Die nächtliche Empfangskraft und 13 Millionen PESEL-Nummern. Zwei MyDr-Geschichten, die man leicht verwechselt

Es ist Nacht. Die Praxis ist seit Stunden geschlossen, an der Anmeldung brennt kein Licht, die Rechner schlafen. Und trotzdem arbeitet eines der Konten dieser Praxis wie nie zuvor: Es fragt ein staatliches System, ob die Person mit der angegebenen PESEL-Nummer – der polnischen Personenkennzahl – krankenversichert ist. Es bekommt eine Antwort: Vorname, Nachname, Status. Es fragt nach der nächsten Nummer. Und nach der nächsten. Es macht keine Kaffeepause, vertippt sich nicht, geht nicht nach Hause.

Diese Szene hat niemand gesehen, und wir wissen nicht, zu welcher Uhrzeit und von wie vielen Konten aus es wirklich geschah – diese Einzelheiten haben die Ermittler nicht genannt. Bekannt ist dafür die Schlussrechnung: rund 18 Millionen Abfragen und die Daten von mehr als 13 Millionen Menschen. Das ist die erste von zwei Geschichten, in denen der Name MyDr vorkommt. Die zweite, lautere, ereignete sich zwei Jahre später und betrifft knapp 19 Millionen Menschen. Für einige Tage im August 2026 verschmolzen beide zu einer – zu Unrecht.

Erster Akt: Frühjahr 2024. Die Empfangskraft, die nie schläft

Um zu verstehen, was passiert ist, muss man wissen, was eWUŚ ist. Es handelt sich um einen Dienst des polnischen Nationalen Gesundheitsfonds (NFZ), mit dem die Anmeldung in wenigen Sekunden prüft, ob ein Patient Anspruch auf Leistungen hat. Die Empfangskraft gibt die PESEL-Nummer ein, das System antwortet. So soll es sein: schnell, ohne Papier, am Schalter.

Praxissoftware – etwa MyDr, mit der Tausende Einrichtungen arbeiten – hat diese Abfrage eingebaut. Und genau hier beginnt die Intrige. Aus einer Mitteilung der Regionalstaatsanwaltschaft Posen geht hervor, dass die Täter unbefugten Zugang zu den Konten von Beschäftigten mehrerer medizinischer Einrichtungen erlangten, die die Plattform nutzten. Anschließend starteten sie unter Ausnutzung des Aufbaus der Software ein Skript, das massenhaft Abfragen an eWUŚ schickte.

Niemand hat beim NFZ eine Tür aufgebrochen. Niemand hat eine Datenbank aus dem Serverraum getragen. Die Täter kamen durch den Personaleingang und taten genau das, wofür dieser Eingang gedacht ist – nur millionenfach. Das System sah einen angemeldeten Praxismitarbeiter und antwortete höflich: Vorname, Nachname, PESEL, Versicherungsanspruch oder keiner.

Krankenakten, Rezepte oder Diagnosen waren in dieser Beute nicht enthalten. Das ist wichtig, und wir kommen darauf zurück.

Zweiter Akt: vier Tage

Am 8. April 2024 leitet die Staatsanwaltschaft nach Anzeigen des NFZ-Präsidenten ein Ermittlungsverfahren ein. Am 12. April tritt in eWUŚ ein Tageslimit für Abfragen von Einrichtungen in Kraft, die die dedizierten Dienste nutzen – „aus Sicherheitsgründen“.

Vier Tage Abstand. CyberDefence24 hält in seiner Darstellung des Falls bei diesem Zusammentreffen inne und fragt direkt: Wie war es möglich, dass sich zuvor die Daten so vieler Millionen Menschen abrufen ließen?

Die Antwort ist in ihrer Schlichtheit unbequem. Ein Dienst, der auf eine PESEL-Nummer mit Vor- und Nachnamen antwortet, ist für einen Angreifer ein Orakel. Die PESEL-Nummer hat einen bekannten Aufbau und eine Prüfziffer, gültige Nummern lassen sich also am Fließband erzeugen. Wenn das Orakel die Fragen nicht zählt und sich nicht wundert, dass sich eine kleine Praxis plötzlich für das halbe Land interessiert, ist der einzige Schutz des gesamten Registers das Passwort eines Kontos an der Anmeldung.

Dritter Akt: zwei Jahre Stille

Danach verschwindet der Fall aus dem Blickfeld. Die Öffentlichkeit weiß nichts davon; die Ermittlungen laufen in ihrem eigenen Tempo. Die Staatsanwaltschaft spürt gemeinsam mit dem Zentralbüro zur Bekämpfung der Cyberkriminalität die Verdächtigen auf und stellt – wie sie später mitteilen wird – die gesamte rechtswidrig erlangte Datenbank sicher, bevor sie weiterverkauft werden konnte.

Das ist eine gute Nachricht, auch wenn man sie aufmerksam lesen sollte. „Sicherstellen“ von Daten bedeutet, dass die Kopien gesichert wurden, an die die Ermittler herangekommen sind. Ein mathematischer Beweis, dass nie eine weitere entstanden ist, ist das nicht.

Zwei Jahre lang hat diese Geschichte also einen Anfang und eine Mitte, aber kein Publikum. Sie bekommt es erst, als etwas deutlich Größeres geschieht.

Vierter Akt: August 2026. Derselbe Name, ein völlig anderer Fall

Im August 2026 gerät der Name MyDr in die Schlagzeilen. Diesmal wurden die Daten nicht über fremde Konten aus einem staatlichen Register gezogen – sie flossen aus der Plattform selbst ab. Nach Regierungsangaben kann der Vorfall rund 18,8 Millionen Menschen und mehr als 12.000 Einrichtungen betreffen; im Umlauf ist die gerundete Zahl von 19 Millionen. Und, was am schwersten wiegt: Unter den Daten sind Gesundheitsinformationen.

Das Unternehmen teilt mit, es schließe die Ermittlung des Umfangs der Verletzung ab und habe keine Veröffentlichung der Daten festgestellt. Der Präsident der polnischen Datenschutzbehörde UODO kündigt eine Kontrolle der technischen und organisatorischen Schutzmaßnahmen der Firma an, einschließlich der Risikoanalysen. Bis zum 17. September gehen bei der Behörde mehr als 50 Beschwerden und Hinweise von Bürgern sowie mehr als 2.000 Meldungen von Datenschutzverletzungen durch Einrichtungen ein. Im September beschließt die Behörde umfassendere Kontrollen der Verarbeitung von Gesundheitsdaten.

Und dann, am 18. August, mitten in diesem Sturm, veröffentlicht die Regionalstaatsanwaltschaft Posen eine Mitteilung über den Fall von vor zwei Jahren. Dreizehn Millionen Menschen. MyDr im Hintergrund. Die Zahlen passen fast, der Name ist derselbe – und an einem einzigen Abend verkleben beide Geschichten in den Kommentaren zu einer Erzählung über „das Leck, von dem man längst wusste“.

Fünfter Akt: das Entwirren

Als Erste stellen es Leute aus der Branche richtig. Zaufana Trzecia Strona, ein polnisches Sicherheitsportal, das CyberDefence24 zitiert, schreibt, die Zahlen seien zufällig ähnlich und das Unternehmen im Hintergrund dasselbe, aber die Täter seien andere, ebenso die Methode, das Ziel, die Datenquelle und der Ablauf.

Stellen wir beide Fälle nebeneinander:

Der Unterschied ist nicht akademisch. Vorname, Nachname und PESEL reichen für Betrugsversuche. Gesundheitsinformationen sind Material für Erpressung, Diskriminierung und Betrugsmaschen, bei denen der Anrufer „aus der Praxis“ Ihre Medikamente und das Datum Ihres letzten Termins kennt. Ein Passwort lässt sich ändern. Eine Krankengeschichte nicht.

Sechster Akt: Oktober 2026. Ein Gerichtssaal, aber noch kein Urteil

Im August sprach die Staatsanwaltschaft von fünf Verdächtigen und der Schlussphase des Verfahrens. Am 5. Oktober 2026 teilte sie mit, dass sie gegen fünf Männer Anklage beim Bezirksgericht Posen erhoben hat.

Die Vorwürfe umfassen unter anderem das Überwinden von Sicherungen, den unbefugten Zugang zu Informationen, die unbefugte Verarbeitung personenbezogener Daten, das Herstellen und Bereitstellen von Programmen für solche Straftaten und in einem Fall auch Geldwäsche. Darauf stehen Freiheitsstrafen von bis zu 8 beziehungsweise bis zu 12 Jahren. Nach Angaben der Staatsanwaltschaft haben einzelne Verdächtige gestanden und umfangreich ausgesagt.

Hier ist Genauigkeit nötig: Zum Zeitpunkt der Veröffentlichung dieses Textes ist kein Urteil ergangen. In vielen Darstellungen werden die fünf Männer bereits „Verurteilte“ genannt – das ist eine Etappe zu früh. Sie sind Angeklagte, über die Schuld entscheidet das Gericht.

Die Moral: was diese Geschichte lehrt

Am einfachsten wäre es, sie mit dem Satz „schon wieder MyDr“ abzuschließen. Das wäre bequem und falsch. Ebenso falsch wäre die Behauptung, die beiden Fälle hätten nichts miteinander zu tun. Das Frühjahr 2024 hat gezeigt, dass ein Konto in der Praxissoftware ein vollwertiges Tor zu staatlichen Systemen ist – und dass das Warnsignal lange vor dem August 2026 ertönte.

• Das Konto einer Empfangskraft ist ein privilegiertes Konto. Wenn sich aus der Praxissoftware staatliche Register abfragen lassen, schützen Benutzername und Passwort weit mehr als den Terminkalender.
• Ein Prüfdienst darf kein Orakel sein. Er braucht Limits pro Konto und pro Einrichtung sowie einen Alarm, wenn jemand nach Personen fragt, die nie seine Patienten waren.
• Eine Integration erbt Vertrauen. Das Register vertraut der Software, die Software vertraut dem angemeldeten Benutzer. Es genügt, das schwächste Glied zu übernehmen, um das Vertrauen der ganzen Kette zu nutzen.
• Ein Anbieter ist ein einziges großes Risiko. Eine Plattform, die Tausende Einrichtungen bedient, sorgt dafür, dass ein einzelner Vorfall landesweites Ausmaß hat – unabhängig von der Sorgfalt der einzelnen Praxis.
• Erkennen zählt genauso wie Verhindern. Achtzehn Millionen Abfragen entstehen nicht in einer Stunde. Jeder Tag früherer Alarm bedeutet eine kleinere Datenbank in den Händen der Täter.

Wenn Sie Patient sind

• Sperren Sie Ihre PESEL-Nummer in der App mObywatel oder beim Amt. Das ist der wirksamste Schutz vor Verbindlichkeiten, die auf Ihre Daten eingegangen werden.
• Prüfen Sie, ob das Leck Sie betrifft – im staatlichen Dienst Bezpieczne Dane, in den dieser Datenbestand aufgenommen werden soll – und lesen Sie die Benachrichtigungen der Einrichtungen, in denen Sie behandelt wurden.
• Aktivieren Sie Benachrichtigungen bei den Kredit- und Wirtschaftsauskunfteien.
• Trauen Sie keinen Anrufen „aus der Praxis“, die Einzelheiten Ihrer Behandlung kennen und um eine Zuzahlung, einen Code, die Installation einer App oder einen Klick auf einen Link bitten. Die Kenntnis Ihrer medizinischen Daten ist kein Beweis mehr dafür, dass die Einrichtung anruft.
• Ändern Sie das Passwort für das Patientenportal Ihrer Praxis und verwenden Sie es nirgendwo sonst.

Wenn Sie eine Einrichtung führen

• Mehr-Faktor-Authentifizierung für jedes Konto in der Praxissoftware – ohne Ausnahmen, „weil es an der Anmeldung schnell gehen muss“.
• Personengebundene Konten, kein Teilen. Ein gemeinsamer Login am Arbeitsplatz macht es unmöglich festzustellen, wer wann eine Abfrage gestellt hat.
• Keine Konten ehemaliger Beschäftigter und keine Testkonten.
• Auswertung der Protokolle: Abfragen zu Personen außerhalb der Patientenliste, Aktivität außerhalb der Öffnungszeiten, eine ungewöhnliche Zahl von Vorgängen. Die nächtliche Empfangskraft aus dem ersten Absatz hinterlässt Spuren – man muss nur hinsehen.
• Ein Auftragsverarbeitungsvertrag entbindet nicht von der Aufsicht. Verantwortlicher bleibt die Einrichtung: Sie meldet die Verletzung an die UODO und benachrichtigt die Patienten.
• Ein Plan für einen Vorfall beim Anbieter: wer meldet, in welcher Frist, wie die Patienten benachrichtigt werden und wie gearbeitet wird, wenn das System nicht verfügbar ist.

Ein Epilog, den es noch nicht gibt

Die erste Geschichte wartet auf ein Urteil. Die zweite – auf die Feststellung, was genau abgeflossen ist, und auf die Ergebnisse der Kontrolle. Offen bleibt auch die Frage, die CyberDefence24 schon im August gestellt hat: ob nach dem Frühjahr 2024 Lehren gezogen wurden, die über ein Tageslimit für Abfragen hinausgehen.

Denn wenn die einzige Lehre aus der Nacht, in der ein fremdes Konto halb Polen abfragte, ein Zähler an der Tür war – dann ist die zweite Geschichte kein Zufall. Sie ist die Fortsetzung.

Quellen

Dieser Artikel beruht auf dem Text von Oskar Klimczuk „Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób“ („Die zweite Geschichte um MyDr. Vor zwei Jahren wurden die Daten von 13 Millionen Menschen gestohlen“), erschienen am 18. August 2026 bei CyberDefence24.pl. Von dort stammen die Feststellungen zum Vorfall von 2024, wiedergegeben nach der Mitteilung der Regionalstaatsanwaltschaft Posen, die Unterscheidung der beiden Fälle sowie die Beobachtung zum Datum der Einführung des Abfragelimits in eWUŚ. Die Eingangsszene veranschaulicht den von der Staatsanwaltschaft beschriebenen Mechanismus und ist kein Bericht aus einer konkreten Einrichtung. Die technischen Bewertungen und Empfehlungen stammen von uns. Angaben zum späteren Verlauf beider Fälle haben wir aus den übrigen unten genannten Quellen ergänzt.

• CyberDefence24.pl, Oskar Klimczuk, „Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób“, 18. August 2026 (auf Polnisch): cyberdefence24.pl
• TVN24 Biznes, zur Anklage im Fall von 2024, 5. Oktober 2026 (auf Polnisch): tvn24.pl
• Amt für den Schutz personenbezogener Daten (UODO), Mitteilung zu Kontrollen nach Lecks medizinischer Daten, 25. September 2026 (auf Polnisch): uodo.gov.pl
• Polsat News, Erklärung des Unternehmens zur Ermittlung des Umfangs des Vorfalls, 18. August 2026 (auf Polnisch): polsatnews.pl