Ausgabe #9 | September 2026, Woche 2
8. September 2026Von veralteten psychiatrischen Akten in Irland bis hin zu einem jugendlichen Hacker, der 700K französische Patientendaten gestohlen hat – die Aufsichtsbehörden gehen hart gegen nachlässigen Umgang mit Daten vor. Honeywell und Telstra müssen mit neuen Strafen rechnen, weil sie Cybersicherheitsvorschriften missachtet und SIM-Swap-Betrug nicht verhindert haben.
Ein französisches Krankenhaus wurde mit einer Geldbuße von 500.000 Euro belegt, nachdem eine Datenpanne die Daten von über 700.000 Personen preisgab.
Die französische Datenschutzbehörde CNIL hat dem Hôpital privé de la Loire (HPL) eine Geldbuße in Höhe von 500.000 Euro auferlegt, da das Krankenhaus die personenbezogenen Daten von Patienten und deren Angehörigen nicht ordnungsgemäß geschützt hat.
Die Geldstrafe wurde verhängt, nachdem eine Datenpanne im Sommer 2025 sensible Informationen von 524.867 Patienten und 202.246 vertrauenswürdigen Dritten exponiert hatte. Berichten zufolge verschaffte sich ein Angreifer über ein Arztkonto Zugang und konnte auf das erweiterte Patientenakten-System des Krankenhauses zugreifen.
Die CNIL identifizierte mehrere Sicherheitsmängel, einschließlich fehlender Multi-Faktor-Authentifizierung für bestimmte externe Nutzer, schwacher Zugriffskontrollen und unzureichender Überwachung. Diese Sicherheitslücken ermöglichten es dem Angreifer, über mehrere Tage hinweg auf große Datenmengen zuzugreifen und diese auszuschleusen, ohne entdeckt zu werden.
Die Behörde stellte zudem fest, dass das HPL die 202.246 betroffenen vertrauenswürdigen Dritten nicht direkt benachrichtigte, obwohl das Krankenhaus die Patienten informierte. Ein jugendlicher Hacker unter dem Pseudonym „Marak“ bekannte sich zu dem Angriff und versuchte Berichten zufolge, die gestohlenen Daten für zwischen 2.000 und 5.000 Euro zu verkaufen.
HPL verstärkte seine Sicherheitsmaßnahmen während der Ermittlungen der CNIL. Die Verstöße betrafen die Artikel 32 und 34 der Datenschutz-Grundverordnung (DSGVO).
Honeywell Aerospace muss 2,04 Mio. US-Dollar für die Nichterfüllung von Cybersicherheitsanforderungen zahlen
Honeywell Aerospace Inc. hat sich bereit erklärt, 2,04 Millionen US-Dollar (~1,76 Millionen Euro) zu zahlen, um Vorwürfe beizulegen, wonach das Unternehmen die Cybersecurity-Anforderungen im Rahmen eines Vertrags mit dem US-Verteidigungsministerium nicht erfüllt habe, wie das US-Justizministerium bekannt gab.
Honeywell Aerospace mit Sitz in Phoenix, Arizona, bietet Luft- und Raumfahrtprodukte sowie Dienstleistungen für staatliche und kommerzielle Kunden an.
Die Vorwürfe betreffen einen Geschäftsbereich von Honeywell, der zwischen April 2020 und Dezember 2023 die im NIST SP 800-171 des National Institute of Standards and Technology festgelegten Cybersicherheitsstandards nicht eingehalten hat. Die Anforderungen galten für eines von Honeywells Netzwerken.
Der Vergleich regelt Ansprüche nach dem False Claims Act, der es Whistleblowern erlaubt, im Namen der Regierung zu klagen. Ein ehemaliger Honeywell-Mitarbeiter, der die Klage eingereicht hatte, erhält aus dem Vergleich 375.823 $ (323.700 €).
Australiens größter Telekommunikationsanbieter wurde mit 277.000 AUD Geldstrafe belegt, weil er versäumt hatte, seine Kunden vor Betrug zu schützen.
Australiens größter Telekommunikationsanbieter Telstra wurde mit einer Geldstrafe von 277.000 AUD (~171.700 €) belegt, weil er seine Kunden nicht ausreichend vor Betrug geschützt hatte.
Die australische Kommunikations- und Medienbehörde (ACMA) stellte fest, dass Telstra bei 15 nicht autorisierten SIM-Swaps die erforderlichen Identitätsprüfungen nicht abgeschlossen hatte. Ein SIM-Swap ermöglicht es einem Kunden, eine bestehende SIM-Karte oder eSIM zu ersetzen, doch Betrüger können diesen Vorgang nutzen, um Zugriff auf die Telefonnummer und die Konten eines Opfers zu erlangen.
Die Untersuchung ergab zudem 13 Fälle, in denen Telstra-Mitarbeiter es versäumt hatten, zusätzliche Betrugsschutzmaßnahmen für Kunden anzuwenden, die Bedenken geäußert hatten oder als gefährdet identifiziert worden waren.
Zusätzlich zur Geldbuße hat sich Telstra zu gerichtlich durchsetzbaren Zusagen bereit erklärt, seine Verfahren zur Betrugsprävention zu stärken und die Schulung der Mitarbeiter zu verbessern.
Die Ermittlung folgt auf frühere Durchsetzungsmaßnahmen der ACMA gegen Telstra wegen ähnlicher Verstöße. Sie ist die siebte Maßnahme im Rahmen des Vorgehens der Regulierungsbehörde gegen Mobilfunknummernbetrug, wobei Telekommunikationsunternehmen bisher Strafen in Höhe von über 5 Millionen US-Dollar gezahlt haben.
HSE mit 645.000 € Bußgeld belegt: Krankenakten in schlechtem Zustand gefunden
Die Health Service Executive (HSE), die landesweit alle öffentlichen Gesundheitsdienste in Krankenhäusern und Gemeinden in ganz Irland bereitstellt, wurde mit einer Geldstrafe von 645.000 € belegt, nachdem in zwei ehemaligen psychiatrischen Krankenhäusern Krankenakten in schlechtem Zustand gefunden wurden.
Die irische Datenschutzkommission (DPC) leitete eine Untersuchung ein, nachdem Personen unbefugten Zugriff auf Papierunterlagen im St. Loman’s Hospital in Mullingar und im St. Conal’s Hospital in Letterkenny erlangt hatten.
Bei den Inspektionen stellte die DPC fest, dass Unterlagen durch Schimmel und Wasser beschädigt, mit Schutt und Tierkot bedeckt oder durch unzureichende Lagerbedingungen schwer beeinträchtigt waren. Einige Unterlagen wurden in stillgelegten Badezimmern, Räumen ohne Heizung oder Beleuchtung und sogar in einem Frachtcontainer aufbewahrt.
Die DPC führte landesweit 12 Inspektionen durch und stellte fest, dass die festgestellten Probleme keine Einzelfälle waren. Sie erklärte, die HSE habe die ordnungsgemäße Schutzmaßnahmen für personenbezogene Daten in Papierakten nicht ergriffen.
Die HSE hat die Befunde akzeptiert und erklärt, dass derzeit an der Behebung der Probleme gearbeitet wird. Die DPC hat die HSE zudem angewiesen, eine vollständige Prüfung ihrer Speichereinrichtungen durchzuführen.
Rumänischer Kosmetikhersteller zahlt 5.000 € Bußgeld nach Cyberangriff
Der große rumänische Kosmetikhersteller Gerocossen SRL wurde mit einer Geldstrafe von 5.000 € belegt, nachdem bei einem Cyberangriff personenbezogene Daten von Kunden offengelegt wurden. Die rumänische Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten (ANSPDCP) stellte fest, dass Gerocossen gegen Artikel 32 Absatz 1 Buchstabe b und Artikel 32 Absatz 2 der EU-Datenschutz-Grundverordnung (DSGVO) verstoßen hatte.
Gegen das Unternehmen wurde eine Geldbuße in Höhe von 26.236,50 Lei verhängt, was 5.000 € entspricht. Die Untersuchung begann, nachdem Gerocossen die Behörde gemäß Artikel 33 der DSGVO über eine Verletzung des Schutzes personenbezogener Daten informiert hatte.
Nach Angaben der ANSPDCP zielte der Cyberangriff auf die IT-Infrastruktur des Unternehmens ab und führte zu einem unbefugten Zugriff auf oder zur Offenlegung von personenbezogenen Daten, darunter Identifikations- und Kontaktdaten.
Die Behörde stellte fest, dass Gerocossen es versäumt hatte, angemessene Sicherheitsvorkehrungen zu treffen, darunter Maßnahmen zum Schutz der Vertraulichkeit und Integrität seiner Datenverarbeitungssysteme, was einen Verstoß gegen Artikel 32 Absatz 1 Buchstabe b und Artikel 32 Absatz 2 darstellt.
Zusätzlich zur Geldbuße wies die ANSPDCP das Unternehmen gemäß Art. 58 Abs. 2 lit. d DSGVO an, Systeme zur Überwachung und Protokollierung des Zugriffs auf seine IT-Infrastruktur einzurichten. Zugriffsprotokolle müssen mindestens 30 Tage aufbewahrt und gesichert werden.
In einem anderen Fall hat die rumänische Aufsichtsbehörde verhängt gegen den Autohändler Poliserv JG (PJG) SRL eine DSGVO-Geldbuße in Höhe von 15.728 Lei (ca. 3.000 €), nachdem bei einem Phishing-Angriff Zugangsdaten für ein Konto auf Administratorebene kompromittiert worden waren. Die Angreifer nutzten die gestohlenen Zugangsdaten, um auf personenbezogene Daten von Kunden zuzugreifen, darunter zumindest deren Vor- und Nachnamen.
Was kommt als Nächstes?
- Fordern Sie eine kostenlose Produktdemo oder Preisinformationen an.
- Registrieren Sie sich für unsere Webinare und Produktschulungen.
- Lesen Sie unseren wöchentlichen Blog „Cybercrime Investigations“
- Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp
- Abonnieren Sie unseren Newsletter
- Nehmen Sie an unserem Partnerprogramm teil.