--- title: "Die technische Schuld des Staates: ein organisierter Bankrott" subtitle: "Chronik einer Blutung personenbezogener Daten" meta_title: "Die technische Schuld des Staates: ein organisierter Bankrott" meta_description: "Massenlecks, jahrelange Patch-Rückstände, kurzlebige Minister: Wie die technische Schuld des Staates das Vertrauen in die digitale Verwaltung untergräbt." date: 2026-08-18 author: JAS theme: "Cybersécurité" keywords: ["Datenlecks", "technische Schuld", "Cybersicherheit", "digitale Souveränität", "Staat"] image: https://ik.imagekit.io/l2lkwahet/199A/_fuites-donnees-france-dette-technique-etat_L41HvzvJj.jpg slug: die-technische-schuld-des-staates-ein-organisierter-bankrott status: published faq: [{"q":"Was bedeutet die im Artikel beschriebene \"technische Schuld des Staates\" konkret?","a":"Der Artikel bezeichnet damit die über Jahre angehäuften, dokumentierten und nie beglichenen Sicherheitsmängel in den Informationssystemen des französischen Staates. Dazu zählen Patch-Rückstände von fünf, sieben oder zehn Jahren, fehlende Segmentierung, kompromittierte Zugangsdaten und schlecht auditierte Drittanbieter. Es handelt sich nicht um unvermeidliche technologische Veralterung, sondern um wiederholte Haushalts- und Politikentscheidungen, die die Absicherung der Informationssysteme opfern."},{"q":"Wie hat sich die Zahl der Datenschutzverletzungen in Frankreich entwickelt?","a":"Die CNIL erfasste 2024 insgesamt 5.629 Meldungen von Datenschutzverletzungen, ein Anstieg um 20% binnen eines Jahres. 2025 stieg der Zähler erneut auf 6.167 gemeldete Verletzungen, 9,5% mehr, mit rund 80 Vorfällen, die in den beiden letzten Geschäftsjahren mehr als eine Million Franzosen betrafen. Frankreich war im ersten Halbjahr 2025 das am stärksten betroffene Land Europas und weltweit das zweitstärkste hinter den Vereinigten Staaten."},{"q":"Welche öffentlichen Stellen und Großvorfälle nennt der Artikel als Beispiele?","a":"Genannt werden unter anderem France Travail (bis zu 43 Millionen exponierte Arbeitsuchende, 36,8 Millionen kompromittierte Akten, 5 Millionen Euro Bußgeld), Viamedis und Almerys (über 33 Millionen Versicherte), Free und Free Mobile (19 bis 24 Millionen Abonnenten, 5,11 Millionen IBAN, 42 Millionen Euro Bußgeld), die ANTS (fast 12 Millionen Konten), die missions locales (16 Millionen Jugendliche), Cegedim (15 Millionen Patientenakten) sowie das INSEE und das Muséum national d'histoire naturelle. Insgesamt sind seit 2023 mehr als 145 Millionen Datensätze geleckt."},{"q":"Warum ist die Kumulation der Lecks gefährlicher als einzelne Vorfälle?","a":"Isoliert wirken Fragmente wie Geburtsdatum, Sozialversicherungsnummer oder IBAN harmlos, doch miteinander korreliert ermöglichen sie die Rekonstruktion vollständiger, kohärenter und im Schein überprüfbarer Identitäten. Es genügt, drei kompromittierte Quellen abzugleichen, um Millionen Bürger zu profilieren und zu manipulieren. Jedes zusätzliche Leck bereichert einen kumulativen, permanenten Angriffsreferenz, der Identitätsübernahme, Spear-Phishing und glaubwürdige Einflusskampagnen erlaubt."},{"q":"Welche Rolle spielt die ministerielle Instabilität und welche Meldepflichten gelten für den Staat?","a":"Seit 2017 folgten sieben Digitalminister aufeinander, darunter Naïma Moutchou mit einem Mandat von weniger als vierundzwanzig Stunden, was jede doktrinäre Kontinuität und langfristige Cybersicherheitsstrategie untergräbt. Die Meldepflicht endet jedoch nicht an den Toren der Verwaltung: Artikel 33 der DSGVO verpflichtet jeden Verantwortlichen zur Meldung binnen 72 Stunden, Artikel 34 zur Unterrichtung der Betroffenen bei hohem Risiko. Im Fall DGFiP gibt die CNIL an, über die Verletzungen informiert worden zu sein, und das Ministerium kündigte die individuelle Information der Betroffenen an."},{"q":"Wie kann 199A Consulting eine Organisation bei der Bewältigung dieser technischen Schuld und ihrer Cyberrisiken unterstützen?","a":"199A Consulting begleitet Organisationen als vertrauensvoller Partner sowohl bei der strategischen Rahmung – Audit, Governance, Risikosteuerung – als auch bei der Umsetzung: Architektur, Aufbau, Integration und Schulung. Mit über 20 Jahren Erfahrung verbindet das Unternehmen technische Exzellenz mit dem Anspruch digitaler Souveränität und einer \"IT by design\"-Haltung, die Sicherheit von Anfang an in Systeme und Prozesse einschreibt. Kontakt: business@199a.agency"}] --- Ein Geburtsdatum, eine Sozialversicherungsnummer, eine IBAN, eine Adresse, eine France-Travail-Kennung. Isoliert betrachtet wirkt jedes dieser Fragmente harmlos. Miteinander korreliert und abgeglichen über die Lecks bei France Travail, DGFIP, Viamedis, Free oder der ANTS werden sie zum Rohstoff einer Industrie der Fälschung. Ein Angreifer, der über genügend Datensätze verfügt, kann heute eine vollständige Identität rekonstruieren, kohärent und im Schein überprüfbar. Genug, um einen Kredit zu eröffnen, ein Verwaltungskonto zu übernehmen oder ein synthetisches Profil zu füttern, das auf eine gezielte Social-Engineering-Operation zugeschnitten ist. Die Bedrohung ist statistisch, industriell, kumulativ geworden: Jedes neue Leck bereichert einen ohnehin kolossalen Datengraphen, wo es genügt, drei kompromittierte Quellen abzugleichen, um Millionen Bürger zu profilieren, ins Visier zu nehmen und zu manipulieren, in Strategien der Einflussnahme oder des Massenbetrugs. Es geht nicht mehr darum, das Privatleben Einzelner bloßzustellen. Es ist die Glaubwürdigkeit eines ganzen nationalen Systems der digitalen Identifizierung, die kollabiert, Leck um Leck, Strafe um Strafe, Krisenmitteilung um Krisenmitteilung. ## Eine Chronik, die niemanden mehr überraschen dürfte Man muss es mit der Kälte der Zahlen sagen, denn Empörung allein reicht nicht mehr. 2024 hat die [CNIL 5.629 Meldungen von Datenschutzverletzungen erfasst](https://www.cnil.fr/fr/violations-de-donnees-personnelles-bilan-de-5-annees-de-rgpd), ein Anstieg um 20% binnen eines Jahres. 2025 explodiert der Zähler erneut: 6.167 gemeldete Verletzungen, 9,5% mehr, mit rund 80 Vorfällen, die in den beiden letzten Geschäftsjahren mehr als eine Million Franzosen betrafen, also eine Verdopplung der Zahl massiver Angriffe binnen eines Jahres. Frankreich ist im ersten Halbjahr 2025 das am stärksten betroffene Land Europas und weltweit das zweitstärkste hinter den Vereinigten Staaten, mit 1,8 Millionen kompromittierten Konten zwischen Januar und Juni. fuites-de-donnees-en-france-trajectoire-hors-de-controle Der Katalog der öffentlichen Schadensfälle ist schlicht bestürzend. France Travail setzt im März 2024 bis zu 43 Millionen Arbeitsuchende der Gefahr aus; die CNIL behält am Ende 36,8 Millionen kompromittierte Akten, im Januar 2026 geahndet mit einem Bußgeld von 5 Millionen Euro für ein mangelhaftes Informationssystem, obwohl derselbe Betreiber bereits 2023 betroffen war. Viamedis und Almerys, Betreiber des Tiers payant im Gesundheitswesen, liefern im Januar und Februar 2024 die Daten von mehr als 33 Millionen Versicherten aus: Personenstand, Sozialversicherungsnummer, Vertragsgarantien. Free und Free Mobile lassen im Oktober 2024 die Verträge von rund 19 bis 24 Millionen Abonnenten abfließen, darunter 5,11 Millionen IBAN, was dem Betreiber im Januar 2026 ein Rekordbußgeld von 42 Millionen Euro einbrachte. Die Agence nationale des titres sécurisés (ANTS), ein souveränes Portal ohnegleichen, verzeichnet im April 2025 fast 12 Millionen betroffene Konten. Ende 2025 kommen 16 Millionen von den missions locales begleitete Jugendliche und 15 Millionen Patientenakten über Cegedim auf den Stapel. Insgesamt sind seit 2023 mehr als 145 Millionen Datensätze geleckt, allein in den öffentlichen Diensten, im Gesundheitswesen, bei den Telekommunikationsanbietern und im Handel, also mehrere Verletzungen pro Einwohner Frankreichs. Das INSEE selbst, die statistische Hüterin der Nation, sah 12.800 Mitarbeitende exponiert. Selbst das Muséum national d'histoire naturelle wurde 2025 durch einen Cyberangriff lahmgelegt. Laut ANSSI konzentrieren die Ministerien und Gebietskörperschaften allein 24% der 2025 behandelten Sicherheitsvorfälle, neben Bildung und Gesundheit. Nötige Ergänzung zu diesem bereits vernichtenden Bild: Die [DGFiP räumte im August 2026 eine neue Datenschutzverletzung](https://cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours) ein, die ihr Informationssystem betrifft. Die CNIL gibt an, dass ein Dritter Informationen zu Privatpersonen und Unternehmen einsehen und extrahieren konnte, darunter Steuerdaten wie das Referenzsteuereinkommen, der Familienquotient und der Quellensteuersatz, sowie Katasterdaten wie Adressen und Flächen von Immobilien. Für Unternehmen werden außerdem die SIREN-Nummer und die Firmenbezeichnung genannt. Anschließend präzisierte sich die öffentliche Bilanz. Nach den von [*Le Monde*](https://www.lemonde.fr/pixels/live/2026/08/18/en-direct-piratage-du-site-des-impots-le-gouvernement-detaille-les-trois-fuites-de-donnees-qui-concernent-aussi-les-donnees-cadastrales-et-les-successions_6749047_4408996.html) berichteten Elementen betrifft das Leck höchstens 433.485 Privatpersonen und 1.082 Unternehmen, in einer vom Ministerium als drei eigenständige Verletzungen präsentierten Gesamtheit, mit insgesamt rund 678.000 betroffenen Nutzern. ## Eine bewusst ignorierte technische Schuld Von Pech kann hier keine Rede sein. Es ist das mechanische Ergebnis einer angehäuften, dokumentierten, bekannten und nie beglichenen technischen Schuld. Die Berichte der Anbieter von Anwendungssicherheit sind unmissverständlich: In französischen öffentlichen Verwaltungen schleppen Server von Gebietskörperschaften, Ministerien und Institutionen seit Jahren identifizierte Schwachstellen mit sich, die vom Hersteller teils längst behoben sind, mit Patch-Rückständen von fünf, sieben oder zehn Jahren. Hier geht es nicht um unvermeidliche technologische Veralterung, sondern um wiederholte Haushalts- und Politikentscheidungen, die die Absicherung der Informationssysteme opfern, um digitale Schaufensterdienste schnell in Betrieb zu nehmen. Die CNIL selbst stellt fest, dass 55% der 2024 gemeldeten Verletzungen direkt auf Hacking zurückgehen, ein Anstieg um 21% in einem Jahr, ganz überwiegend infolge von Absicherungsmängeln der Infrastrukturen: kompromittierte Zugangsdaten, fehlende Segmentierung, schlecht auditierte Drittanbieter. Genau das sind die Symptome einer unbehandelten technischen Schuld: Security by Design, nie angewendet; Patches, nie budgetiert; Audits, nie mit Folgen. Der Fall DGFiP verleiht dieser Vorstellung unmittelbare Greifbarkeit. Bercy bestätigte, dass die Intrusion bereits im Juni erkannt wurde, ohne öffentliche Kommunikation zu diesem Zeitpunkt, obwohl das Leck nicht von Anfang an entdeckt worden wäre. Diese Abfolge nährt eine klassische Kritik an der öffentlichen technischen Schuld: die späte Erkennung, der Teilblick auf das Ausmaß einer Kompromittierung und die Unfähigkeit, die exfiltrierten Daten sofort zu qualifizieren. ## Die ministerielle Nachlässigkeit als System Angesichts dieser Hämorrhagie hätte der Staat eine stabile Doktrin, eine kontinuierliche Steuerung und eine identifizierbare politische Autorität entgegenzusetzen gehabt. Er hat das Gegenteil geboten: einen Stellentanz im digitalen Bereich, würdig eines Ministeriums zweiter Klasse. Seit 2017 folgten aufeinander Mounir Mahjoubi, Cédric O, Jean-Noël Barrot, Marina Ferrari, Clara Chappaz, dann im Oktober 2025 Naïma Moutchou, deren Mandat weniger als vierundzwanzig Stunden dauern sollte, die kurzlebigste Digitalministerin der Fünften Republik, bevor Anne Le Hénanff das Portefeuille übernahm. Sieben Amtsinhaber in acht Jahren, keine doktrinäre Kontinuität, ein Posten, der regelmäßig vom vollwertigen Ministerium zum bloßen, in ein großes Wirtschaftsministerium eingegliederten Staatssekretariat degradiert wurde, trotz einer von achtzig Persönlichkeiten des digitalen Sektors unterzeichneten Meinungsäußerung, die ein echtes, mit Mitteln und einer Stimme im Ministerrat ausgestattetes Ministerium forderte. Wie soll man eine langfristige Cybersicherheitsstrategie, mutige Haushaltsentscheidungen über den Abbau der technischen Schuld, eine kohärente Doktrin der digitalen Souveränität verlangen, wenn die Spitze des Staatsapparats alle zwölf bis achtzehn Monate das Gesicht wechselt, mitunter innerhalb weniger Stunden? ## Vom punktuellen Leck zum Kollaps des Vertrauens Die eigentliche Wende ist qualitativ. Wenn die CNIL feststellt, dass sich die Zahl der Verletzungen mit mehr als einer Million betroffener Personen innerhalb eines Jahres verdoppelt hat, von etwa zwanzig auf rund vierzig, ist das eine Skalenverschiebung der Bedrohung. Eine synthetische Identität, gebaut aus authentischen Fragmenten, echtem Personenstand, echter Sozialversicherungsnummer, echtem Verwaltungsverlauf, ist unendlich viel schwerer zu erkennen als ein plumper Betrug. Sie ermöglicht die methodische Identitätsübernahme, das Anvisieren verwundbarer Profile, die Fabrikation glaubwürdiger Einflusskampagnen, die sich auf überprüfbare öffentliche Daten stützen. Jedes zusätzliche Leck fügt nicht nur Opfer hinzu. Es bereichert einen kumulativen und permanenten Angriffsreferenz, ausbeutbar durch jeden Akteur, staatlich oder kriminell. Und die Affäre DGFiP verschärft dieses Bild noch, weil sie den fiskalischen und katasterlichen Kern des Staates trifft. Selbst ohne, nach heutigem Stand, kompromittierte Zugangsdaten und Passwörter laut CNIL nährt die Kombination von Vermögensdaten, Steuerdaten und Identifikationsangaben Szenarien gezielter Betrügereien, von Spear-Phishing und administrativer Übernahme mit hoher Plausibilität. ## Meldung an die CNIL: der Staat steht nicht außerhalb des Rechts Die Pflicht zur Meldung von Verletzungen personenbezogener Daten endet nicht an den Toren der Verwaltung. Die [CNIL erinnert daran, dass Artikel 33 der DSGVO](https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles) jeden Verantwortlichen verpflichtet, eine Verletzung, die ein Risiko für die Rechte und Freiheiten der Personen darstellt, unverzüglich und, wo möglich, binnen 72 Stunden zu melden. Ist das Risiko hoch, verlangt Artikel 34 zusätzlich die Unterrichtung der betroffenen Personen. Diese Regel gilt auch für den Staat und für öffentliche Stellen, die personenbezogene Daten verarbeiten. Das Gesetz Informatique et Libertés nimmt diese Anforderung der Meldung an die CNIL und der Unterrichtung der betroffenen Personen ausdrücklich auf, in Anwendung der Artikel 33 und 34 der DSGVO. Im Fall DGFiP verlangen die geprüften Quellen allerdings eine saubere Formulierung. Es trifft im heutigen Stand nicht zu zu behaupten, der französische Staat habe sich in dieser konkreten Affäre der Meldung an die CNIL entzogen, da die [CNIL schwarz auf weiß schreibt, über die Verletzungen informiert worden zu sein](https://cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours), die das Informationssystem der DGFiP betreffen, und präzisiert, dass das Ministerium die betroffenen Personen individuell informieren wird.