Ein Geburtsdatum, eine Sozialversicherungsnummer, eine IBAN, eine Adresse, eine France-Travail-Kennung. Isoliert betrachtet wirkt jedes dieser Fragmente harmlos. Miteinander korreliert und abgeglichen über die Lecks bei France Travail, DGFIP, Viamedis, Free oder der ANTS werden sie zum Rohstoff einer Industrie der Fälschung. Ein Angreifer, der über genügend Datensätze verfügt, kann heute eine vollständige Identität rekonstruieren, kohärent und im Schein überprüfbar. Genug, um einen Kredit zu eröffnen, ein Verwaltungskonto zu übernehmen oder ein synthetisches Profil zu füttern, das auf eine gezielte Social-Engineering-Operation zugeschnitten ist. Die Bedrohung ist statistisch, industriell, kumulativ geworden: Jedes neue Leck bereichert einen ohnehin kolossalen Datengraphen, wo es genügt, drei kompromittierte Quellen abzugleichen, um Millionen Bürger zu profilieren, ins Visier zu nehmen und zu manipulieren, in Strategien der Einflussnahme oder des Massenbetrugs. Es geht nicht mehr darum, das Privatleben Einzelner bloßzustellen. Es ist die Glaubwürdigkeit eines ganzen nationalen Systems der digitalen Identifizierung, die kollabiert, Leck um Leck, Strafe um Strafe, Krisenmitteilung um Krisenmitteilung.
Eine Chronik, die niemanden mehr überraschen dürfte
Man muss es mit der Kälte der Zahlen sagen, denn Empörung allein reicht nicht mehr. 2024 hat die CNIL 5.629 Meldungen von Datenschutzverletzungen erfasst, ein Anstieg um 20% binnen eines Jahres. 2025 explodiert der Zähler erneut: 6.167 gemeldete Verletzungen, 9,5% mehr, mit rund 80 Vorfällen, die in den beiden letzten Geschäftsjahren mehr als eine Million Franzosen betrafen, also eine Verdopplung der Zahl massiver Angriffe binnen eines Jahres. Frankreich ist im ersten Halbjahr 2025 das am stärksten betroffene Land Europas und weltweit das zweitstärkste hinter den Vereinigten Staaten, mit 1,8 Millionen kompromittierten Konten zwischen Januar und Juni.
Der Katalog der öffentlichen Schadensfälle ist schlicht bestürzend. France Travail setzt im März 2024 bis zu 43 Millionen Arbeitsuchende der Gefahr aus; die CNIL behält am Ende 36,8 Millionen kompromittierte Akten, im Januar 2026 geahndet mit einem Bußgeld von 5 Millionen Euro für ein mangelhaftes Informationssystem, obwohl derselbe Betreiber bereits 2023 betroffen war. Viamedis und Almerys, Betreiber des Tiers payant im Gesundheitswesen, liefern im Januar und Februar 2024 die Daten von mehr als 33 Millionen Versicherten aus: Personenstand, Sozialversicherungsnummer, Vertragsgarantien. Free und Free Mobile lassen im Oktober 2024 die Verträge von rund 19 bis 24 Millionen Abonnenten abfließen, darunter 5,11 Millionen IBAN, was dem Betreiber im Januar 2026 ein Rekordbußgeld von 42 Millionen Euro einbrachte. Die Agence nationale des titres sécurisés (ANTS), ein souveränes Portal ohnegleichen, verzeichnet im April 2025 fast 12 Millionen betroffene Konten. Ende 2025 kommen 16 Millionen von den missions locales begleitete Jugendliche und 15 Millionen Patientenakten über Cegedim auf den Stapel. Insgesamt sind seit 2023 mehr als 145 Millionen Datensätze geleckt, allein in den öffentlichen Diensten, im Gesundheitswesen, bei den Telekommunikationsanbietern und im Handel, also mehrere Verletzungen pro Einwohner Frankreichs. Das INSEE selbst, die statistische Hüterin der Nation, sah 12.800 Mitarbeitende exponiert. Selbst das Muséum national d'histoire naturelle wurde 2025 durch einen Cyberangriff lahmgelegt. Laut ANSSI konzentrieren die Ministerien und Gebietskörperschaften allein 24% der 2025 behandelten Sicherheitsvorfälle, neben Bildung und Gesundheit.
Nötige Ergänzung zu diesem bereits vernichtenden Bild: Die DGFiP räumte im August 2026 eine neue Datenschutzverletzung ein, die ihr Informationssystem betrifft. Die CNIL gibt an, dass ein Dritter Informationen zu Privatpersonen und Unternehmen einsehen und extrahieren konnte, darunter Steuerdaten wie das Referenzsteuereinkommen, der Familienquotient und der Quellensteuersatz, sowie Katasterdaten wie Adressen und Flächen von Immobilien. Für Unternehmen werden außerdem die SIREN-Nummer und die Firmenbezeichnung genannt.
Anschließend präzisierte sich die öffentliche Bilanz. Nach den von Le Monde berichteten Elementen betrifft das Leck höchstens 433.485 Privatpersonen und 1.082 Unternehmen, in einer vom Ministerium als drei eigenständige Verletzungen präsentierten Gesamtheit, mit insgesamt rund 678.000 betroffenen Nutzern.
Eine bewusst ignorierte technische Schuld
Von Pech kann hier keine Rede sein. Es ist das mechanische Ergebnis einer angehäuften, dokumentierten, bekannten und nie beglichenen technischen Schuld. Die Berichte der Anbieter von Anwendungssicherheit sind unmissverständlich: In französischen öffentlichen Verwaltungen schleppen Server von Gebietskörperschaften, Ministerien und Institutionen seit Jahren identifizierte Schwachstellen mit sich, die vom Hersteller teils längst behoben sind, mit Patch-Rückständen von fünf, sieben oder zehn Jahren. Hier geht es nicht um unvermeidliche technologische Veralterung, sondern um wiederholte Haushalts- und Politikentscheidungen, die die Absicherung der Informationssysteme opfern, um digitale Schaufensterdienste schnell in Betrieb zu nehmen.
Die CNIL selbst stellt fest, dass 55% der 2024 gemeldeten Verletzungen direkt auf Hacking zurückgehen, ein Anstieg um 21% in einem Jahr, ganz überwiegend infolge von Absicherungsmängeln der Infrastrukturen: kompromittierte Zugangsdaten, fehlende Segmentierung, schlecht auditierte Drittanbieter.
Genau das sind die Symptome einer unbehandelten technischen Schuld: Security by Design, nie angewendet; Patches, nie budgetiert; Audits, nie mit Folgen.
Der Fall DGFiP verleiht dieser Vorstellung unmittelbare Greifbarkeit. Bercy bestätigte, dass die Intrusion bereits im Juni erkannt wurde, ohne öffentliche Kommunikation zu diesem Zeitpunkt, obwohl das Leck nicht von Anfang an entdeckt worden wäre. Diese Abfolge nährt eine klassische Kritik an der öffentlichen technischen Schuld: die späte Erkennung, der Teilblick auf das Ausmaß einer Kompromittierung und die Unfähigkeit, die exfiltrierten Daten sofort zu qualifizieren.
Die ministerielle Nachlässigkeit als System
Angesichts dieser Hämorrhagie hätte der Staat eine stabile Doktrin, eine kontinuierliche Steuerung und eine identifizierbare politische Autorität entgegenzusetzen gehabt. Er hat das Gegenteil geboten: einen Stellentanz im digitalen Bereich, würdig eines Ministeriums zweiter Klasse. Seit 2017 folgten aufeinander Mounir Mahjoubi, Cédric O, Jean-Noël Barrot, Marina Ferrari, Clara Chappaz, dann im Oktober 2025 Naïma Moutchou, deren Mandat weniger als vierundzwanzig Stunden dauern sollte, die kurzlebigste Digitalministerin der Fünften Republik, bevor Anne Le Hénanff das Portefeuille übernahm.
Sieben Amtsinhaber in acht Jahren, keine doktrinäre Kontinuität, ein Posten, der regelmäßig vom vollwertigen Ministerium zum bloßen, in ein großes Wirtschaftsministerium eingegliederten Staatssekretariat degradiert wurde, trotz einer von achtzig Persönlichkeiten des digitalen Sektors unterzeichneten Meinungsäußerung, die ein echtes, mit Mitteln und einer Stimme im Ministerrat ausgestattetes Ministerium forderte. Wie soll man eine langfristige Cybersicherheitsstrategie, mutige Haushaltsentscheidungen über den Abbau der technischen Schuld, eine kohärente Doktrin der digitalen Souveränität verlangen, wenn die Spitze des Staatsapparats alle zwölf bis achtzehn Monate das Gesicht wechselt, mitunter innerhalb weniger Stunden?
Vom punktuellen Leck zum Kollaps des Vertrauens
Die eigentliche Wende ist qualitativ. Wenn die CNIL feststellt, dass sich die Zahl der Verletzungen mit mehr als einer Million betroffener Personen innerhalb eines Jahres verdoppelt hat, von etwa zwanzig auf rund vierzig, ist das eine Skalenverschiebung der Bedrohung. Eine synthetische Identität, gebaut aus authentischen Fragmenten, echtem Personenstand, echter Sozialversicherungsnummer, echtem Verwaltungsverlauf, ist unendlich viel schwerer zu erkennen als ein plumper Betrug. Sie ermöglicht die methodische Identitätsübernahme, das Anvisieren verwundbarer Profile, die Fabrikation glaubwürdiger Einflusskampagnen, die sich auf überprüfbare öffentliche Daten stützen. Jedes zusätzliche Leck fügt nicht nur Opfer hinzu. Es bereichert einen kumulativen und permanenten Angriffsreferenz, ausbeutbar durch jeden Akteur, staatlich oder kriminell.
Und die Affäre DGFiP verschärft dieses Bild noch, weil sie den fiskalischen und katasterlichen Kern des Staates trifft. Selbst ohne, nach heutigem Stand, kompromittierte Zugangsdaten und Passwörter laut CNIL nährt die Kombination von Vermögensdaten, Steuerdaten und Identifikationsangaben Szenarien gezielter Betrügereien, von Spear-Phishing und administrativer Übernahme mit hoher Plausibilität.
Meldung an die CNIL: der Staat steht nicht außerhalb des Rechts
Die Pflicht zur Meldung von Verletzungen personenbezogener Daten endet nicht an den Toren der Verwaltung. Die CNIL erinnert daran, dass Artikel 33 der DSGVO jeden Verantwortlichen verpflichtet, eine Verletzung, die ein Risiko für die Rechte und Freiheiten der Personen darstellt, unverzüglich und, wo möglich, binnen 72 Stunden zu melden. Ist das Risiko hoch, verlangt Artikel 34 zusätzlich die Unterrichtung der betroffenen Personen.
Diese Regel gilt auch für den Staat und für öffentliche Stellen, die personenbezogene Daten verarbeiten. Das Gesetz Informatique et Libertés nimmt diese Anforderung der Meldung an die CNIL und der Unterrichtung der betroffenen Personen ausdrücklich auf, in Anwendung der Artikel 33 und 34 der DSGVO.
Im Fall DGFiP verlangen die geprüften Quellen allerdings eine saubere Formulierung. Es trifft im heutigen Stand nicht zu zu behaupten, der französische Staat habe sich in dieser konkreten Affäre der Meldung an die CNIL entzogen, da die CNIL schwarz auf weiß schreibt, über die Verletzungen informiert worden zu sein, die das Informationssystem der DGFiP betreffen, und präzisiert, dass das Ministerium die betroffenen Personen individuell informieren wird.