Sicherheitslücke: Testzentren leaken 136.000 Corona-Tests
Mehrere Corona-Testzentren in Deutschland und Österreich haben die Daten ihrer Patienten nicht geschützt. Name, Adresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Staatsbürgerschaft, Ausweisnummer und Corona-Testergebnis von mehr als 80.000 Personen waren abrufbar. Insgesamt konnte auf 136.000 Covid-19-Testergebnisse zugegriffen werden. Teilweise mitsamt der Reisepass- oder Ausweisnummer.
Entdeckt hatte das Datenleck die Projektgruppe Zerforschung(öffnet im neuen Fenster) bei einem Besuch des Berliner Corona-Testzentrums. Der dort durchgeführte Test war negativ, Datenschutz und IT-Sicherheit allerdings ebenfalls. So sollten sich die getesteten Personen bei einem Online-Dienst registrieren, um ihre Testergebnisse abrufen zu können.
Covid-19-Testergebnisse durch Sicherheitslücke-as-a-Service
Unter der Domain 21dx.medicus.ai konnten sie anschließend ihre Testergebnisse einsehen und als PDF herunterladen. Doch die ID zum Herunterladen des PDFs wurde einfach aufsteigend durchnummeriert, entsprechend konnten durch Abzug und Addition die Testergebnisse von anderen Personen eingesehen werden – inklusive ihrer persönlicher Daten. Um die Daten einzusehen, reichte es aus, einen Account zu registrieren; ein Covid-19-Test musste nicht durchgeführt werden.
Die Sicherheitslücke befand sich laut Zerforschung in der Software Safeplay, eine Komplettlösung für Testzentren, die als Software-as-a-Service vom Wiener Startup Medicus.ai angeboten und vom Testzentrenbetreiber 21dx verwendet wird. Letztere betreibt insgesamt 15 Testzentren in Deutschland und Österreich sowie ein Impfzentrum.
Laut dem Chaos Computer Club (CCC) sind jedoch insgesamt über 100 Testzentren sowie mobile Testteams betroffen. "Darunter befinden sich sowohl öffentliche Einrichtungen in München, Berlin und Kärnten als auch feste und temporäre Teststationen in Unternehmen, Schulen und sogar Kitas", heißt es in einer Pressemitteilung(öffnet im neuen Fenster), mit welcher Zerforschung, CCC und die Datenschutz-NGO Epicenter.works aus Österreich das Datenleck öffentlich bekanntmachen.
Nicht die erste Sicherheitslücke in hastig erstellter Corona-IT
Die Sicherheitslücke wurde zuvor an Medicus.ai gemeldet, das sie mittlerweile geschlossen haben will. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie das CERT.at wurden informiert. "Die Schwachstellen waren offensichtlich und wir hoffen, dass sie nicht von anderen schon längst ausgenutzt wurden", sagte Karl aus dem Team Zerforschung.
"Dies ist nicht die erste und sicherlich nicht die letzte Sicherheitslücke in hastig gebastelter Corona-IT", sagte CCC-Sprecher Linus Neumann mit Verweis auf Schwachstellen in digitalen Corona-Listen im vergangenen Jahr. "Wenn schon bei so einfachen Aufgaben katastrophale Anfängerfehler passieren, sollten die Verantwortlichen erstmal ihre Hausaufgaben machen. Stattdessen werden als Nächstes mehrere Millionen Euro für fragwürdige Blockchain-Impfnachweise versenkt", kritisierte Neumann.
"Ein Teil des Vertrauens würde sich auch wieder gewinnen lassen, wenn staatliche Stellen nicht alles einfach nur deswegen einkaufen, weil AI oder Blockchain draufsteht", schreibt Zerforschung. Diese Hype-Begriffe seien eben keine Labels, die Lösungen besonders vertrauenswürdig machen würden – sondern eher ein Indikator dafür, wer sich besonders leicht über den Tisch ziehen lasse.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.