Virksomheden vidste ikke, præcis hvem der var berørt af angrebet. Så lagde den en formular på sin hjemmeside og bad folk selv melde sig og uploade legitimation. En organisation, der lige havde mistet kontrollen over personoplysninger, bad folk om at sende flere.
Over 100 institutioner. Alle systemer nede.
I juli 2025 blev en stor tysk hospitalskoncern med over 100 institutioner på mere end 50 lokationer ramt af et cyberangreb. Koncernen behandler efter egne oplysninger over 500.000 patienter om året.
Alle digitale systemer blev lukket ned som sikkerhedsforanstaltning. Driften blev begrænset. Operationer blev udskudt. Koncernen fastholdt, at patientbehandling og akutmodtagelser var sikret.
Uretmæssig adgang. Uklar skade.
I slutningen af august meldte koncernen ud, at angriberne fra enkelte lokationer havde fået uretmæssig adgang til personoplysninger. Både patienter og medarbejdere var berørt.
Koncernen lagde en formular på sin hjemmeside. Folk der troede sig berørt, kunne selv anmode om oplysninger. Og de blev bedt om at uploade legitimation som del af processen.
Loven siger det modsatte
Persondataforordningen kræver, at virksomheden ved høj risiko selv underretter de berørte uden unødig forsinkelse. Underretningen skal ikke gøres afhængig af, at de berørte selv opdager problemet og melder sig.
Flere tyske delstaters datatilsyn gik ind i sagen. Tre måneder efter angrebet var skadeomfanget for de berørte fortsat uklart.
Kursændring
Koncernen ændrede efterfølgende fremgangsmåden. Berørte ville blive kontaktet uopfordret. Formularen blev gjort frivillig. Og de identifikationsdata, den havde indsamlet, blev slettet.
I juni 2026 kom den afsluttende opdatering. Der kunne ikke konstateres udløb eller offentliggørelse af personoplysninger. Koncernen havde tidligere oplyst, at der ikke var sket et centralt dataudtræk fra hverken de kliniske systemer eller personaleadministrationen.
De to udmeldinger modsiger ikke nødvendigvis hinanden. Uretmæssig adgang og påvist dataudtræk er ikke det samme. Men i elleve måneder var det de berørte, der bar usikkerheden.
Det egentlige arbejde
Pointen er ikke, at koncernen handlede i ond tro. De rettede kursen. Pointen er, at den første reaktion, den spontane, var at vende bevisbyrden mod de mennesker, der var ramt.
Det sker, når krisekommunikationen ikke er besluttet på forhånd. Når ingen har skrevet ned, hvad der skal siges, når man endnu ikke ved noget. Ikke i at vide alt på dag to. Men i at have besluttet, hvordan I taler med mennesker, mens I stadig undersøger.
Tre ting at gøre nu
Skriv ned, hvem der må udtale sig om omfanget af en hændelse, før undersøgelsen er færdig. Og hvem der overtager, hvis vedkommende ikke er tilgængelig. Klokken to om natten er det for sent at diskutere mandat.
Find ud af, om I kan kontakte jeres kunder uden de systemer, der er nede. Ligger kontaktoplysningerne kun i driftssystemet, kan I ikke underrette nogen den dag, I skal. En eksporteret liste, gemt adskilt, er forskellen mellem underretning og tavshed.
Gennemgå jeres hjemmeside for formularer, der beder folk uploade legitimation. Hver formular er en ny indsamling af personoplysninger, I bagefter skal beskytte. Midt i en krise er den sidste ting, I har brug for, mere data at miste.
En uafhængig cybersikkerhedsaudit kan teste, om jeres krisekommunikation holder, når I endnu ikke kender omfanget, og om jeres underretningsproces opfylder lovens krav uden at skabe nye risici.
Hvad ville I sige på dag to, hvis I endnu ikke vidste, hvad der var taget, og hvem hos jer ville sige det?
Har du brug for hjælp til at forberede jeres krisekommunikation og underretningsprocedure?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
