Barnaclínic: Gericht bestätigt 109.750 Euro Strafe nach Ransomware-Angriff

Ein Verwaltungsgericht in Barcelona hat eine fünfstellige Datenschutzstrafe gegen eine spanische Privatklinik bestätigt. Das Juzgado de lo contencioso-administrativo Nr. 9 der katalanischen Metropole wies den Rekurs von Barnaclínic, dem privaten Zweig des renommierten Hospital Clínic de Barcelona, am 28. September 2026 vollumfänglich ab. Damit bleibt eine Geldbuße in Höhe von 109.750 Euro bestehen, die im Jahr 2024 nach einem schwerwiegenden Ransomware-Angriff wegen unzureichenden Schutzes von Patientendaten verhängt worden war.

Die Entscheidung unterstreicht die strengen Anforderungen der europäischen Datenschutz-Grundverordnung an Betreiber im Gesundheitswesen, insbesondere im Hinblick auf den technischen Schutz hochsensibler medizinischer Daten.

Schwache Passwörter und fehlende Authentifizierung

Im Zentrum des Verfahrens standen gravierende Versäumnisse bei den grundlegenden Sicherheitsvorkehrungen. Insgesamt stellte das Gericht drei Verstöße gegen die Vorgaben der europäischen Datenschutz-Grundverordnung fest: unzureichende technische und organisatorische Sicherheitsmaßnahmen, eine ungenügende Risikobewertung sowie eine Verletzung von Pflichten im Verhältnis zum Auftragsverarbeiter.

Konkret rügte die Justiz mehrere elementare Schwachstellen im IT-System der Klinik. Dazu zählten unzureichend komplexe Passwörter sowie das Fehlen einer Multifaktor-Authentifizierung für den Systemzugang.

Wer sich mit dem Schutz sensibler Daten befasst, muss die gesetzlichen Anforderungen an die Risikoanalyse genau kennen. Dieses kostenlose E-Book bietet eine rechtssichere Muster-Vorlage und Checklisten, um die notwendige Datenschutz-Folgenabschätzung korrekt durchzuführen. Rechtssichere Muster-Vorlage jetzt kostenlos herunterladen

Zudem beanstandete das Gericht, dass keine Kontrolle externer Audits stattgefunden habe. Dies stellte zugleich einen Verstoß gegen das spanische Esquema Nacional de Seguridad dar, das verbindliche Sicherheitsstandards für die Verarbeitung sensibler Daten vorschreibt.

Die Richter sahen es als erwiesen an, dass diese Versäumnisse den Cyberkriminellen den Angriff auf die Kliniksysteme und den Zugriff auf vertrauliche Patientenakten erleichtert hatten.

Signalwirkung für den Gesundheitssektor

Das Urteil vom 28. September 2026 ist formal noch nicht rechtskräftig. Dem privaten Klinikbetreiber stand nach der Urteilsverkündung eine Frist von 15 Tagen offen, um Rechtsmittel in Form einer Berufung einzulegen. Unabhängig vom weiteren juristischen Fortgang setzt der Beschluss jedoch ein klares Zeichen für Unternehmen und Träger im medizinischen Sektor.

Juristen und IT-Sicherheitsexperten weisen regelmäßig darauf hin, dass Einrichtungen im Gesundheitswesen ein bevorzugtes Ziel von Ransomware-Gruppen sind, da Patientendaten auf dem Schwarzmarkt besonders wertvoll sind und Störungen der Systeme den regulären Betrieb unmittelbar gefährden.

Der Fall zeigt deutlich, wie wichtig eine lückenlose Dokumentation aller Datenverarbeitungen ist, um im Ernstfall hohe Bußgelder zu vermeiden. Mit dieser kostenlosen Excel-Vorlage erstellen Sie Ihr erforderliches Verarbeitungsverzeichnis zeitsparend und rechtssicher nach Art. 30 DSGVO. Kostenlose Excel-Vorlage für das Verarbeitungsverzeichnis sichern

Das Verfahren gegen Barnaclínic verdeutlicht, dass Aufsichtsbehörden und Gerichte nach Cyberangriffen nicht nur den Vorfall selbst untersuchen, sondern das Augenmerk verschärft auf die präventiven Schutzmechanismen richten.

Kommen Betreiber grundlegenden Pflichten wie einer Mehrfaktor-Authentifizierung oder regelmäßigen Audit-Kontrollen nicht nach, drohen auch bei Opfern von Cyberkriminalität empfindliche Sanktionen wegen Verletzung der Sorgfaltspflichten.