Ein einzelnes Nutzerkonto hätte in einem Krankenhaus niemals zur Tür für sämtliche Patientendaten werden dürfen. Genau darin liegt der harte Kern der Entscheidung gegen das Hôpital Privé de la Loire. Nicht nur, dass ein Angreifer im Sommer 2025 Zugang zum computerisierten Patientendossier des Hauses erhielt. Nach den Feststellungen der französischen Datenschutzaufsicht CNIL konnte er über mehrere Tage in einem System suchen und große Datenmengen abziehen, ohne dass die Aktivität rechtzeitig auffiel.
Die Sanktion ist deshalb mehr als eine Geldbuße nach einem Cybervorfall. Die CNIL verhängte 500.000 Euro gegen das Krankenhaus, wie aus der Originalmeldung des EDPB hervorgeht. Die Begründung liest sich wie eine kurze Checkliste dessen, was bei sensiblen Gesundheitsdaten nicht fehlen darf: robuste Authentifizierung, begrenzte Zugriffsrechte, Erkennung auffälliger Aktivitäten und direkte Information aller Betroffenen.
Der Angriff war nicht der einzige Fehler
Nach Angaben der Aufsicht verschaffte sich ein Angreifer Zugang zum DPI, dem computerisierten Patientenüberblick des Hôpital Privé de la Loire. Dieses System bündelt Daten der behandelten Personen. Betroffen waren 524.867 Patienten, darunter auch Gesundheitsdaten, sowie 202.246 Personen, die von Patienten als „vertrauenswürdige Dritte“ benannt worden waren.
Der entscheidende Punkt ist nicht allein die Zahl. Entscheidend ist, warum der Zugriff so weit reichen konnte. Die CNIL stellte fest, dass das Authentifizierungsverfahren für externe Nutzer nicht ausreichend robust war. Gemeint waren insbesondere Nutzer außerhalb des Krankenhauses, darunter nicht an das Krankenhaus angeschlossene Ärzte. Es fehlten VPNs und Mehrfaktorauthentifizierung. Der Angreifer nutzte diese Schwachstelle aus.
Damit war das Problem aber nicht beendet. Es begann erst richtig. Die Zugriffspolitik des Krankenhauses berücksichtigte nach Darstellung der Behörde nicht das Prinzip des Behandlungsteams. Nur diejenigen Fachkräfte, die tatsächlich an der Versorgung eines Patienten beteiligt sind, sollten Zugriff auf Informationen haben, die unter das ärztliche Geheimnis fallen. Diese Begrenzung fehlte in ausreichender Form. Das Ergebnis: Mit den Zugangsdaten eines einzigen Nutzerkontos konnte der Angreifer auf Daten aller Krankenhauspatienten zugreifen.
In Kliniken ist Zugriffskontrolle keine Formalie
Viele Sicherheitsvorfälle werden nach außen als Einbruch erzählt: Jemand kommt hinein, also war der Schutzwall zu schwach. Im Gesundheitswesen ist diese Sicht zu grob. Klinische IT-Systeme sind darauf ausgelegt, viele Berufsgruppen, externe Ärzte, wechselnde Behandlungssituationen und hohe Verfügbarkeit zu unterstützen. Genau deshalb entscheidet nicht nur der Login über das Risiko, sondern die Frage, was nach dem Login erlaubt ist.
Ein korrekt begrenztes Berechtigungsmodell reduziert den Schaden, wenn ein Konto kompromittiert wird. Es verhindert den Vorfall nicht zwingend. Aber es verhindert, dass aus einem kompromittierten Zugang ein Zugriff auf den gesamten Datenbestand wird. Die CNIL beschreibt in diesem Fall genau diese Eskalation: fehlende starke Authentifizierung am Eingang, danach eine zu breite Berechtigung innerhalb des Systems.
Das ist operativ unangenehm, weil solche Mängel selten mit einem einzelnen Produktkauf erledigt sind. Mehrfaktorauthentifizierung lässt sich einführen. VPN-Zugänge lassen sich erzwingen. Ein Berechtigungsmodell entlang tatsächlicher Behandlungsteams ist schwieriger. Es verlangt saubere Rollen, gepflegte Zuordnungen, Prozesse für Ausnahmen und die Bereitschaft, klinische Bequemlichkeit gegen Datenschutzrisiko abzuwägen.
Das System bemerkte den Zugriff zu spät
Zur technischen Sicherheitslage kam ein zweiter Befund. Das Krankenhaus hatte nach Angaben der CNIL keine Maßnahmen eingerichtet, um verdächtige Aktivität im e-Health Patient Summary in Echtzeit oder zumindest sehr kurzfristig zu erkennen und bei Bedarf Alarm auszulösen. Dadurch konnte der Angreifer das System mehrere Tage erkunden und sehr viele Daten extrahieren, ohne dass die ungewöhnliche Aktivität erkannt wurde.
Auch das ist für Gesundheits-IT zentral. Krankenhäuser können nicht nur auf Prävention setzen. Sie müssen davon ausgehen, dass Zugangsdaten missbraucht werden können, gerade wenn externe Nutzer angebunden sind. Dann wird Protokollierung, Mustererkennung und Alarmierung zur Schadensbegrenzung. Wer ungewöhnlich breite Abfragen, massenhafte Zugriffe oder auffällige Nutzungsmuster nicht zeitnah sieht, verliert die Möglichkeit, den Vorfall klein zu halten.
Die CNIL wertete diese fehlende Erkennung ausdrücklich als Faktor, der das Ausmaß der Datenschutzverletzung vergrößerte. Das ist ein wichtiger Akzent. Eine Behörde betrachtet hier nicht nur, ob ein Angreifer hineinkam. Sie bewertet auch, ob die Organisation den Angriff hätte begrenzen können.
Benachrichtigung ist Teil der Sicherheitskette
Der Fall endet nicht bei Artikel 32 DSGVO, also der Sicherheit der Verarbeitung. Die CNIL stellte auch einen Verstoß gegen Artikel 34 fest. Das Krankenhaus informierte demnach zwar die betroffenen Patienten direkt. Die 202.246 als vertrauenswürdige Dritte bezeichneten Personen wurden aber nicht direkt benachrichtigt, obwohl auch ihre personenbezogenen Daten gestohlen worden waren.
Das wirkt administrativ, ist aber praktisch relevant. Datenschutz endet nach einem Vorfall nicht mit der internen Meldung oder der Kommunikation an die offensichtlichste Gruppe. Wenn weitere Personen im Datensatz stehen, sind auch sie Betroffene. Gerade in medizinischen Kontexten können solche Drittdaten aus Kontaktdaten, Vertrauensverhältnissen und organisatorischen Angaben bestehen. Die Aufsicht macht deutlich: Wer Daten speichert, muss im Ernstfall auch wissen, wen diese Speicherung betrifft.
Für andere Krankenhäuser liegt die Lehre nicht in der Höhe der Strafe allein. 500.000 Euro sind sichtbar, aber die Begründung ist wichtiger. Die CNIL nennt fehlendes Bewusstsein für grundlegende Sicherheitsprinzipien, die Zahl der Betroffenen, die Art der kompromittierten Daten und die finanziellen Kapazitäten des Hauses als berücksichtigte Faktoren.
Die eigentliche Prüfung beginnt vor dem Vorfall
Der Fall setzt einen nüchternen Maßstab für Gesundheitsanbieter: Externe Zugänge zu Patientensystemen brauchen starke Authentifizierung. Zugriffsrechte müssen eng an der tatsächlichen Behandlung hängen. Auffällige Aktivität muss schnell erkannt werden. Und Benachrichtigungsprozesse müssen alle betroffenen Personengruppen erfassen, nicht nur Patienten im engeren Sinn.
Das klingt selbstverständlich. In der Praxis ist es genau die Art von Sicherheitsarbeit, die häufig zwischen Klinikbetrieb, Alt-Systemen, externen Partnern und knappen IT-Ressourcen zerrieben wird. Die CNIL-Entscheidung zeigt, dass diese Umstände den Maßstab nicht aufheben. Wer Gesundheitsdaten zentralisiert, zentralisiert auch Verantwortung. Ein Login darf dann nicht mehr Rechte haben, als die konkrete Versorgung erfordert.
