsichtsrechtliche Prüfung bei MyDr ein, um die technischen Maßnahmen, organisatorischen Kontrollen und Risikoanalyseverfahren des Unternehmens zu bewerten.

Vizeminister für Digitalisierung Dariusz Standerski kündigte Gesetzesreformen an, um die gesetzlichen Haftungen für Organisationen, die medizinische Daten verarbeiten, zu erhöhen. Vizeminister Michał Gramatyka verteidigte den Zeitplan des Portalstarts gegen öffentliche Kritik wegen Verzögerungen und verwies auf die notwendige Koordination mit den Strafverfolgungsbehörden. Das Gesundheitsministerium und Cybersicherheitsbehörden empfehlen den Bürgern, ihre PESEL-Nummern über mObywatel oder die gov.pl-Website einzufrieren, um unbefugte finanzielle Verpflichtungen zu verhindern, die Multi-Faktor-Authentifizierung zu aktivieren und auf verdächtige Telefonanrufe oder Phishing-Versuche zu achten.