Polen untersucht eine große Datenschutzpanne im Gesundheitswesen, die MyDr betrifft, einen Anbieter elektronischer medizinischer Dienstleistungen, dessen Systeme Informationen enthalten, die mit Millionen von Patienten verbunden sind. Der polnische Digitalminister Krzysztof Gawkowski sagte, Daten von bis zu 19 Millionen Menschen könnten betroffen gewesen sein und bezeichnete den Vorfall als außergewöhnlich ernst.
MyDr bietet digitale Dienste, die von Patienten und medizinischem Fachpersonal genutzt werden, einschließlich Werkzeugen für Termine, medizinischer Dokumentation und elektronischer Rezepte. Da die kompromittierte Umgebung Gesundheitsinformationen verarbeitet, konzentriert sich die Untersuchung nicht nur auf gewöhnliche identifizierende Daten, sondern auch auf potenziell sensible medizinische Unterlagen.
Das Unternehmen hat bestätigt, dass es einen Cyberangriff erlitten hat, hat jedoch das endgültige Ausmaß des Datenbruchs noch nicht festgestellt. MyDr sagte, die forensische Arbeit werde fortgesetzt und könne derzeit nicht genau bestätigen, wie viele Informationen offengelegt wurden oder welche Kategorien genau zugänglich waren. Laut den vorläufigen Angaben des Unternehmens wird angenommen, dass das betroffene Material aus dem Jahr 2024 oder früher stammt und nicht jeden Patienten oder Kunden abdeckt, der seine Dienstleistungen nutzt.
Diese Unterscheidung ist wichtig, weil die Zahl von fast 19 Millionen derzeit eine von polnischen Behörden diskutierte Schätzung ist und nicht eine bestätigte Zahl der Personen, deren vollständige medizinische Unterlagen gestohlen wurden. Gawkowski sagte, der Vorfall betreffe eine große Sammlung besonders sensibler Informationen über Menschen, die medizinische Leistungen erhalten haben.
Die eigene Datenschutzdokumentation von MyDr zeigt die Art der sensiblen Umgebung auf. Das Unternehmen verarbeitet personenbezogene Daten im Zusammenhang mit seinen Gesundheitsdienstleistungen und kann erforderliche Informationen mit der polnischen P1-E-Gesundheitsplattform P1 austauschen. Die Datenschutzrichtlinie beschreibt außerdem Beziehungen zu medizinischen Fachkräften und anderen Dienstleistern, die Informationen verarbeiten, die für den Betrieb von MyDr notwendig sind.
Separate polnische Medienberichte liefern weitere Details darüber, was die Angreifer behaupten, zu besitzen. Laut den vorgelegten Berichten gaben die verantwortlichen Personen an, etwa 2,5 Terabyte an Informationen über 18,8 Millionen Menschen erhalten zu haben. Diese Zahlen wurden von der forensischen Untersuchung von MyDr noch nicht bestätigt.
Die mutmaßlichen Angreifer versuchten Berichten zufolge, ihren Zugang zu demonstrieren, indem sie Journalisten Informationen lieferten, die mit einem prominenten polnischen Politiker in Verbindung standen. Die Probe soll eine PESEL-Identifikationsnummer, zwei Telefonnummern und Details zu 25 Rezepten enthalten. Diese gemeldete Offenlegung hat die Sorge verstärkt, dass das kompromittierte Material deutlich mehr als nur grundlegende Kontaktinformationen enthalten könnte.
Die polnischen Behörden haben den Einbruch öffentlich nicht einer bestimmten Hackergruppe zugeschrieben. Gawkowski sagte außerdem, dass die Ermittler derzeit keine Hinweise darauf haben, dass die Operation politisch motiviert war. Laut der von polnischen Medien berichteten Regierungseinschätzung glauben Beamte mit großem Vertrauen, dass finanziell motivierte Cyberkriminelle verantwortlich sind und nicht ein Akteur, der eine politische Operation durchführt.
Es gibt auch einen wichtigen Unterschied zwischen Diebstahl von Informationen und öffentlicher Veröffentlichung. Gawkowski sagte am 13. August, dass die Behörden die betroffene Datenbank weder öffentlich verfügbar noch zum Verkauf angeboten hätten und dass polnische Dienste ihr Erscheinungsbild überwachen.
Die Regierung bereitet einen Weg vor, damit Einzelpersonen feststellen können, ob ihre eigenen Informationen in den Vorfall einbezogen wurden. Gawkowski sagte, eine separate Bekanntmachung werde erklären, wie Menschen diese Überprüfung durchführen könnten, was bedeutet, dass Details zum Verifizierungsprozess zum Zeitpunkt der Ankündigung noch nicht vorliegen.
Vorerst bleiben mehrere entscheidende Details ungeklärt: die bestätigte Anzahl der betroffenen Personen, die vollständigen Kategorien kompromittierter Informationen, wie die Angreifer in die MyDr-Systeme eingedrungen sind und ob die gestohlene Datenbank letztlich veröffentlicht oder verkauft wird. MyDr sagt, diese Antworten hängen von der noch laufenden forensischen Untersuchung ab.