Abo
  • IT-Karriere:

Behördenfunk: Patientendaten von Rettungsdiensten ungeschützt im Internet

Ein Unbekannter stellte Funksprüche von Rettungsdiensten mit Namen und Adressen von Betroffenen aus dem Landkreis Recklinghausen ins Internet. Möglich ist das, weil die Daten über ein unverschlüsseltes Protokoll namens Pocsag verschickt werden.

Artikel veröffentlicht am , Hanno Böck
Wenn die Feuerwehr in Gladbeck zum Einsatz gerufen wird, geschieht das über ein unverschlüsseltes Funkprotokoll, das sich trivial abhören lässt.
Wenn die Feuerwehr in Gladbeck zum Einsatz gerufen wird, geschieht das über ein unverschlüsseltes Funkprotokoll, das sich trivial abhören lässt. (Bild: Frank Vincentz/Wikimedia Commons/CC-BY-SA 3.0)

"17:21 Herzinfarkt mit Sondersignal, Gladbeck, Blumenweg 17 bei Meyer" - solche und ähnliche Nachrichten konnte man lesen, wenn man sich mit einem offen im Internet erreichbaren Server bis vor einigen Tagen verbunden hat.

Stellenmarkt
  1. ADAC SE, München
  2. imc Test & Measurement GmbH, Berlin

Die Daten sind verfälscht, einen Blumenweg gibt es in Gelsenkirchen nicht. Doch die Meldungen, die der Server in die Welt verschickte, waren echt und stammten von Feuerwehren und Rettungsdiensten aus dem Kreis Recklinghausen.

Durch Zufall gefunden

Gefunden hatte den Server der IT-Sicherheitsforscher Markus Vervier von der Firma X41 D-SEC. "Das System haben wir durch Zufall gefunden", sagte Vervier Golem.de. "Wir prüfen regelmäßig die Sicherheit der Systeme von Kunden und nutzen dazu auch öffentliche Daten und Quellen. Dabei sind wir auf die Einsatzdaten der Feuerwehr- und Rettungsdienste gestoßen."

Golem.de hatte den zuständigen Landkreis Recklinghausen sowie das Cert des BSI über den Vorfall informiert. Das Cert setzte sich mit dem Provider des Servers in Verbindung und wenige Stunden später war er nicht mehr erreichbar. Laut Aussage einer Sprecherin des Landkreises wurde inzwischen eine Strafanzeige gestellt.

Unverschlüsseltes Pager-Protokoll Pocsag

Doch wie gelangten die Daten auf den Server? Wie uns der Landkreis mitteilte, geht man dort davon aus, dass jemand die gefunkten Daten abgehört und ins Netz gestellt hat. Denn diese werden über ein Protokoll namens Pocsag verschickt, das keinen Schutz gegen unbefugtes Abhören bietet.

Viele Rettungsdienste nutzen zur Alarmierung ihrer Fahrzeuge das Pocsag-Protokoll. Es wurde früher von Pagern wie Skyper, Quix oder Scall genutzt, heute sind derartige Systeme im Privatbereich praktisch verschwunden. Doch im öffentlichen Bereich wird Pocsag nach wie vor eingesetzt - und das oft unverschlüsselt.

Entsprechende Nachrichten abzuhören, ist zwar illegal, schwierig ist es jedoch nicht. Passende Empfangsgeräte gibt es für deutlich unter 100 Euro und die notwendige Software ist frei verfügbar. Da das Abhören rein passiv erfolgt, ist es auch nicht feststellbar.

"Es ist erschreckend, wie sorglos mit sensiblen Daten umgegangen wird", sagte Markus Vervier, der den Server entdeckt hat. "Es wäre möglich, eine öffentliche Karte mit genauen Adressen von Menschen zu erstellen, die gerade verstorben sind. Alles in Liveansicht, inklusive Name, Straße und Hausnummer."

Ähnlicher Vorfall 2016 in Hamburg

Ein ganz ähnlicher Vorfall ereignete sich 2016 in Hamburg. Damals berichtete der NDR, dass eine Privatperson entsprechende Funksprüche der Hamburger Feuerwehr abgefangen und ins Netz gestellt hatte.

Im Landkreis Recklinghausen plant man mittelfristig eine Umstellung der Funksysteme auf solche, die eine Verschlüsselung nutzen. Einige Städte haben diese bereits und diese seien daher in den Daten auch nicht enthalten gewesen. Doch die Umstellung wird noch einige Zeit dauern.



Anzeige
Hardware-Angebote
  1. 299,00€
  2. 259€ + Versand oder kostenlose Marktabholung (aktuell günstigste GTX 1070 Mini)
  3. 98,99€ (Bestpreis!)
  4. 83,90€

Chrilue 25. Jul 2018

Ich war selbst viele Jahre beim Rettungsdienst. Damals haben einige Leute auf unserer...

MFGSparka 24. Jul 2018

Ich kann das leider bestätigen. Beste Aussagen zum Thema Versand von unverschlüsselten...

ibsi 24. Jul 2018

Wieso sollte keiner kommen? Die sind - laut Gesetz - dazu verpflichtet die Daten geheim...

ibsi 24. Jul 2018

Wenn Dir jemand ein Kinderpornografisches Video schickt, ist der Polizei auch erst einmal...

NativesAlter 24. Jul 2018

Alternativ könnte man auch die Notrufe wie gehabt weiterleiten und auf breiter Basis...


Folgen Sie uns
       


Kontist, N26, Holvi: Neue Banking-Apps machen gute Angebote für Freelancer
Kontist, N26, Holvi
Neue Banking-Apps machen gute Angebote für Freelancer

Ein mobiles und dazu noch kostenloses Geschäftskonto für Freiberufler versprechen Startups wie Kontist, N26 oder Holvi. Doch sind die Newcomer eine Alternative zu den Freelancer-Konten der großen Filialbanken? Ja, sind sie - mit einer kleinen Einschränkung.
Von Björn König


    Lightyear One: Luxus-Elektroauto fährt auch mit Solarstrom
    Lightyear One
    Luxus-Elektroauto fährt auch mit Solarstrom

    Ein niederländisches Jungunternehmen hat ein ungewöhnliches Fahrzeug entwickelt, das Luxus und Umweltfreundlichkeit kombiniert. Solarzellen auf dem Dach erhöhen die Reichweite um bis zu 220 Kilometer.
    Von Wolfgang Kempkens

    1. Elektroautos e.GO Mobile liefert erste Fahrzeuge aus
    2. Volkswagen Über 10.000 Vorreservierungen für den ID.3 in 24 Stunden
    3. Zellproduktion EU macht Druck auf Altmaier wegen Batteriezellenfabrik

    Chromium: Der neue Edge-Browser könnte auch Chrome besser machen
    Chromium
    Der neue Edge-Browser könnte auch Chrome besser machen

    Build 2019 Wie sieht die Zukunft des Edge-Browsers aus und was will Microsoft zum Chromium-Projekt beitragen? Im Gespräch mit Golem.de gibt das Unternehmen die vage Aussicht auf einen Release für Linux und Verbesserungen in Google Chrome. Bis dahin steht viel Arbeit an.
    Von Oliver Nickel

    1. Insiderprogramm Microsoft bietet Vorversionen von Edge für den Mac an
    2. Browser Edge auf Chromium-Basis wird Netflix in 4K unterstützen
    3. Browser Microsoft lässt nur Facebook auf Flash-Whitelist in Edge

      •  /