EOS Schweiz: Daten von Zehntausenden Inkassokunden kompromittiert

Eine Sicherheitslücke in Apache Struts soll dazu geführt haben, dass 33.000 Daten von Schweizer Kunden des Inkassodienstes Eos kompromittiert wurden. Darunter sollen sich neben Ausweiskopien auch ganze Krankenakten befinden.

Artikel veröffentlicht am ,
Beim Inkassodienst Eos gab es eine Sicherheitslücke.
Beim Inkassodienst Eos gab es eine Sicherheitslücke. (Bild: Eos)

Eine Sicherheitslücke in einem Server soll dazu geführt haben, dass rund 33.000 Kundendatensätze der Inkassofirma Eos von Dritten eingesehen werden konnten, wie die Süddeutsche Zeitung berichtet. Die Zeitung schreibt, ihr seien entsprechende Dateien von Informanten zugespielt worden. Betroffen sind nach derzeitigem Kenntnisstand nur Kunden aus der Schweiz, auch wenn Eos in Deutschland ebenfalls Inkassodienste anbietet.

Stellenmarkt
  1. Senior Network Security Architect (m/w/d)
    Deichmann SE, Essen
  2. IT-Sachbearbeiter (w/m/d)
    Stadt NÜRNBERG, Nürnberg
Detailsuche

Die erhobenen Informationen sollen zum Teil sehr alt sein und bis ins Jahr 2002 zurückreichen. Wenn die Schuld beglichen ist, müssten private Informationen eigentlich gelöscht werden, es sei denn sie unterliegen einer gesetzlichen Aufbewahrungspflicht.

Besonders bedenklich ist offenbar ein Ordner mit dem Namen Upload. Darin sollen sich nach Darstellung der SZ "ganze Krankenakten" befinden, wenn Krankenhäuser ausstehende Beträge von Patienten einforderten. In den Akten seien unter anderem Informationen über Vorerkrankungen der Patienten zu finden. Eos soll weiterhin Scans von Ausweisen und detaillierte Kreditkartenabrechnungen aufbewahrt haben.

Damit das Unternehmen die geschuldeten Beiträge eintreiben kann, ist eine solch Detailkenntnis aber eigentlich nicht erforderlich. Es reicht, wenn das beauftragende Unternehmen Informationen zur Forderung an sich sowie die Kontaktdaten der betreffenden Person weitergibt. Der Schweizer Datenschutzbeauftragte Adrian Lobsiger nannte das Verhalten von Eos daher auch "unverhältnismäßig und somit nicht zulässig".

Hack über Schwachstelle im Server

Golem Karrierewelt
  1. Cloud Competence Center: Strategien, Roadmap, Governance: virtueller Ein-Tages-Workshop
    28.02.2023, Virtuell
  2. CEH Certified Ethical Hacker v12: virtueller Fünf-Tage-Workshop
    30.01.-03.02.2023, Virtuell
Weitere IT-Trainings

Die Informationen sollen über eine Schwachstelle im Server von Eos abgeflossen sein. Besonders brisant: Dabei wurde offenbar die gleiche Schwachstelle in Apache Struts ausgenutzt, die schon zum Hack beim US-Konzern Equifax führte. Der Server soll mittlerweile neu aufgesetzt worden sein.

Eos gibt an, dass zwar im April dieses Jahres bemerkt worden sei, dass "ungewöhnlich viele Pakete" an fremde Rechner gesendet worden seien, konkrete Beweise für einen Hack will man aber bisher nicht haben. Eos stuft den Vorfall daher bislang lediglich als "Verdachtsfall" ein.

Eos sagte der SZ, man habe "eine umfassende Revision der Prozesse angeordnet", um zu klären, warum die Daten überhaupt so detailliert erhoben und gespeichert würden. Auf telefonische Anfrage von Golem.de gab eine Sprecherin an, dass derzeit eine detaillierte interne Prüfung laufe. Wir haben dem Unternehmen eine Reihe von Fragen per E-Mail geschickt.

Nachtrag vom 27. Dezember 2017, 18:17 Uhr

Auf Anfrage von Golem.de teilte das Unternehmen mit: "Nach bisherigem Kenntnisstand unserer internen und externen Analysen hat kein unberechtigter Datenabfluss bei Eos Schweiz stattgefunden. Wir wurden von der Süddeutschen Zeitung am 18.12.2017 darüber informiert, dass der Redaktion Daten von einer Plattform von Eos Schweiz vorlägen. Wir selbst haben diese von der SZ benannten Daten nicht gesehen." Man habe eine forensische Untersuchung eingeleitet, deren Ergebnisse allerdings noch nicht vorliege.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Schrödinger's... 30. Dez 2017

Nur dass das keine unnötig belastende Klage wäre.

klas 28. Dez 2017

KUNDEN gibt es überall ;-)) werd einmal arbeitslos...

Rulf 28. Dez 2017

krankenakten bei einem inkassodienst zu suchen... hier sollte mal zur abschreckung mit...

DonPanda 28. Dez 2017

topkek. ich hab in nem anderen thread gefragt, wie man vorgehen kann. die sz reagiert...



Aktuell auf der Startseite von Golem.de
Amazon Shopper Panel
Amazon zahlt für Überwachung des Smartphone-Datenverkehrs

Wer seinen gesamten Smartphone-Datenverkehr über Amazons Server leitet, wird mit einem monatlichen Gutschein dafür bezahlt.

Amazon Shopper Panel: Amazon zahlt für Überwachung des Smartphone-Datenverkehrs
Artikel
  1. Vodafone und Telekom: LTE-Ausbau in Berliner Bahntunneln dauert weitere Jahre
    Vodafone und Telekom
    LTE-Ausbau in Berliner Bahntunneln dauert weitere Jahre

    Laut Senatsverwaltung kam der Ausbau der Base-Transceiver-Station-Hotels nicht wie geplant voran. Nicht nur die Kunden von Vodafone und Telekom haben das Nachsehen.

  2. Northrop Grumman: B21 Raider als erster digitaler Bomber vorgestellt
    Northrop Grumman
    B21 Raider als erster digitaler Bomber vorgestellt

    Northrop Grumman hat mit dem B-21 Raider eine neuen Tarnkappenbomber vorgestellt. Dabei kamen agile Softwareentwicklung und digitales Engineering zum Einsatz.

  3. Soziale Netzwerke: Liken bei Hasspostings kann strafbar sein
    Soziale Netzwerke
    Liken bei Hasspostings kann strafbar sein

    Facebook-Nutzer, die nicht davor zurückschrecken, diskriminierende oder beleidigende oder Postings zu liken, sollten sich das gut überlegen. Denn das Drücken des Gefällt-mir-Buttons kann hier erhebliche rechtliche Folgen haben.
    Von Harald Büring

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5-Bundle vorbestellbar • SanDisk Extreme PRO 1TB 141,86€ • Amazon-Geräte bis -53% • Mindstar: Alphacool Eiswolf 2 AiO 360 199€, AMD-Ryzen-CPUs zu Bestpreisen • Alternate: WD_BLACK P10 2TB 76,89€ • Advent-Tagesdeals bei MediaMarkt/Saturn • Thrustmaster Ferrari GTE Wheel 87,60€ [Werbung]
    •  /