DSGVO, Phishing, KSC/NIS2 und die Verantwortung des Vorstands – warum ein Cyberangriff nicht mit dem angegriffenen Server endet.
Stellen wir uns eine SMS vor:
„Guten Morgen. Aufgrund Ihres kürzlichen Besuchs in der Klinik bitten wir Sie, sich einzuloggen, um Ihr Rezept zu bestätigen. Der Link ist 24 Stunden lang aktiv.“
Der Name stimmt. Die Einrichtung stimmt. Der Besuch hat tatsächlich stattgefunden. Der Patient hat vor Kurzem tatsächlich ein Rezept erhalten.
Würdest du klicken?
Genau das ist das Problem mit medizinischen Datenlecks. Cyberkriminelle müssen nicht mehr raten, bei welcher Bank wir ein Konto haben, ob wir auf ein Paket warten oder ob wir Kunde eines bestimmten Anbieters sind. Wenn sie echte Daten über unsere Gesundheit, Termine und Rezepte besitzen, können sie eine Nachricht erstellen, die nicht wie ein Phishing-Versuch aussieht.
Es sieht aus wie die Realität.
Und deshalb ist der MyDr-Vorfall mehr als nur ein weiteres „Datenleck“. Er ist ein Beispiel für den Dominoeffekt in der Cybersicherheit.
Ein Element bricht zusammen – das System des IT-Anbieters. Augenblicke später haben Patienten mit Problemen zu kämpfen. Dann medizinische Einrichtungen. Dann Datenschutzbeauftragte, Compliance-Abteilungen und Vorstände. Schließlich tauchen auch noch Aufsichtsbehörden, die DSGVO und neue Verpflichtungen auf, die sich aus der Umsetzung der NIS2-Richtlinie durch die KSC ergeben.
Ein Cyberangriff. Mehrere verschiedene Krisen.
Erster Würfel: fast 19 Millionen Menschen
Das Ausmaß des Vorfalls ist schwer zu erfassen. Laut Informationen vom 12. August 2026 könnten durch den Vorfall im Zusammenhang mit dem MyDr-System die Daten von bis zu 19 Millionen Polen betroffen sein. Medienberichten zufolge umfasst die Datenbank etwa 2 Terabyte und enthielt angeblich unter anderem PESEL-Nummern, Verschreibungsinformationen, Termindaten und Krankengeschichten. Das System wird voraussichtlich von rund 12.000 Gesundheitseinrichtungen genutzt. Der Präsident des Amtes für den Schutz personenbezogener Daten (UODO) äußerte sich noch am selben Tag zu dem Vorfall. Das UODO spricht von Berichten über ein Datenleck, von dem „fast 19 Millionen Polen“ betroffen sind, und erinnert die Administratoren, die MyDr nutzen, an ihre Verantwortung.
Vorsicht ist geboten. Das volle Ausmaß des Vorfalls wird noch ermittelt, daher können sich die Informationen über die Anzahl der Betroffenen, den Umfang der kompromittierten Daten und den technischen Ablauf des Angriffs noch ändern.
Doch man weiß bereits genug, um eine wichtige Lehre daraus zu ziehen. Der größte Fehler wäre es, diesen Vorfall als Problem eines einzelnen Technologieunternehmens zu betrachten.
Denn der erste Dominostein hat bereits den nächsten zum Umstoßen gebracht.
Zweiter Würfel: Phishing – wer kennt die Wahrheit?
Die meisten von uns haben gelernt, einfache Phishing-Betrugsmaschen zu erkennen. „Ihr Paket kann nicht zugestellt werden.“ „Ihr Konto wird gesperrt.“ „Zahlen Sie zusätzlich 1,49 PLN.“.
Das Problem beginnt, wenn die Nachricht tatsächlich übereinstimmende Informationen enthält. Stellen Sie sich einen Cyberkriminellen vor, der einen Namen, eine Telefonnummer oder eine PESEL-Nummer mit Informationen über eine bestimmte Einrichtung, einen Termin oder eine Behandlung verknüpfen kann. Er muss dafür nicht Millionen von zufälligen Personen anschreiben.
Er kann eine bestimmte Person anschreiben. Und er kann etwas verwenden, das besser Vertrauen schafft als ein Banklogo – einen realen Teil ihres Lebens.
Die Folgen eines größeren Datenlecks enden daher nicht mit dem Kopieren der Datenbank. Die gestohlenen Informationen können über Monate oder Jahre hinweg für deutlich glaubwürdigere Social-Engineering-Angriffe genutzt werden. Mit Blick auf den MyDr-Vorfall warnte das Amt für den Schutz personenbezogener Daten (UODO) potenziell Betroffene vor SMS und E-Mails, die Phishing-Versuche darstellen könnten, und wies auf die Möglichkeit der Sperrung ihrer PESEL-Nummern hin.
Dies ist insbesondere im Gesundheitswesen von Bedeutung. Medizinische Daten haben zwei Werte. Der erste ist offensichtlich: Sie sind streng vertraulich. Der zweite ist weniger offensichtlich: Sie sind verlässlich. Wenn ein Krimineller die Wahrheit über unsere Beziehung zu einem Arzt oder einer Einrichtung kennt, kann er diese als Schlüssel nutzen, um auf weitere Daten, Online-Banking oder andere Dienste zuzugreifen.
Deshalb lautet die Frage nach einem solchen Datenleck nicht nur: „Welche Daten wurden offengelegt?“
Sie sollten sich auch fragen: „Was können Sie mit diesen Daten anfangen?“
Das ist eine völlig andere Art, über Risiko nachzudenken.
Third Cube: „Es handelt sich um ein Leck bei unserem Lieferanten“ ist keine DSGVO-Strategie
Hier wird die Geschichte für Unternehmen besonders interessant. Eine medizinische Einrichtung kann schließlich behaupten, ihre Server seien nicht angegriffen worden; es handele sich um ein externes System, und die Daten seien beim Anbieter gespeichert gewesen. Im allgemeinen Sprachgebrauch mag das logisch klingen.
Die DSGVO beendet die Angelegenheit jedoch nicht.
Das Amt für den Schutz personenbezogener Daten (UODO) erinnerte Verantwortliche, die MyDr mit der Datenverarbeitung beauftragen, ausdrücklich daran, dass sie eine Risikoanalyse der Rechte und Freiheiten natürlicher Personen durchführen und feststellen müssen, ob eine konkrete Datenschutzverletzung eine Meldung an die zuständige Behörde und die Benachrichtigung der betroffenen Personen erfordert. In einer zweiten Mitteilung präzisierte das Amt dies noch einmal: Die Pflicht zur Benachrichtigung der betroffenen Personen liegt bei den Verantwortlichen, die die Dienste von MyDr nutzen.
Dies ist eine der wichtigsten Lehren aus diesem Fall.
Die Datenverarbeitung kann delegiert werden. Es ist jedoch nicht möglich, jemandem die gesamte Verantwortung zu übertragen. Daher muss der Administrator feststellen, ob seine Patienten von dem Vorfall betroffen sind, welche Informationen möglicherweise offengelegt wurden, welche Risiken sich daraus ergeben und welche Maßnahmen ergriffen werden sollten.
Und die Uhr tickt vielleicht schon.
Die DSGVO schreibt vor, dass der Verantwortliche im Falle einer meldepflichtigen Datenschutzverletzung die Aufsichtsbehörde unverzüglich, möglichst innerhalb von 72 Stunden nach Entdeckung der Verletzung, benachrichtigen muss. Besteht ein hohes Risiko für Einzelpersonen, besteht auch eine Benachrichtigungspflicht. Bei medizinischen Daten kann die Risikobewertung besonders aufwendig sein. Die DSGVO verweist unter anderem ausdrücklich auf die Gefahr von Diskriminierung, sozialer Ausgrenzung oder Verletzung von Persönlichkeitsrechten durch die Offenlegung von Gesundheitsdaten. Daher kann eine einzige Datenschutzverletzung im System eines Anbieters Tausende von separaten Entscheidungsprozessen bei dessen Kunden auslösen.
Und das ist der eigentliche Dominoeffekt.
Fourth Dice: MyDr zeigt, warum NIS2 entwickelt wurde
Der Begriff „Lieferkettensicherheit“ klingt abstrakt.
Bis etwas Ähnliches wie MyDr. passiert.
Ein Unternehmen kann seine eigenen Computer perfekt absichern, Administratoren einstellen, Multi-Faktor-Authentifizierung (MFA) implementieren und Mitarbeiter schulen. Anschließend übergibt es einen Großteil seiner kritischen Daten an einen externen Dienstleister. Ab diesem Zeitpunkt hängt die Sicherheit nicht mehr allein vom Unternehmen selbst ab, sondern auch von der Sicherheit einer Instanz, die es oft gar nicht als Teil seiner eigenen Infrastruktur wahrnimmt. Genau deshalb konzentrieren sich Cybersicherheitsvorschriften zunehmend auf die Lieferkette, das Risikomanagement, das Incident-Management und die Beziehungen zu externen Dienstleistern.
Dies ist heute in Polen von besonderer Bedeutung.
Die Änderung des Gesetzes über das Nationale Cybersicherheitssystem (NIS2) erweiterte den Geltungsbereich der Verordnung. Das Gesundheitswesen zählt nun zu den Schlüsselsektoren. Dies bedeutet jedoch nicht automatisch, dass jede kleine Arztpraxis allen Verpflichtungen des KSC unterliegt – eine Analyse der gesetzlichen Kriterien, einschließlich der Art der Tätigkeit und der Größe der Einrichtung, ist erforderlich.
Für Organisationen, die die Kriterien erfüllen, ist die Frist sehr konkret.
Wichtige und bedeutende Einrichtungen, die die Kriterien zum Zeitpunkt des Inkrafttretens der Änderung erfüllten, sollten bis zum 3. Oktober 2026 in die KSC-Liste aufgenommen werden und bis zum 3. April 2027 die sich aus den neuen Vorschriften ergebenden wesentlichen Verpflichtungen umsetzen, einschließlich eines Informationssicherheitsmanagementsystems und eines Vorfallmanagements.
Es ist daher möglich, viele Monate damit zu verbringen, Unternehmern zu erklären, was Lieferkettenrisiko im Sinne von NIS2 ist.
Oder Sie können ihnen MyDr. zeigen.
Ein Lieferant. Tausende von Organisationen. Millionen von Menschen.
Es ist schwer, ein treffenderes Beispiel zu finden.
Fünfter Würfel: Das Problem geht an den Spieltisch
Es gibt noch einen letzten Schritt. Der CEO erhält einen Anruf. „Bei einem Zulieferer gab es einen Zwischenfall.“.
Dann wird deutlich, ob Cybersicherheit im Unternehmen ein echter Prozess oder lediglich eine Sammlung von Verfahrensanweisungen war. Das Management sollte Antworten auf einige einfache Fragen haben: Welche Daten haben wir diesem Anbieter zur Verfügung gestellt? Wie viele Personen sind betroffen? Wissen wir genau, was passiert ist? Wann haben wir davon erfahren? Wer entscheidet über die Meldung an die Datenschutzbehörde? Haben wir Verpflichtungen gegenüber der nationalen Datenschutzkommission? Wer kontaktiert den Anbieter? Verpflichtet der Vertrag ihn zur Bereitstellung der für die Risikobewertung notwendigen Informationen? Können wir den Betrieb fortsetzen? Was werden wir Kunden oder Patienten mitteilen? Dies sind keine IT-Fragen, sondern Fragen des Organisationsmanagements.
Und genau hier treffen DSGVO, Compliance und Cybersicherheit aufeinander.
Das Problem war schon früher sichtbar
Der MyDr-Vorfall ereignet sich in einem Sektor, in dem die Bedrohungen bereits rasant zunahmen.
Laut einem Bericht des e-Health Center (CSIRT) wurden im Jahr 2025 im Gesundheitswesen 1.441 Sicherheitsvorfälle bearbeitet – über 60 % mehr als im Vorjahr. Computerbetrug und Sicherheitslücken waren die häufigsten Vorfälle. Das CeZ CSIRT wies zudem auf immer raffiniertere Phishing-Kampagnen hin, die sich gezielt gegen medizinisches Personal richten.
Eine andere Zahl ist noch interessanter.
Etwa 29 % der befragten Facility Manager überprüften die Risikobewertungen nicht regelmäßig, und nur 42 % nahmen im Jahr 2025 an einer Cybersicherheitsschulung teil.
Das zeigt etwas Wichtiges.
Das größte Risiko besteht nicht immer darin, dass ein Unternehmen keine ausreichend gute Firewall angeschafft hat. Manchmal liegt es daran, dass niemand im Management frühzeitig die richtigen Fragen gestellt hat.
Einzelanbietertest
Nach einem MyDr-Vorfall empfiehlt sich daher ein einfaches Experiment in Ihrem Unternehmen. Wählen Sie einen wichtigen IT-Anbieter aus – denjenigen, mit dem Sie die meisten Daten teilen oder von dem Ihre Geschäftstätigkeit am stärksten abhängt.
Und stellen Sie sich vor, Sie erhalten morgen um 8:00 Uhr morgens eine Nachricht:
„Es hat einen Cyberangriff gegeben. Ihre Daten könnten kompromittiert worden sein.“
Was geschieht um 8:05 Uhr?
Und 9:00 Uhr?
Wer trifft die Entscheidungen?
Wer ruft den Lieferanten an?
Wo ist der Vertrag?
Wer führt die Risikobewertung durch?
Wissen Sie, welche Daten sich tatsächlich im System befanden?
Können Sie die Anzahl der von einem Vorfall betroffenen Personen innerhalb weniger Stunden ermitteln?
Ist der Fall der Geschäftsleitung bekannt?
Ist dem IOD der Fall bekannt?
Weiß das Sicherheitsteam, was die Rechtsabteilung von ihm erwartet?
Versteht die Rechtsabteilung, was sie von der IT benötigt?
Lautet die Antwort auf die meisten dieser Fragen „das müssten wir überprüfen“, dann haben Sie Ihre wichtigste Compliance-Lücke gefunden.
Die wichtigste Lektion aus MyDr
Die endgültige Beurteilung der Haftung einzelner Unternehmen hängt von den Ergebnissen der Vorfallsanalyse ab. Allein die Tatsache eines erfolgreichen Cyberangriffs erlaubt es uns noch nicht festzustellen, wer gegen das Gesetz verstoßen hat oder ob die getroffenen Sicherheitsmaßnahmen unzureichend waren.
Eine Lehre lässt sich jedoch bereits jetzt ziehen.
Ein Cyberangriff endet nicht mit dem angegriffenen Server.
Er macht weiter.
Vom Server zum Telefon des Patienten.
Vom Telefon zur Phishing-Nachricht.
Vom IT-Anbieter zum Datenverantwortlichen.
Vom Administrator an die Datenschutzbehörde.
Von IT bis Compliance.
Von der Einhaltung von Vorschriften bis zum Management.
Von der DSGVO bis zu KSC und NIS2.
Ein Würfel dreht den nächsten.
Und deshalb ist die wichtigste Frage für Organisationen heute nicht:
„Können wir garantieren, dass wir niemals angegriffen werden?“
Eine solche Garantie kann nicht gegeben werden.
Eine bessere Frage wäre:
„Sind wir auf das vorbereitet, was fünf Minuten nach dem ersten Würfelwurf passiert?“
Die tatsächliche Widerstandsfähigkeit einer Organisation hängt zunehmend von der Antwort auf diese Frage ab.
Stand der Informationen: 12. August 2026. Umfang und Umstände des MyDr-Vorfalls werden noch ermittelt und können in nachfolgenden Mitteilungen der zuständigen Behörden näher erläutert werden.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Autor:
