Ein erheblicher Datenschutzvorfall hat sich in Sachsen ereignet, der die Ernsthaftigkeit unzureichender IT-Sicherheit bei kritischen Diensten unterstreicht. Systeme zur Notruf-Benachrichtigung von Rettungsdiensten und Feuerwehr waren derart fehlerhaft konfiguriert, dass sensible Patientendaten für jeden mit Internetzugang einsehbar waren.
Die betroffenen Pager, tragbare Empfangsgeräte für Notfalleinsätze, übermittelten Informationen unverschlüsselt und ohne angemessene Zugriffskontrollen. Das bedeutet, dass heikle medizinische und persönliche Informationen von Notfallpatienten, einschliesslich Namen, Diagnosen und Einsatzorte, öffentlich zugänglich waren.
Dieser Vorfall wirft grundsätzliche Fragen zur Cybersicherheit bei öffentlichen und kritischen Infrastrukturen auf. Rettungsdienste und Feuerwehren sind systemrelevante Einrichtungen, deren IT-Systeme höchsten Sicherheitsstandards genügen müssen. Nicht nur Patienten, sondern auch Einsatzkräfte waren potenziell gefährdet, da Einsatzorte offengelegt waren.
Für KMU-Unternehmen, die mit kritischen Daten oder sensiblen Personendaten arbeiten, bietet dieser Vorfall eine wichtige Lernstunde. Eine Sicherheitsüberprüfung der eigenen Systeme, insbesondere bei Altsystemen und Legacy-Hardware, ist oft überfällig. Regelmässige Penetrationstests, Verschlüsselung sensibler Daten im Transit und in Ruhe sowie das Prinzip der Zugriffskontrolle sind keine optionalen Extras, sondern zwingende Anforderungen.
Die Verantwortlichen in Sachsen müssen nun nicht nur technische Massnahmen ergreifen, sondern rechnen mit Konsequenzen nach Datenschutzrecht und müssen betroffene Personen benachrichtigen.