Erneut massive Datenschutzprobleme bei Corona-Testzentren

Wie sich zeigt, hat der private Anbieter von Corona-Tests, die Eventus Media International GmbH, große Probleme beim Datenschutz gehabt. Die Ergebnisse und persönliche Daten von zig-Tausend Getesteten waren für jedermann zugänglich im Netz. Das Recherche-Team Zerforschung hat das Thema jetzt für NDR, RBB und MDR aufbereitet und erklärt, was da eigentlich passiert ist. Der Anbieter Eventus Media International (kurz EMI) betreibt in Berlin, Dortmund, Hamburg, Leipzig und Schwerte Testzentren, im Internet erreichbar unter testcenter-corona.de. Dazu bietet das Unternehmen Software und Infrastruktur für die Tests als Franchise-Modell an.

Problem: API in Wordpress

Für den Nutzer soll es alles ganz einfach und "sicher" sein. Man meldet sich an, macht den Test, hinterlegt seine Daten und bekommt ein abrufbares Ergebnis mit einem persönlichen Code per E-Mail. EMI nutze dazu aber eine Wordpress-Installation und aktivierte eine Schnittstelle, die es ermöglichte, dass die Journalisten sich die Daten von mehreren Tausend EMI-Kunden anschauen konnten.

Zu den von dem Recherche-Team abgerufenen Daten gehören neben Name, Anschrift, Geburtsdatum, Telefonnummer und E-Mail-Adresse dann das Testdatum, das Testergebnis und laut Betroffenen auch Krankenkassendaten sowie die Personalausweisnummer. Betroffen von den möglichen kompromittierten Daten sind mehr als 14.000 Nutzer der Seite. Erst als das Recherche-Team das Bundesamt für Sicherheit in der Informationstechnik (BSI) informierte und dessen Experten sich mit EMI in Verbindung setzten, wurde die Sicherheitslücke geschlossen.

Meldung an BSI

Die Journalisten-Gruppe von Zerforschung hatte vor Kurzem bereits einen ähnlichen Fall aufgedeckt, bei dem die Nutzer Tests anderer Getesteten abrufen konnten. Das zeigt, wie lasch das Thema Datenschutz von den Unternehmen angegangen wird - und wie wenig Verständnis häufig für die Absicherung von Datenbanken überhaupt vorhanden ist. Der Betreiber EMI hatte sich nach der Veröffentlichung des Sicherheits-Problems gegenüber NDR, RBB und MDR wie folgt geäußert. Da heißt es, dass man:

"Testcenter, einschließlich der damit verbundenen Datenverarbeitungssysteme, mit großer Eile hochgezogen und mit versierten IT-Spezialisten zusammengearbeitet [habe] um den Kunden, die das Testangebot in Anspruch nehmen wollen, die größtmögliche Sicherheit gewährleisten zu können. […] Dass Hacker trotzdem auf einen Teil der Daten zugreifen konnten, tut uns leid, und wir entschuldigen uns bei den betroffenen Kunden."

Hacker ist hier allerdings die vollkommen falsche Bezeichnung, denn um an die Daten zu gelangen, musste man in diesem Fall nur einen Blick in den Code der Webseite werfen.

Vielen Dank für die Übermittlung dieses News-Tipps!

Corona-Warn-App für Android Corona-Warn-App für iOS

Siehe auch: