Echt naive IT: Rotes Kreuz legt intimste Daten von Blutspendern offen

Nicht mutwillig, sondern mit einer gehörigen Portion Naivität hat das Bayerische Rote Kreuz dafür gesorgt, dass intimste Daten von freiwilligen Blutspendern durch ein invasives Tracking-Werkzeug von Facebook ausgewertet werden konnten. So wurden Informationen zu Krebs­er­kran­kun­gen, Diabetes oder HIV-Infektionen sowie Suchtkrankheiten in die USA übermittelt.

Wer beim Bayerischen Roten Kreuz gespendet hat, wurde ordentlich durchgetrackt

Eigentlich wollte das Bayerische Rote Kreuz es über eine Webseite willigen Blutspendern möglichst leicht machen, sich über die Spende zu informieren und mit der Eingabe von Daten zu ermitteln, ob die persönlichen Umstände eventuell gegen eine Spende sprechen. Genau im Rahmen dieses sogenannten Spenden-Checks hatten die Entwickler aber offenbar sorglos das Facebook-Tracking-Werkzeug "Pixel" eingebunden, das alle Eingaben an den Social-Media-Konzern überträgt.

Wie Golem in seinem Bericht schreibt, legten die Entwickler damit intimste Daten für den US-Konzern offen. Nutzer machen bei dem Spenden-Check Angaben zu Vorerkrankungen wie Krebs, auch zu chronischen Krankheiten wie HIV oder Diabetes werden Informationen gesammelt, um die Spendenfähigkeit einzuordnen. Zu guter Letzt hatte die Seite die Nutzer auch nach Suchtkrankheiten und Drogen-Problemen befragt - all diese Angaben gingen direkt auch an Facebook.

Mit Ja-Nein-Aufbau direkt in die USA

Wie Golem analysierte, ist der Aufbau dabei eigentlich sehr datenschutzfreundlich angedacht, scheitert aber kläglich an der scheinbar naiven Einbindung des Facebook-Werkzeugs. Die Umfrage auf der Webseite wurde so umgesetzt, dass alle Fragen auf einer einzigen Seite mit Ja-Nein-Antworten beantwortet werden können - das geschieht über die Implementierung von HTML-Knöpfen, die Auswertung läuft mithilfe eines Javascript-Codes. das Facebook-Pixel klinkt sich in diesen Prozess ein und wertet jede Eingabe des Nutzers aus.

Allerdings: Mit einer unmittelbaren Auswertung durch Facebook ist wohl nicht zu rechnen, da der "Pixel"-Service auf Millionen Seiten zum Einsatz kommt. Auch der Blutspendedienst schreibt in seiner Stellungnahme von einem Problem, weist aber darauf hin, dass die Auswertung durch Facebook rechtswidrig wäre - rechtlich wohl eine richtige Einschätzung, der den Umgang mit den Daten der Nutzer aber nicht weniger dramatisch erscheinen lässt.