Stand: 03.09.2026. Die französische Datenschutzaufsicht CNIL hat gegen HÔPITAL PRIVÉ DE LA LOIRE ein Bußgeld von 500.000 Euro verhängt. Der Fall ist deshalb mehr als eine weitere Klinikpanne: Ein Angreifer konnte laut CNIL über einen extern nutzbaren Zugang auf das elektronische Patientendossier zugreifen. Betroffen waren Daten von 524.867 Patientinnen und Patienten sowie von 202.246 als Vertrauenspersonen benannten Dritten. Für Krankenhäuser, Medizinzentren und Dienstleister zeigt der Fall, wie schnell ein einzelner schwacher Zugang zu einem Massenrisiko wird.
Bild: Pexels, https://www.pexels.com/photo/5722164/, CC0-Lizenz.
Warum der CNIL-Fall für Kliniken so konkret ist
Die CNIL teilt am 3. September 2026 mit, dass der Angriff im Sommer 2025 den Computerised Patient Summary des Krankenhauses betraf. Dieses System bündelte Daten der behandelten Personen. Nach Darstellung der Behörde fehlten an entscheidenden Stellen grundlegende Schutzmaßnahmen. Externe Nutzer, darunter niedergelassene Ärzte, konnten ohne ausreichend robustes Verfahren auf das Patientendossier zugreifen. Genannt werden insbesondere fehlende VPN-Nutzung und fehlende Mehr-Faktor-Authentifizierung.
Für die Datenschutzbewertung ist nicht nur der Einbruch selbst wichtig. Die CNIL beschreibt auch ein zu grobes Berechtigungskonzept. Der Zugriff orientierte sich nicht eng genug daran, wer tatsächlich zum Behandlungsteam einer konkreten Person gehört. Dadurch konnte der Angreifer mit den Zugangsdaten eines einzigen Nutzerkontos Daten aller Krankenhauspatienten abrufen. Genau an dieser Stelle wird aus einem technischen Authentifizierungsproblem ein Datenschutzproblem mit hoher Reichweite.
Was Art. 32 DSGVO im Alltag verlangt
Art. 32 DSGVO verlangt keine absolute Sicherheit, aber geeignete technische und organisatorische Maßnahmen. Bei Gesundheitsdaten ist die Schwelle hoch, weil Diagnose-, Behandlungs- und Kontaktinformationen besonders sensibel sind. Die CNIL beanstandet, dass verdächtige Aktivitäten im Patientendossier nicht in Echtzeit oder sehr kurzfristig erkannt wurden. Der Angreifer konnte das System demnach mehrere Tage durchsuchen und große Datenmengen abziehen, ohne dass diese ungewöhnliche Nutzung rechtzeitig auffiel.
Damit benennt die Entscheidung drei Kontrollpunkte, die auch deutsche Einrichtungen prüfen sollten. Erstens: Starke Authentifizierung für externe Zugänge darf nicht als Komfortthema behandelt werden. Zweitens: Zugriffsrechte müssen zur realen Behandlungsbeziehung passen, nicht nur zur groben Rolle Arzt, Klinik oder Dienstleister. Drittens: Monitoring muss bei ungewöhnlichen Abfragen reagieren, bevor aus einem kompromittierten Konto ein großflächiger Datenabfluss wird.
Die Behörde verweist außerdem darauf, dass das Krankenhaus während des Verfahrens mehrere Sicherheitsmaßnahmen verbessert habe. Dennoch ordnete sie weitere Umsetzungen innerhalb von drei bis 15 Monaten an. Für Verantwortliche ist das ein wichtiger Hinweis: Nachbesserungen helfen, ersetzen aber nicht die Pflicht, Risiken schon vor dem Vorfall angemessen zu begrenzen und nachweisbar zu kontrollieren.
Warum auch Benachrichtigung Teil der Sicherheit ist
Die Entscheidung betrifft nicht nur Art. 32 DSGVO. Die CNIL stellte auch einen Verstoß gegen Art. 34 DSGVO fest. Nach Angaben der Behörde wurden Patientinnen und Patienten informiert, nicht aber die 202.246 als Vertrauenspersonen benannten Dritten, obwohl auch deren personenbezogene Daten gestohlen worden seien. Diese Information ist praktisch relevant, weil Betroffene nur dann reagieren können, wenn sie Art und mögliche Folgen des Angriffs kennen.
Für Datenschutzteams folgt daraus eine unbequeme Checkliste. In einem Kliniksystem liegen nicht nur Daten der direkt behandelten Personen. Kontaktpersonen, Angehörige, Vertrauenspersonen, Abrechnungsbezüge und organisatorische Nebeninformationen können ebenfalls personenbezogen und schutzbedürftig sein. Ein Incident-Plan muss deshalb früh klären, welche Personengruppen betroffen sind und wer direkt informiert werden muss.
Der CNIL-Fall zeigt, dass Klinikdatenschutz nicht bei Firewalls oder Passwörtern endet. Entscheidend ist das Zusammenspiel aus starker Anmeldung, engen Berechtigungen, schneller Angriffserkennung und sauberer Kommunikation nach dem Vorfall. Wer Gesundheitsdaten verarbeitet, sollte jetzt prüfen, ob externe Zugänge wirklich nur den notwendigen Ausschnitt öffnen oder ob ein einzelnes kompromittiertes Konto noch immer zu viele Patientendaten sichtbar macht.
