Cyberkrimineller droht Ramsay mit Veröffentlichung von Patientendaten

Paris – 09.09.2026: Ein angekündigter Beitrag der France-2-Sendung Cash Investigation dokumentiert einen heiklen Moment eines mutmaßlichen Cyberangriffs: Nach Angaben von Franceinfo sprach ein Reporter mit einem Mitglied einer Tätergruppe, während dieses dem privaten Gesundheitskonzern Ramsay mit der Veröffentlichung von Daten von 45.000 Patienten drohte. Einen Ausschnitt stellte der Sender am Mittwoch vor; die vollständige Recherche soll am 10. September ausgestrahlt werden.

Der Vorabbericht schildert keine nachträgliche Rekonstruktion, sondern ein Gespräch während der akuten Drohung. Welche Datensätze die Gruppe tatsächlich besaß, welche Informationen darin enthalten waren und ob etwas davon veröffentlicht wurde, geht aus der Ankündigung nicht hervor. Auch zur Identität des Gesprächspartners liegen keine bestätigten Angaben vor. Aus dem Ausschnitt lässt sich daher weder ableiten, dass sämtliche genannten Datensätze entwendet wurden, noch, wer für einen möglichen Angriff verantwortlich ist.

Für betroffene Patientinnen und Patienten wäre bereits ein Zugriff auf solche Informationen gravierend. Gesundheitsdaten genießen nach französischem und europäischem Datenschutzrecht besonderen Schutz. Sie können Diagnosen, Behandlungen oder medizinische Vorgeschichten betreffen. In kriminellen Händen lassen sich persönliche Angaben etwa für gezielte Betrugsversuche, Erpressung oder täuschend echte Kontaktaufnahmen im Namen von Kliniken und Versicherungen missbrauchen. Betroffene sollten deshalb unerwartete Nachrichten und Zahlungsaufforderungen besonders sorgfältig prüfen.

Ramsay Santé zählt zu den großen privaten Gesundheitsanbietern Frankreichs. Der Konzern hatte bereits im Januar 2023 über einen versuchten Zugriff auf einige seiner Server berichtet. Eine Stellungnahme des Unternehmens zu dem nun von Cash Investigation geschilderten Vorgang war in den herangezogenen Unterlagen nicht zu finden. Offen ist deshalb, ob Ramsay einen aktuellen Angriff bestätigt und ob zuständige Behörden über eine mögliche Gefährdung informiert wurden.

Bei Verletzungen des Schutzes personenbezogener Daten gelten Meldepflichten nach der Datenschutz-Grundverordnung. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, müssen grundsätzlich auch diese benachrichtigt werden. Ob diese Voraussetzungen im vorliegenden Fall erfüllt sind, hängt insbesondere davon ab, ob Daten tatsächlich abgeflossen sind und welchen Inhalt sie hatten.

Zusätzliche Brisanz erhält der Bericht durch eine jüngere Entscheidung der französischen Datenschutzaufsicht CNIL. Sie verhängte Anfang September gegen das Hôpital Privé de la Loire in Saint-Étienne, das zum Ramsay-Konzern gehört, wegen Datenschutzmängeln nach einem früheren Vorfall eine Geldbuße von 500.000 Euro. Dieser frühere Fall belegt jedoch nicht die aktuelle Behauptung der Cyberkriminellen. Der bislang gesicherte Kern der neuen Meldung bleibt die gegenüber dem Reporter ausgesprochene Drohung mit 45.000 Patientendatensätzen.

Quellen

• Franceinfo
• CNIL
• Ramsay Santé