Neuland lässt grüßen: CDU Wahlkampf-App mit Riesen-Datenleck

Die CDU hat eine jahrelang genutzte App offline genommen, nachdem die Frage aufgekommen war, inwieweit die Datenerfassung der App aus einer Datenschutzperspektive legal ist. Zudem waren die Daten nicht vernüftig gesichert, sodass man auf sie zugreifen konnte. Es geht um die App CDU Connect, die seit 2016 von Wahlkampfhelfern eingesetzt wurde. Die Entwicklerin Lilith Wittmann hat sich die App jetzt im Vorfeld der nächsten Bundestags­wahlen genauer angesehen und hat eine große Schwachstelle entdeckt, die es ermöglicht, einfach auf die gesammelten Daten zuzugreifen - und dabei sind unter anderem persönliche Daten wie Adressen, Geburtsdatum, Interessen, aber auch Fotos und E-Mail-Adressen. Zusätzlich gibt es noch Gesprächsnotizen.
Die fragliche App ist… …derzeit offline Laut Wittmann haben die Wahlkampfhelfer mehrere Hunderttausend Datensätze gespeichert. In einem ausführlichen Beitrag erklärt sie, was die CDU alles falsch gemacht hat.

Zugriff "supereinfach"

Wittmann habe sich dafür die App her­unter­geladen, den Proxy aktiviert und "mal so angeschaut, was die App so macht" und wurde schnell fündig. Wittman schreibt: "Auf dem ersten Blick ist mir dabei aufgefallen, dass die App gängige Security Practises wie Zertifikatspinning nicht umsetzt und dass es somit supereinfach war, auf die Programmier­schnittstelle zuzugreifen." Ihre Erkenntnisse teile sie anschließend mit der CDU und dem App-Team. Zudem informierte sie CERT-Bund über die Sicherheits­lücke und den Berliner Datenschutzbeauftragten.

Die CDU hat den Fehler eingeräumt und die App vorerst offline genommen. Bei Twitter schrieb das Team, das die Connect-App nutzt:

Beispiele der Helfer-Notizen lassen tief blicken

Was die Wahlkampfhelfer so als Gesprächnotizen speicherten, hat Wittman als Beispiele veröffentlicht. Dazu gehören:


Der Spiegel hat in einem Bericht das Datenleck ebenfalls analysiert und eine Stellungnahme der CDU erhalten. Da heißt es: "Der CDU Deutschlands tut der Vorfall sehr leid und wir bitten für die entstandenen Unannehmlichkeiten um Entschuldigung."

Siehe auch: Digitaler CDU-Parteitag wehrt Hackerangriffe aus dem Ausland ab