Größte Datenschutzverletzungen in Frankreich [Aktualisiert 2023]

Laut dem jüngsten Cybersicherheitsbericht der französischen Datenschutzaufsichtsbehörde CNIL hat Frankreich im Jahr 2021 eine Reihe von Verletzungen des Schutzes personenbezogener Daten verzeichnet - ein Anstieg von fast 80 % gegenüber 2020.

Die CNIL hat im Jahr 2021 strenge regulatorische Maßnahmen gegen französische Unternehmen und Organisationen ergriffen und 135 Aufforderungsbescheide verschickt, die zu Geldstrafen in Höhe von 214 Millionen Euro und 18 Sanktionen führten. Neun Sanktionen betrafen ineffiziente Datensicherheit.

Der Bericht zeigte, dass die häufigsten Ziele von Cyberangriffen kleine und mittlere Unternehmen waren. Mehr als die Hälfte der Meldungen von Datenschutzverletzungen aus dem Bericht betraf Ransomware, was einem Anstieg von 128 % seit 2020 entspricht.

Liste der größten Datenschutzverletzungen in Frankreich

Hier ist eine Liste der größten Datenschutzverletzungen, die in Frankreich aufgetreten sind:

1. Dedalus Biologie

Datum: 23. Februar 2021

Auswirkungen: 491.840 Krankenakten

Laut einer von Libération durchgeführten Untersuchung kam es im Februar 2021 zu einer massiven Datenschutzverletzung, bei der etwa 500.000 Krankenakten französischer Patienten unbekannter Herkunft erfasst wurden, darunter Namen, Krankengeschichte und Sozialversicherungsnummern, die im Internet durchgesickert sind.

Der Cybersicherheitsblog Zataz auf Telegram entdeckte zuerst das Datenleck, bei dem Nutzer eine heimliche Gruppe entdeckten, die auf Telegram mit gestohlenen Daten handelt.

Libération berichtet, dass die gestohlenen Daten Krankenakten und COVID-19-Tests von 30 Gesundheitslabors im Nordwesten Frankreichs enthalten. Die durchgesickerten Daten enthielten Informationen über Untersuchungen, die zwischen 2015 und Oktober 2020 durchgeführt wurden.

Laut AFP (Agence France-Presse) umfassten die durchgesickerten Krankenakten:

• Patientennamen
• Adressen
• Telefonnummern
• Postleitzahlen
• E-Mail-Konten
• Krankenkassen
• Sozialversicherungsnummern
• Blutgruppen
• HIV-Status
• Status der Fruchtbarkeit

Die für Cyberkriminalität zuständige Pariser Staatsanwaltschaft berichtete der AFP, dass eine Untersuchung im Gange sei, um festzustellen, ob es einen "betrügerischen Zugriff auf und die Wartung eines automatisierten Datenverarbeitungssystems" sowie eine "betrügerische Extraktion, Speicherung und Weitergabe" der Daten gegeben habe.

Anfangs konnten sie nicht herausfinden, wie die Hacker die Daten aus den Kliniken und Labors des Gesundheitswesens gestohlen haben. Eine Gemeinsamkeit der Labore war jedoch, dass sie Software von Dedalus, einem Gesundheitsdienstleister, verwendeten.

Dedalus wurde wegen Verstoßes gegen die DSGVO (Datenschutz-Grundverordnung) zu einer Geldstrafe von 1,5 Millionen Euro verurteilt, weil es die personenbezogenen Daten von EU-Bürgern nicht geschützt hat. Laut dem Journalisten, der die durchgesickerten Daten gefunden hat, haben die Hacker die Daten veröffentlicht, nachdem sie keinen Käufer gefunden hatten.

Angesichts des Vorfalls kündigte der französische Präsident Emmanuel Macron ein Programm zur Bekämpfung der Cyberkriminalität im Wert von 1 Milliarde Euro an, das die Cybersicherheit im französischen Gesundheitssystem verbessern soll.

2. Französischer Versicherer AXA

Datum: 16. Mai 2021

Auswirkung: 3 TB vertrauliche Daten und medizinische Unterlagen wurden offengelegt; möglicherweise nicht registrierte DDoS-Angriffe.

Die asiatischen Niederlassungen des französischen Versicherers AXA wurden im Mai 2021 Opfer eines Ransomware-Angriffs, bei dem drei Terabyte an sensiblen Daten gestohlen wurden.

Der Angriff zielte auf Sektoren in Hongkong, Thailand, Malaysia und den Philippinen ab und ereignete sich, nachdem die AXA die Deckung der asiatischen Niederlassungen gegen Cyberangriffe eingestellt hatte.

Die mutmaßliche Hackergruppe, die für den Angriff verantwortlich ist, ist Avaddon, und die Gruppe behauptet, dass sie auch einen DDoS-Angriff auf die Tochtergesellschaften durchgeführt hat.

AXA hat weder die Höhe des geforderten Lösegeldpreises noch bestätigt, ob sie es letztendlich bezahlt hat.

3. Pierre Rouquès - Entbindungsklinik Les Bluets

Datum: 9. Oktober 2022

Auswirkung: 150 GB an personenbezogenen Daten und Krankenakten

Die Pariser Entbindungsklinik "Pierre Rouquès - Les Bluets" meldete am 9. Oktober 2022 einen Cyberangriff und erklärte, dass ihr E-Mail-System auf ihrer Website ausgefallen sei. Das Krankenhaus Les Bluets warnte die Patienten vor möglichen Phishing-Angriffen und riet allen Patienten, die ihre Dienste in Anspruch nahmen, ihre E-Mail-Adressen zu ändern.

Die Ransomware-Hackergruppe Vice Society übernahm die Verantwortung für den Cyberangriff. Die Gruppe verwendete Ransomware, die Daten verschlüsselt, und forderte eine Zahlung, um ihre Netzwerke innerhalb eines Tages wiederherzustellen. Während die Hackergruppe jedoch angab, dass alle Systemsektoren vollständig verschlüsselt seien, hatte das Krankenhauspersonal Zugriff auf die meisten Krankenakten.

Das Krankenhaus gab neun Tage später auch ein Update zur Situation und erklärte, dass die Hacker mehr als 150 GB an Dateien mit persönlichen Daten und Gesundheitsakten von Patienten aus den Systemen des Krankenhauses gestohlen haben.

Laut Zataz haben die Hacker die gestohlenen Dokumente und Dateien im Dark Web offengelegt, nachdem das Krankenhaus sich geweigert hatte, das Lösegeld zu zahlen. Zu den Daten gehörten Patientennamen, Adressen, Konten und Outlook-Kontosicherungen von Mitarbeitern.

Vice Society ist dafür bekannt, Schulen und Gesundheitseinrichtungen ins Visier zu nehmen, und ist berüchtigt dafür, dass sie im Jahr 2022 die Dienstleistungen in der Klinik des Arles Hospital und der Ajaccio Klinik komplett unterbrochen hat. Sie verwenden in der Regel eine doppelte Erpressungstechnik - eine Ransomware-Methode, die die Systeme der Zielperson verschlüsselt und droht, die gestohlenen Daten im Dark Web hochzuladen.

4. Thales

Datum: 11. November 2022

Auswirkung: 9,5 GB an Archivdateien sind durchgesickert.

Thales, ein französisches Verteidigungs- und Luft- und Raumfahrtunternehmen für Radargeräte, Drohnen und Militärsatelliten, erlitt einen Cyberangriff, der zu einem Datenleck sensibler Informationen im Dark Web führte.

Das Unternehmen bestritt die Tatsache, dass seine Systeme gehackt wurden, bestätigte aber, dass Daten von einem Benutzerkonto von Kooperationspartnern aus Italien und Malaysia gestohlen wurden, bei denen es sich um ein Datenleck von 9,5 GB Archivdateien handelte.

Das Unternehmen geht davon aus, dass das Datenleck die Daten von Thales umfasste, die technische Dokumente, mögliche Unternehmensdaten, kommerzielle Dokumente, Kundendaten, Finanzdaten und experimentelle Software enthalten, die angeblich von unschätzbarem Wert ist.

Die LockBit 3.0-Ransomware-Bande, eine relativ neue Hackergruppe, die seit Juli 2022 aktiv ist, ist für das Datenleck verantwortlich und als RaaS-Anbieter (Ransom as a Service) bekannt. Das Unternehmen hat bereits eine interne Untersuchung eingeleitet und die französische nationale Cybersicherheitsbehörde ANSSI informiert.

Thales versichert, dass die durchgesickerten Daten keine kritischen Regierungsdaten von nationalen Sicherheitsprogrammen und Militärprojekten enthalten. Französische lokale Quellen geben jedoch an, dass weitere Daten und Informationen noch online entdeckt werden müssen.

Laut Reuters stürzten die Aktien von Thales nach dem Angriff um 8,5 % ab, aber Thales erklärte, dass der Kursrückgang nicht mit dem Angriff zusammenhänge.

5. iDealWein

Datum: Oktober 2022

Auswirkung: Unbekannte Menge an Diebstahl von Kundendaten.

Der berühmte französische Online-Händler für Wein, iDealwine, erlitt im Oktober 2022 eine Datenschutzverletzung und hat die Gesamtzahl der betroffenen Kundendaten nicht bekannt gegeben.

Ihr Shop wurde wochenlang offline geschaltet, und das Unternehmen ergriff Maßnahmen, um mit dem Cyberangriff fertig zu werden, indem es Experten und Datenschutzbehörden aus Frankreich und Großbritannien kontaktierte.

Zu den betroffenen Datentypen gehörten Kundennamen, Adressen, Telefonnummern und E-Mail-Konten. Das Unternehmen versichert jedoch, dass Kreditkartendaten und Bankinformationen nicht kompromittiert werden, da diese Daten nicht gespeichert werden.

Obwohl aufgrund der strengen Verschlüsselungsrichtlinien keine Passwörter kompromittiert wurden, forderte das Unternehmen alle Kunden auf, ihre Passwörter per E-Mail und Blog zu ändern.

6. Corbeil-Essonnes

Datum: 23. August 2022

Auswirkungen: Alle Krankenakten des Krankenhauses werden veröffentlicht

Ein Cyberangriff auf ein französisches Krankenhaus in Corbeil-Essonnes in der Nähe von Paris führte dazu, dass Krankenschwestern ihre Daten von Grund auf manuell ablegen mussten. Der Cyberangriff legte das IT-System, die Datenspeicherung, die Bildgebungsspeicherung, die Patientenaufnahmesysteme und die Finanzsoftware des Krankenhauses lahm.

Die Hacker forderten ein Lösegeld von 10 Millionen Euro, um das System freizuschalten, und drohten mit der Freigabe von Patientenakten, wenn die Anforderungen nicht erfüllt würden. Der Direktor des Krankenhauses, Gilles Calmes, weigerte sich, die Ransomware-Hacker zu bezahlen.

Das Krankenhauspersonal kehrte zu analogen Verfahren wie dem Brennen von Krankenakten auf DVDs zurück. Sie mussten mit begrenzten Ressourcen arbeiten und waren gezwungen, alle unkritischen Dienstleistungen an einen anderen Ort in Paris umzuleiten. Diese analoge Herabstufung kostete das Krankenhaus 2 Millionen Euro.

Darüber hinaus war es den Mitarbeitern untersagt, ihre persönlichen Geräte auf dem Firmengelände anzuschließen, da alle ihre Systeme infiziert sein könnten.

Die französische taktische Elitetruppe GIGN verhandelte mit den russischen Hackern. Ihr Team für Terrorismusbekämpfung und Geiselnahmen kommunizierte mit den Hackern über den Dienst Protonmail, einen von den Angreifern gewählten Kommunikationskanal.

Dem Team gelang es, das Lösegeld von 10 Millionen Euro auf eine Million zu senken, um Zeit zu gewinnen. Das Krankenhaus weigerte sich, das Lösegeld erneut zu zahlen, und die Daten wurden online veröffentlicht.

Angeblich wurde der Angriff von der in Russland ansässigen Lockbit-Gruppe orchestriert, die für Betrügereien und andere Cyberangriffe auf US-Privatkliniken und Gesundheitsdienste bekannt ist. Das Zentrum erstellte die investigativen Berichte für die Abteilung zur Bekämpfung der digitalen Kriminalität (C3N).

Gesundheitsminister François Braun spendete 20 Millionen Euro, um die Datensicherheit des Krankenhauses zu verbessern, was bedeutet, dass das Krankenhaus wahrscheinlich zu Standardverfahren zurückgekehrt ist und die Systeme wieder online sind.

7. Apollo.io

Datum: Mai 2018 (gemeldet September 2018)

Auswirkungen: Ca. 10.930.000 Datensätze (neun Milliarden Datenpunkte und 125 Millionen E-Mail-Adressen)

Fast 11 Millionen Datensätze von französischen Nutzern wurden angeblich nach einer Datenpanne bei der in San Francisco ansässigen Digital-Marketing-Firma Apollo im Dark Web zum Verkauf angeboten. Apollo äußerte sich nicht zu der Datenschutzverletzung.

Im September 2018 gab ein Benutzer an, dass er die Datenbank von Apollo infiltriert und 11 Millionen Datensätze französischer Benutzer von Apollo gestohlen hat, um sie online zum Verkauf anzubieten. Der Hacker gab nicht bekannt, wie der Angriff durchgeführt wurde und welche anderen Datensätze sich in seinem Besitz befanden.

Zu den offengelegten Daten gehörte eine erstaunliche Anzahl von Datensätzen, wie 125 Millionen E-Mail-Adressen und neun Milliarden Datenpunkte. Dieser Angriff setzte auch die Benutzer und Arbeitgeber von Apollo zusätzlichen Phishing- und anderen Cybersicherheitsangriffen aus.

Zu den Datensätzen gehören u.a.:

• Namen
• E-Mail-Adressen
• Standort-Koordinaten
• Social-Media-Profile
• Telefonnummern
• Informationen zum Arbeitsplatz

Nach Angaben der Apollo-Mitarbeiter führt das Unternehmen regelmäßig Sicherheitsaudits durch und verfügt mit seiner Intrusion-Detection-Software über die richtige Cybersicherheit.

Französische Nutzer können über die Apollo-Website einen Antrag auf Löschung ihrer Daten stellen, wenn sie bezweifeln, dass ihre Daten kompromittiert sind.

8. Assistance Publique-Hôpitaux de Paris (AP-HP)

Datum: Mitte 2020 (bestätigt am 12. September)

Auswirkungen: Krankenakten und Daten von 1,4 Millionen COVID-19-Patienten durchgesickert

Die französische Datenschutzbehörde CNIL veröffentlichte am 21. September 2021 eine Erklärung, nachdem sie über die Datenschutzverletzung der Assistance Publique-Hôpitaux de Paris (AP-HP) informiert worden war, die personenbezogene Daten und Krankenakten von 1,4 Millionen Patienten umfasste, die im Jahr 2020 in Paris auf COVID-19 getestet wurden.

Die CNIL forderte alle Betroffenen auf, nicht auf ihre gehackten Dateien zuzugreifen, da diese weitere Risiken oder Malware darstellen können.

Zu den Kategorien personenbezogener Daten, die sich aus dem Datenleck ergaben, gehörten:

• COVID-19-Testergebnisse
• Art der COVID-19-Tests
• Vor- und Nachname
• Geburtsdatum
• Geschlecht
• Sozialversicherungsnummer
• Privatadressen
• E-Mail-Adresse
• Telefonnummern
• Namen der an den Tests beteiligten Angehörigen der Gesundheitsberufe

Der Cyberangriff nutzte das COVID-19-Kontaktverfolgungssystem des Pariser Krankenhauses, das SI-DEP, aus, das bereits Sicherheitsprobleme aufwies.

Dieser Hack ist einer von vielen, die seit der Pandemie die öffentlichen Krankenhäuser und Gesundheitseinrichtungen in Frankreich betroffen haben.

Anfang September 2021 wurden die COVID-19-Testergebnisse und die personenbezogenen Daten von 700.000 Personen aufgrund einer Datenpanne von einer fehlerhaften Schnittstellenplattform für das SI-DEP-System, das Apotheker verwendeten, durchgesickert.