Datendiebstahl von Bürgern: RFZO und das Gesundheitsministerium schulden der Öffentlichkeit Antworten

Die Bürgerbewegung „Solidarnost“ fordert den Republikanischen Krankenversicherungsfonds (RFZO) und das Gesundheitsministerium auf, die Öffentlichkeit unverzüglich und vollständig über den möglichen Diebstahl personenbezogener Daten aus den Informationssystemen des Fonds zu informieren und eine unabhängige Untersuchung einzuleiten.

Was ist geschehen?

Das Portal „Bezbedan Balkan“ dokumentierte am 17. August 2026 die Veröffentlichung eines unbekannten Akteurs, der behauptet, auf Datenbanken des RFZO zugegriffen zu haben. Als angeblichen Beweis wurden Datenbankstrukturen und Datenauszüge veröffentlicht — darunter die persönliche Identifikationsnummer (JMBG) und die Versicherungsnummer (LBO) von Versicherten sowie Informationen über ausgewählte Ärzte, deren Fachrichtungen und Gesundheitseinrichtungen. In einem der angeblichen Datensätze befinden sich 342.732 Einträge über ausgewählte Ärzte.

Wir betonen ausdrücklich, was bisher nicht bestätigt wurde: dass die Daten aller Versicherten entwendet wurden oder dass Befunde, Diagnosen und Therapien kompromittiert wurden. Doch bereits die veröffentlichten Informationen sind Grund genug für eine sofortige Reaktion. Sollte bestätigt werden, dass JMBG, LBO und andere Identifikationsdaten tatsächlich aus den Systemen des RFZO entwendet wurden, wäre dies einer der schwerwiegendsten Vorfälle in der Geschichte der elektronischen Verwaltung Serbiens. Solche Daten können für Identitätsdiebstahl, Betrug und falsche Identitäten missbraucht werden.

Veraltete Systeme und frühere Warnungen

Öffentlich zugängliche Analysen deuten darauf hin, dass auf einzelnen Servern des RFZO Kennzeichnungen sehr alter Softwareversionen sichtbar waren — CentOS 7 und PHP 5.4.16. CentOS 7 hat im Juni 2024 das Ende seines regulären Sicherheitssupports erreicht, während PHP 5.4 bereits seit Jahren nicht mehr unterstützt wird. Die bloße Anzeige dieser Versionsnummern beweist nicht, wie ein möglicher Angriff durchgeführt wurde, da Sicherheitsupdates auch implementiert werden können, ohne die angezeigte Softwareversion zu ändern. Sie erfordern jedoch eine klare Antwort: Wann wurde die Infrastruktur zuletzt umfassend aktualisiert und wer war für ihre Wartung verantwortlich?

Besonders beunruhigend ist, dass mögliche Sicherheitsprobleme auf den Internetseiten des RFZO offenbar bereits seit Jahren dokumentiert wurden — eine bereits 2021 festgestellte Schwachstelle, Spuren einer möglichen Befehlsausführung auf einem Server aus dem Jahr 2023 sowie kompromittierte Teile der Website im Februar 2025. Diese Erkenntnisse beweisen für sich genommen keinen Zusammenhang mit dem aktuellen Fall, werfen jedoch eine entscheidende Frage auf: War die Leitung über frühere Warnungen informiert und welche Maßnahmen wurden daraufhin ergriffen?

Warum die bisherige Reaktion nicht ausreicht

Der RFZO veröffentlichte am 18. August 2026 eine Stellungnahme, in der mitgeteilt wurde, dass eine Überprüfung der Systeme eingeleitet worden sei. Gleichzeitig konnte der RFZO zu diesem Zeitpunkt weder bestätigen, ob es zu einem Vorfall gekommen war, noch das Ausmaß der möglicherweise betroffenen Daten bestimmen. Die Hauptwebsite und die Seite für öffentliche Ausschreibungen waren vorübergehend nicht erreichbar.

Das vorübergehende Abschalten von Systemen kann eine gerechtfertigte Schutzmaßnahme sein. Eine kurze Stellungnahme beantwortet jedoch nicht die entscheidenden Fragen:

• Wann hat der RFZO zum ersten Mal von dem möglichen Vorfall erfahren?

• Welche Systeme waren betroffen oder wurden abgeschaltet?

• Wurde festgestellt, dass Daten tatsächlich entwendet wurden?

• Wurden der Beauftragte für Informationen von öffentlichem Interesse und den Schutz personenbezogener Daten, das Nationale CERT sowie die zuständige Staatsanwaltschaft informiert?

Nach dem Gesetz über den Schutz personenbezogener Daten muss eine bestätigte Verletzung des Schutzes personenbezogener Daten grundsätzlich spätestens 72 Stunden nach Kenntniserlangung dem Beauftragten gemeldet werden. Wenn eine Verletzung voraussichtlich ein hohes Risiko für die Rechte der betroffenen Personen darstellt, muss der Verantwortliche die betroffenen Personen unverzüglich informieren.

Wie verantwortungsvolle Staaten reagieren

Dies ist kein Einzelfall und auch kein ausschließlich serbisches Problem. Die Art und Weise, wie andere Staaten auf ähnliche Vorfälle reagiert haben, zeigt jedoch, was auch hier geschehen müsste — schnell, öffentlich und mit klarer Verantwortlichkeit.

Singapur (SingHealth, 2018). Beim größten Datendiebstahl in der Geschichte des Landes wurden Daten von 1,5 Millionen Patienten gestohlen, darunter auch die Daten des damaligen Premierministers. Die Regierung setzte umgehend eine unabhängige Untersuchungskommission ein und veröffentlichte einen detaillierten öffentlichen Bericht mit konkreten Empfehlungen. Die Datenschutzbehörde verhängte die damals höchsten Strafen, und sowohl der technische Dienstleister als auch die Gesundheitseinrichtung selbst wurden zur Verantwortung gezogen — verbunden mit der klaren Feststellung, dass der Eigentümer der Datenbank auch dann verantwortlich bleibt, wenn Aufgaben an ein anderes Unternehmen ausgelagert werden. Mehrere Mitglieder der Leitung wurden sanktioniert, einige wurden von ihren Positionen entfernt.

Finnland (Vastaamo, 2018–2020). Aus der Datenbank eines Psychotherapiezentrums wurden äußerst sensible Daten von rund 33.000 Patienten gestohlen. Die zentrale Lehre betrifft die Verzögerung bei der Information der Betroffenen: Das Verschweigen des Vorfalls verschärfte den Schaden, und der ehemalige Direktor wurde schließlich verurteilt, weil er die Daten der Kunden nicht ausreichend geschützt hatte. Der Fall erschütterte die finnische Gesellschaft zutiefst, führte zum Bankrott der Einrichtung, und der Staat erwog später, den Opfern die Änderung ihrer persönlichen Identifikationsnummern zu erleichtern. Der Angreifer wurde später zu mehreren Jahren Haft verurteilt.

Irland (HSE, 2021). Das gesamte staatliche Gesundheitssystem wurde von einem Angriff getroffen, bei dem Daten von rund 100.000 Menschen gestohlen wurden. Ein unabhängiger Bericht zeigte, dass sich die Angreifer wochenlang unbemerkt im System befanden, dass auf Tausenden Computern veraltete Software eingesetzt wurde und dass mehrere Warnungen nicht ernst genommen wurden — eine Frage, die sich nun nahezu identisch beim RFZO stellt. Der Staat weigerte sich, Lösegeld zu zahlen, veröffentlichte einen detaillierten Bericht über die Versäumnisse, informierte die betroffenen Bürger entsprechend den gesetzlichen Vorgaben und bot ihnen später eine Entschädigung an.

Der gemeinsame Nenner all dieser Fälle ist eindeutig: eine unabhängige Untersuchung, ein öffentlicher Bericht, die unverzügliche Information von Aufsichtsbehörden und Bürgern sowie die Benennung der Verantwortlichen. Diesen Standard erwarten wir auch hier.

Was wir fordern

1. Eine vollständige und wahrheitsgemäße Information der Öffentlichkeit darüber, was geschehen ist, wann der Fonds davon erfahren hat und welche Daten kompromittiert wurden.

2. Eine unabhängige Sicherheitsuntersuchung und einen öffentlichen Bericht über deren Ergebnisse.

3. Eine klare Antwort darauf, wer für die Wartung und Sicherheit der Systeme verantwortlich war, wer die Risiken bewertet hat und wie viel in den Schutz der Daten investiert wurde.

4. Eine Bestätigung, dass der Beauftragte, das CERT und die zuständigen Staatsanwaltschaften informiert wurden und dass die Bürger entsprechend den gesetzlichen Vorgaben informiert wurden.

5. Die Feststellung der Verantwortung aller Personen, die auf frühere Warnungen nicht rechtzeitig reagiert haben.

Datenschutz ist keine Frage der Öffentlichkeitsarbeit

Der Schutz personenbezogener Daten ist kein technisches Problem, das hinter verschlossenen Türen gelöst werden kann, und auch keine Frage der bloßen Kommunikation. Er ist eine gesetzliche Verpflichtung des Staates und eine Frage der persönlichen Sicherheit jedes einzelnen Bürgers. Wenn staatliche Institutionen zu abgeschotteten Systemen ohne fachliche und öffentliche Kontrolle werden, sind die Folgen nicht nur politischer Natur — sie gefährden die Privatsphäre und Sicherheit von Millionen Menschen, deren Daten der Staat zu schützen verpflichtet ist.

Die Bürger Serbiens haben das Recht zu wissen, wer ihre Daten schützt, wie sie geschützt werden und wer verantwortlich ist, wenn dieser Schutz versagt.