Ein Sicherheitsvorfall beim polnischen Medizindienstleister MyDr könnte zu einem der größten Datenabflüsse in der Geschichte des Landes geführt haben. Nach Angaben des polnischen Ministeriums für Digitalisierung wurden Daten von möglicherweise 18,8 Millionen Menschen sowie von mehr als 12.000 medizinischen Einrichtungen entwendet.
Das polnische Ministerium für Digitalisierung informierte am 12. August 2026 über den Vorfall. Demnach bestätigte MyDr den unbefugten Zugriff auf Daten aus den eigenen Systemen. Betroffen sind wohl Informationen, die bis April 2024 zurückreichen. Die Datenmenge soll mehr als zwei Terabyte umfassen. Welche einzelnen Datensätze tatsächlich abgerufen wurden und welchen Personen sie zugeordnet werden können, war zum Zeitpunkt der ersten Behördenangaben noch Gegenstand der Untersuchung.
Bis zu 18,8 Millionen Datensätze gestohlen
Zu den potenziell betroffenen Informationen gehören unter anderem medizinische Angaben, Daten zu Medikamenten und Verschreibungen sowie personenbezogene Informationen. Nach Einschätzung der Behörden können verschiedene Datenbestandteile miteinander verknüpft werden. Dadurch entsteht ein erhebliches Risiko für Identitätsbetrug, gezielte Phishing-Angriffe und Erpressungsversuche.
Das polnische Gesundheitsministerium stellte klar, dass der Vorfall ausschließlich Daten in den Systemen von MyDr betrifft. Die zentralen staatlichen E-Health-Dienste wurden nach bisherigen Erkenntnissen nicht kompromittiert. Die laufende medizinische Versorgung sei daher nicht beeinträchtigt: Patienten können weiterhin Gesundheitsleistungen nutzen und Rezepte erhalten.
Zentrales polnische Gesundheitssysteme nicht betroffen
Die Untersuchung und Reaktion der Behörden wird vom Polnischen Joint Cybersecurity Operations Centre koordiniert. Beteiligt sind unter anderem staatliche Cybersecurity-Stellen, Gesundheitsbehörden und Strafverfolgungsbehörden. Die Staatsanwaltschaft in Warschau leitete am 12. August ein Ermittlungsverfahren wegen des unrechtmäßigen Zugriffs und der Verarbeitung sensibler Daten ein.
Nach Angaben der polnischen Behörden waren die gestohlenen Daten zunächst nicht öffentlich im Internet oder im Darknet aufgetaucht. Die Ermittler prüfen weiterhin, wie der Zugriff erfolgte, welche Daten konkret betroffen sind und wer hinter dem Vorfall steht. Eine ausländische staatliche Beteiligung wurde zunächst nicht festgestellt.
Das Ministerium kündigte an, betroffene Personen nach Abschluss der Identifizierung über ein staatliches Portal zu informieren. Dort sollen Bürger prüfen können, ob ihre Daten zu den betroffenen Informationen gehören. Die polnische Datenschutzbehörde UODO erinnert die medizinischen Einrichtungen zudem daran, ihre eigene Melde- und Informationspflicht nach der Datenschutz-Grundverordnung zu prüfen.
Mehr bei gov.pl