Frankreich Beziffert Fehlende MFA auf 500.000 Euro

Wo der Angreifer tatsächlich hineinkam

Ein Angreifer erreichte im Sommer 2025 über schwache Fernzugangsdaten das System der elektronischen Patientenakte (DPI) des Hôpital Privé de la Loire; die Einrichtung hatte diesen Zugangspunkt weder mit einem VPN noch mit Mehr-Faktor-Authentifizierung geschützt, wie die Untersuchung der CNIL ergab. Einmal drin, konnte ein einziger Zugangsdatensatz auf die vollständige Akte jedes Patienten im System zugreifen, ohne Trennung nach Abteilung, Behandlungsteam oder Zugriffsbedarf.

Nichts schlug Alarm bei der ungewöhnlichen Menge an Datensätzen, die in den folgenden Tagen abgezogen wurde, sodass die Extraktion unbemerkt ablief, bis sie bereits abgeschlossen war. Die CNIL-Entscheidung wertet das Fehlen einer Echtzeit-Erkennung als eigenständigen Befund, nicht als Randnotiz zum fehlenden VPN und zur fehlenden MFA.

Die Buße ist nicht die Nachricht, der Maßstab ist es

Die am 3. September 2026 verkündete Buße von 500.000 Euro wirkt neben den DSGVO-Strafen gegen große Tech-Plattformen bescheiden, doch die Begründung wiegt schwerer als die Summe. Die Aufsichtsbehörde musste nicht nachweisen, dass ein hochentwickelter Angreifer am Werk war; es genügte der Nachweis, dass zwei konkrete, gut dokumentierte Kontrollen fehlten. Das ist eine deutlich niedrigere Hürde für eine Sanktion, und genau diese Hürde legt die CNIL nun jeder Organisation an, die Gesundheitsdaten über eine Fernverbindung vorhält.

Für einen privaten Klinikkonzern von der Größe Ramsay Santés ist eine halbe Million Euro ein Rundungsfehler. Für eine kleinere Praxis, eine Zahnarztpraxis oder einen Health-Tech-Anbieter mit demselben Aufbau würde derselbe Befund, fehlendes VPN und fehlende MFA beim Fernzugriff auf Gesundheitsdaten, dieselbe Sanktionslogik gegen eine weit weniger belastbare Bilanz auslösen. In Deutschland wäre dabei je nach Sitz des Trägers nicht die CNIL, sondern die zuständige Landesdatenschutzbehörde am Zug, die genau denselben VPN-und-MFA-Maßstab anlegen würde.

Die Zahlen, die die CNIL festgehalten hat

Drei Zahlen aus der Entscheidung geben jedem Verantwortlichen einen groben Maßstab für das eigene Risiko.

Unter einem Euro je Datensatz ist keine Zahl, die die CNIL selbst nennt, es ist einfache Division, aber es ist die Zahl, die ein Vorstand tatsächlich verlangt, sobald ein Vorfallbericht auf dem Tisch liegt.

Die Lücke, nach der noch niemand fragt

Die Entscheidung der CNIL bestätigt, dass das Hôpital Privé de la Loire die 524.867 Patienten benachrichtigte, deren Akten kompromittiert wurden, nicht aber die 202.246 Personen, die im System nur als verknüpfte Dritte geführt werden, etwa überweisende Ärzte, Notfallkontakte oder Bürgen, deren personenbezogene Daten in derselben offengelegten Datenbank lagen.

Die DSGVO-Meldepflicht bei Verletzungen gilt für jede betroffene Person mit erheblichem Risiko, nicht nur für die Person, auf deren Namen die Akte formal läuft. Ob die Aufnahme eines Dritten in eine Gesundheitsakte ohne direkte Benachrichtigung einer künftigen Prüfung standhält, lässt diese Entscheidung offen, und genau das ist die Art Lücke, die eine entschlossene Beschwerde oder eine Folgeprüfung der CNIL wieder aufgreifen könnte.

Was sich für jeden ändert, der Fernzugriff auf Gesundheitsdaten betreibt

Drei praktische Konsequenzen ergeben sich direkt aus dieser Entscheidung für eine Klinik, einen Krankenhauskonzern oder einen Health-Tech-Anbieter irgendwo in der EU: VPN und MFA beim Fernzugriff als Compliance-Mindeststandard behandeln statt als aufschiebbaren Budgetposten, Aktenzugriff nach Rolle aufteilen, sodass kein einzelner Zugang die gesamte Patientenpopulation erreicht, und Echtzeit-Alarme für ungewöhnliche Datenmengen je Konto einrichten.

Eine vierte, weniger offensichtliche Konsequenz: prüfen, wessen Daten sonst noch in einer Patientenakte stecken, überweisende Ärzte, Notfallkontakte, Bürgen, und sicherstellen, dass die Meldeliste der Organisation bei einer Verletzung tatsächlich alle erreicht, nicht nur den Patienten, dessen Name auf der Akte steht.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.

Weiterlesen: Scheitert Ihr Betrieb, Werden Ihre E-Mails Verkauft  |  Zweites LED-Update, CNIL-Einwand bleibt unbeantwortet