Das französische Gesundheitswesen und die E-Mail-Fälschung: eine Bestandsaufnahme

Von Thomas · virtueller CISO · 03. September 2026

Eine Nachricht, die von einem Krankenhaus zu kommen scheint, genießt ein Vertrauen, das nur sehr wenige Absender besitzen. Eine Einladung zur Sprechstunde, ein Untersuchungsergebnis, eine Aufenthaltsrechnung, eine Personalanweisung an eine Pflegekraft: alles wird geöffnet, gelesen, befolgt. Die Angreifer haben das längst begriffen, und die jüngere Geschichte der französischen Krankenhäuser trägt die Spuren davon — die Universitätsklinik Rouen Ende 2019 lahmgelegt, die Krankenhäuser von Dax und Villefranche-sur-Saône Anfang 2021 im Abstand weniger Tage verschlüsselt, das Krankenhaus im Süden der Île-de-France in Corbeil-Essonnes im Sommer 2022 zu wochenlangem Notbetrieb gezwungen, gefolgt von einem Abfluss von Patientendaten. Ransomware mit unterschiedlichem Vorgehen, aber eine Konstante, die in den Nachbetrachtungen der Branche wiederkehrt: Der Einbruch beginnt sehr oft mit einer glaubwürdigen E-Mail. Und nichts macht eine Nachricht glaubwürdiger als ein gefälschter Absendername.

Die Frage „wo stehen die französischen Krankenhäuser bei DMARC" ist daher keine Ingenieursneugier: Sie ist ein Indikator für die Solidität des Kanals, über den Einladungen, Ergebnisse, Lieferantenkontakte und Krisenkommunikation von Hunderten Einrichtungen laufen. Doch diese Frage verlangt eine Messung, keinen Eindruck. Die Antwort ist öffentlich überprüfbar: Eine DMARC-Richtlinie liest sich im DNS, für alle sichtbar, Domain für Domain, Monat für Monat.

Das ist die Arbeit des Gesundheitsstrangs des Branchenbarometers von dmarc.com. Dieser Artikel übernimmt nicht die Zahlen des Monats — in einem Beitrag festgeschrieben, wären sie im nächsten Quartal überholt. Er liefert das Leseraster: warum die Branche so exponiert ist, wie sich ihre Landschaft gliedert, was gemessen wird und wie, welche wiederkehrenden Muster der Korpus zeigt, was der Rechtsrahmen ändert — und verweist dann für die aktuelle Messung auf die monatliche Ausgabe.

Warum das Gesundheitswesen ein Ziel für sich ist

Drei Merkmale machen das Gesundheitswesen zu einem besonderen Angriffsfeld, und keines davon ist unabänderlich.

Das erste ist der Wert der Daten. Eine Patientenakte bündelt Identität, Sozialversicherungsnummer, Krankengeschichte, Kontaktdaten und familiäre Situation — ein weiterverkäufliches, für gezielten Betrug wiederverwendbares und nicht widerrufbares Paket: Eine Kartennummer wird mit einem Anruf annulliert, eine Krankengeschichte niemals. Die Datenabflüsse nach bestimmten Angriffen auf französische Einrichtungen haben öffentlich gezeigt, was aus solchen Daten nach der Exfiltration wird: zunächst ein Erpressungshebel, danach Rohstoff für weitere Betrügereien.

Das zweite ist die Versorgungskontinuität. Ein angegriffenes Krankenhaus schließt nicht: Es verschiebt Eingriffe, kehrt zur Papierakte zurück, leitet Notfälle in Nachbareinrichtungen um. Der Notbetrieb eines Krankenhausinformationssystems zählt sich in Wochen, und seine tatsächlichen Kosten messen sich in verzögerter Versorgung. Genau diese existenzielle Abhängigkeit vom laufenden Betrieb macht die Branche für Erpressung attraktiv: Nirgends ist der Druck zu zahlen stärker.

Das dritte ist die menschliche Angriffsfläche. Teams unter Dauerbelastung, Nachtdienste, hohe Personalfluktuation, Assistenzärzte und Zeitarbeitskräfte, die die Organisation jedes Semester neu kennenlernen: Eine „dringende" E-Mail in den Farben der Leitung, des Verbunds oder eines bekannten Lieferanten findet dort ideale Bedingungen. Doch die erste Verteidigungslinie gegen diese E-Mail ist nicht die individuelle Wachsamkeit — sie gibt um drei Uhr morgens immer nach — sondern die Authentifizierung der Absenderdomain: Eine Nachricht, die die genaue Adresse der Einrichtung fälscht, lässt sich abweisen, bevor sie überhaupt ein Postfach erreicht.

Universitätskliniken, Krankenhausverbünde, Kliniken, Labore, Pflegeheime: eine zersplitterte Landschaft

Von „den Krankenhäusern" im Singular zu sprechen verdeckt eine Heterogenität, die wenige Branchen erreichen. Der Gesundheitskorpus mischt Realitäten, die kaum mehr gemein haben als die Sensibilität ihrer Daten.

Die Universitätskliniken und großen Zentren verfügen über eine gut ausgestattete Digitaldirektion, eine benannte Sicherheitsverantwortung, manchmal ein gemeinsames Sicherheitsleitzentrum. Mittlere und kleine Krankenhäuser leben eine andere Realität: Seit 2016 sind sie in territoriale Krankenhausverbünde gruppiert — rund einhundertfünfunddreißig davon —, mit einer gemeinsamen IT-Abteilung, die das Informationssystem mehrerer Einrichtungen zugleich trägt. Die Bündelung hilft: Eine auf Verbundebene durchgeführte DMARC-Remediation kommt allen Mitgliedern auf einmal zugute. Sie verlängert auch die Warteschlangen: Dasselbe Team wägt zwischen der elektronischen Patientenakte, der Telefonie, den Rufbereitschaften und der DNS-Hygiene ab.

Privatkliniken teilen sich zwischen großen nationalen Gruppen — zentralisierte IT, ein verwalteter Domainbestand — und unabhängigen Einrichtungen, wo die Informatik manchmal auf einem einzigen lokalen Dienstleister ruht. Die medizinischen Analyselabore, in regionale und nationale Netze konsolidiert, versenden ein beträchtliches Volumen an Ergebnis- und Erinnerungsnachrichten. Die Pflegeheime bilden das Schlusslicht: minimale Informatik, keine eigene Sicherheitskompetenz, und doch täglicher Austausch mit Familien, Apotheken und Kostenträgern.

Eine französische Besonderheit erschwert die Lektüre zusätzlich: Das gesicherte Nachrichtensystem des Gesundheitswesens deckt den Austausch zwischen Fachleuten ab, aber alles andere — Patienteneinladungen, Portalbenachrichtigungen, Personalwesen, Lieferantenbestellungen, institutionelle Kommunikation — läuft über die gewöhnlichen Domains der Einrichtungen. Es sind diese Domains, die der breiten Öffentlichkeit bekannten, die DMARC schützt oder bloß lässt.

Was das Barometer erhebt, und wie

Der Gesundheitsstrang des Barometers des DMARC-Observatoriums verfolgt einen Korpus von Domains französischer Gesundheitseinrichtungen — Universitäts- und Allgemeinkrankenhäuser, Klinikgruppen, Labornetze — und erhebt sie am öffentlichen DNS. Die Methode ist keineswegs intrusiv: Sie liest, was jeder Resolver sieht. Der auf _dmarc.beispiel.de gesetzte TXT-Eintrag, die von ihm deklarierte Richtlinie p=, das Schicksal der Subdomains, der SPF-Eintrag und seine Strenge, die öffentlichen Indizien für DKIM und BIMI.

Jede Domain wird nach ihrer effektiven Richtlinie eingeordnet: reject (die Fälschung wird abgewiesen), quarantine (sie geht in den Spam), none (Überwachung ohne Blockade), Eintrag fehlt, oder ungültig — ein einziger Syntaxfehler genügt, um eine Richtlinie jeder Wirkung zu berauben. Die Erhebung wird jeden Monat wiederholt, was zwei Dinge liefert, die eine isolierte Momentaufnahme nie gibt: eine Rangfolge zu einem Datum und eine Verlaufslinie — wer vorankommt, wer stagniert, wer zurückfällt.

Die nützliche Hierarchie liest sich so: fehlt < ungültig < none < quarantine < reject. Ein auf p=none gesetzter Eintrag:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

blockiert strikt nichts — er ist ein Lauschmodus, unverzichtbar zum Start, ohne jeden defensiven Wert. Eine Krankenhausdomain auf p=none bleibt genau so fälschbar, als hätte sie kein DMARC; der einzige Unterschied ist, dass die Versuche in ihren Berichten erscheinen.

Ein festes Prinzip folgt aus dem monatlichen Takt: Dieser Artikel nennt keinen Prozentsatz. Eine hier gedruckte Zahl wäre sechs Monate später falsch und würde dennoch weitergelesen. Die Verteilung nach Status, die Rangfolge nach Einrichtung und die monatliche Entwicklung leben in der monatlichen Ausgabe, bei jeder Erhebung aktualisiert — sie ist maßgeblich.

Die strukturellen Muster des Gesundheitskorpus

Ohne die Zahlen des Monats zu übernehmen, kehren vier strukturelle Muster in diesem Korpus wieder — und sie benennen die realen Baustellen.

Die großen Universitätskliniken relativ voraus. Die sichtbarsten Einrichtungen sind in der Regel am besten gepflegt: ein benanntes Sicherheitsteam, regelmäßige Audits, eine mediale Exposition, die Nachlässigkeit verbietet. „Relativ" bleibt das richtige Wort: Der Vorsprung zeigt sich oft als Vorhandensein eines Eintrags und einer Überwachung, noch nicht als eine über den gesamten Umfang gehärtete Richtlinie.

Der lange Schwanz. Hinter dem Spitzenfeld dehnt sich die Verteilung: mittlere Krankenhäuser auf halbem Weg, kleine Strukturen ganz ohne Eintrag, Pflegeheime dem Thema entrückt. Der Durchschnitt eines solchen Korpus sagt fast nichts; die Form der Verteilung sagt alles, und es ist diese Form, die die monatliche Ausgabe sichtbar macht.

Mehrere Domains pro Einrichtung. Ein und dasselbe Krankenhaus häuft oft eine historische Domain, die Domain des Verbunds, Domains je Standort oder je Aktivität — Rekrutierung, Stiftung, Veranstaltungen. Der Angreifer wählt die am wenigsten bewachte Tür: Eine strenge Richtlinie auf der Hauptdomain schützt eine Einrichtung schlecht, deren Rekrutierungsdomain, die spontan an Bewerber schreibt, auf none bleibt. Ruhende Domains — frühere Identitäten, vergangene Fusionen — verriegeln sich dennoch mit zwei Einträgen: einem SPF v=spf1 -all und einem DMARC p=reject. Es ist die kostengünstigste Baustelle der ganzen Branche.

Ungültige Einträge. Das Krankenhaus-DNS hat oft mehrere Dienstleister und mehrere Fusionen durchlaufen; es behält die Narben — duplizierte Einträge, fehlerhafte Syntax, eine verwaiste Berichtsadresse. Eine ungültige Richtlinie kommt einem Fehlen gleich, und nur eine regelmäßige Erhebung erkennt sie.

Der aktuelle Standard, DMARCbis (RFC 9989 bis 9991), verfeinert die Lektüre dieser Erhebungen: Die Kennung pct ist zugunsten des Testmodus t=y verschwunden, die Richtlinienermittlung folgt dem DNS Tree Walk, und die Kennung np= deckt nicht existierende Subdomains ab — bevorzugtes Ziel „technischer" Fälschungen. Der Kopf v=DMARC1 bleibt rückwärtskompatibel. Eine ausgereifte Richtlinie für eine Krankenhausdomain sieht so aus:

v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.de; sp=reject; np=reject

Datenhosting im Gesundheitswesen, das CaRE-Programm, NIS2: ein Rahmen, der in dieselbe Richtung drängt

Die Branche schreitet nicht allein voran: Drei Rahmen drängen, jeder auf seine Weise, zur authentifizierten Post.

Die Zertifizierung für das Hosting von Gesundheitsdaten regelt die Speicherung dieser Daten: Eine Einrichtung oder ihr Dienstleister muss diese Daten einem zertifizierten Hoster anvertrauen. Das ist ein notwendiges Fundament, aber es sagt nichts über den E-Mail-Kanal: Ein Krankenhaus kann beim Hosting seiner Patientenakte tadellos sein und seine Domain frei fälschbar lassen. Die beiden Themen sind getrennt, und das zweite blieb lange im toten Winkel.

Das Ende 2023 gestartete CaRE-Programm zur Beschleunigung der Cybersicherheit der Gesundheitseinrichtungen hat die Lage verändert: zweckgebundene Finanzierung, Audits der ins Internet exponierten Fläche, Krisenübungen. Die Absicherung der Domains — DNS, Post-Authentifizierung — fügt sich natürlich in diese Bewegung, weil sie die beiden Kästchen des Programms abhakt: kostengünstig, mit sofortiger Wirkung.

NIS2 schließlich führt einen Teil der Gesundheitsakteure in den Kreis der wesentlichen Einrichtungen: dokumentiertes Risikomanagement, verhältnismäßige Schutzmaßnahmen, Meldung von Vorfällen. Die Richtlinie nennt DMARC nicht — wie die meisten Texte schreibt sie ein Ergebnis vor, kein Mittel. Aber eine trotz Berichten über den Missbrauch auf p=none belassene Domain wird zu einer schwer zu verteidigenden Position vor einem Prüfer oder einer Behörde.

Hinzu kommt ein Druck ohne Gesetzestext: Seit 2024 verlangen Gmail und Yahoo eine Authentifizierung der Absender im Volumen, und Microsoft ist 2025 gefolgt. Terminerinnerungen, die nicht mehr ankommen, sind verpasste Sprechstunden — die Zustellbarkeit ist hier ein Thema der öffentlichen Gesundheit, bevor sie ein Marketingthema ist.

Mit den Mitteln einer Krankenhaus-IT sanieren

Die DMARC-Remediation einer Gesundheitseinrichtung lässt sich nicht wie die einer Bank denken: kein eigenes Team, bereits gesättigte Rufbereitschaften, ein Informationssystem, in dem die Patientenakte immer vor dem DNS kommt. Das Vorgehen muss dem Rechnung tragen — und es ist möglich, weil DMARC sich gut für den unterbrochenen Aufwand eignet.

Der erste Schritt birgt kein Risiko: p=none mit einer Berichtsadresse veröffentlichen und die Daten auflaufen lassen. Keine Nachricht wird blockiert, das Inventar baut sich von selbst auf — der Postdienst der Einrichtung (oft Microsoft 365 oder ein gemeinsames Hosting), die Terminbuchungsplattform, die Lohn- und Personalwerkzeuge, die institutionellen Rundschreiben, die Ergebnisserver. Jede erkannte Quelle wird anschließend ausgerichtet — SPF, DKIM — nach und nach, zwischen zwei Notfällen.

Die zweite Handlung ist das Verriegeln der Domains, die nichts versenden: wenige Minuten je Domain, ein endgültiger Gewinn. Die dritte ist die stufenweise Härtung der Hauptdomain — quarantine, dann reject, gestützt auf den Testmodus t=y von DMARCbis, um den Aufstieg zu markieren. Auf jeder Stufe sagen die Berichte, ob ein legitimer Fluss betroffen wäre, bevor er es tatsächlich ist.

Der begrenzende Faktor ist fast nie die Technik, es ist die Analysezeit: rohe XML-Berichte wird im Krankenhaus niemand lesen. Der werkzeuggestützte Betrieb — Aggregation, Quellenerkennung, Warnungen — bringt das Thema auf einige Entscheidungen pro Monat herunter, ein mit einer gemeinsamen IT-Abteilung verträgliches Format. Die vollständige Runde des Themas für die Branche, Dienstleister und Fachsoftware eingeschlossen, ist in dem Leitfaden zur Post der Gesundheitseinrichtungen abgesteckt.

Die Fälschung einer Gesundheitsdomain ist ein Patientenrisiko

Es bleibt zu benennen, was diesen Korpus wirklich von allen anderen unterscheidet: die Natur des Risikos. Die Fälschung einer Bankdomain stiehlt Geld; das Barometer der französischen Banken zeigt eine Branche, die das längst begriffen hat, getrieben von Betrug und von ihrem Regulator. Die Fälschung einer Gesundheitsdomain trifft Menschen in dem Moment, in dem sie verletzlich sind.

Eine gefälschte Ergebnisnachricht, die auf ein nachgemachtes Portal umleitet, sammelt vollständige Identitäten. Eine gefälschte Terminabsage verzögert eine Behandlung. Eine gefälschte Aufenthaltsrechnung leitet die Zahlung einer Familie um. Eine gefälschte Nachricht der Leitung an eine Pflegekraft öffnet die Tür zum Informationssystem — und man landet wieder beim Ransomware-Szenario, dem, das Operationssäle stilllegt. In jedem dieser Szenarien ist die gefälschte Domain das Werkzeug, und das letzte Opfer ist nicht die Einrichtung: Es ist der Patient.

Deshalb gehört der Schutz der Domain zur Sicherheit der Versorgung, genau wie die Händehygiene — eine kostengünstige Präventionsmaßnahme, deren Fehlen sich erst im Augenblick des Vorfalls zeigt. Die Mechanismen, über die eine ungeschützte Domain ausgenutzt wird, und die Gegenmaßnahmen in der nützlichen Reihenfolge, sind in Phishing im Namen einer Domain verhindern dargelegt.

Fazit

Das französische Gesundheitswesen häuft alles an, was Fälschung anzieht: unwiderrufliche Daten, eine existenzielle Abhängigkeit von der Dienstkontinuität, eine menschliche Angriffsfläche unter Anspannung — und eine Landschaft von extremer Heterogenität, von der geprüften Universitätsklinik bis zum Pflegeheim ohne Informatiker. Die DMARC-Haltung dieser Landschaft misst sich am öffentlichen DNS, Domain für Domain; die nützliche Lektüre ist nicht „einen Eintrag haben", sondern „eine Richtlinie anwenden", und p=none hat noch nie eine einzige Fälschung blockiert. Die strukturellen Muster — Universitätskliniken relativ voraus, langer Schwanz, mehrere und ruhende Domains, ungültige Einträge — benennen Baustellen, deren erste fast nichts kostet. Datenhosting im Gesundheitswesen, CaRE und NIS2 drängen in dieselbe Richtung, jeder über seinen Hebel. Die Zahlen des Monats leben in der monatlichen Ausgabe des Observatoriums, Erhebung um Erhebung aktualisiert.

Die Fortsetzung liegt in zwei Handgriffen. Ein Durchlauf der Domain einer Einrichtung durch den Online-Analyzer verortet ihre Position binnen Sekunden auf derselben Skala wie das Barometer — Vorhandensein, Gültigkeit, effektive Richtlinie, Subdomains. Und ein Konto anlegen eröffnet die laufende Überwachung, gestützt auf aggregierte Berichte, um die Richtlinie in dem Tempo zu p=reject zu führen, das eine Krankenhaus-IT wirklich halten kann.