Luca-App-Demo: So infiziert man ein Gesundheitsamt mit Ransomware

Für die Öffentlichkeit ist es oft nur schwer zu überblicken, wie schlimm die Sicherheits-Risiken durch die Luca-App wirklich sind. Daher demonstrierte ein Experte nun eine gravierende Attacke mit ziemlich einfachen Mitteln. Das Luca-System, mit dem Gesundheitsämter die Kontakt-Verfolgung von Events und Lokalitäten gewährleisten können sollen, steht von Beginn an in der Kritik. Der Vorwurf: Den Machern ist es gelungen, durch geschicktes Marketing - unter anderem mit Unterstützung eines prominenten Musikers, der selbst Geld in die Entwicklerfirma investiert hat - Steuergelder in zweistelliger Millionenhöhe für eine unausgereifte Lösung abzugreifen.

Nach diversen anderen Problemen stießen Sicherheitsexperten kürzlich auch auf das Problem, dass die Luca-App diverse Sonderzeichen im Formular zur Eingabe von Kontaktdaten akzeptiert. Das birgt das Risiko, dass hier Code eingeschleust werden kann. Der Chef der Entwicklerfirma, Patrick Hennig, behauptete kürzlich noch, dass trotzdem kein Risiko bestünde. "Eine Code Injection über den Namen ist bei Luca im Gesundheitsamt nicht möglich", sagte er gegenüber der Zeit.

Der Sicherheitsexperte Marcus Mengs zweifelte schon damals an dieser Aussage - und beschäftigte sich in den letzten Tagen wohl genauer mit dem Problem. Am Ende behielt er Recht. Er zeigte jetzt in einem Demo-Video, wie Angreifer sehr wohl Code in das Backend der Gesundheitsämter einschleusen können. Wie hier zu sehen ist, kann dies dann ausgenutzt werden, um Daten aus den Behörden zu entwenden - was angesichts der dort vorgehaltenen sensiblen Informationen verschiedenster Art bereits ein gravierendes Problem darstellt.

Ein millionenschweres Sicherheitsririko

Es geht aber noch schlimmer. Mengs zeigte ebenso, dass auf diesem Weg auch Malware eingeschleust werden kann. Testweise wurde über das Luca-Backend eine Ransomware auf dem simulierten Rechner eines Ge­sund­heits­amts-Mit­ar­bei­ters aktiv. Damit dies funktioniert, muss der User zwar die Warnungen der Microsoft Office-Software wegklicken, was aber in den meisten Fällen kein Hindernis für einen erfolgreichen Angriff sein dürfte. Damit wäre dann ein Gesundheitsamt mitten in einer wichtigen Phase direkt lahmgelegt - denn der entsprechende Datenabruf erfolgt in der Regel dann, wenn wirklich ein Corona-Ausbruch analysiert werden muss.

Der bisherige Eindruck bestätigt sich somit: Die Bundesländer haben hier viel Steuergeld für eine App ausgegeben, die nicht nur unnütz ist, weil die offizielle Corona-Warn-App mit einer vergleichbaren Funktion ausgestattet wurde. Man ist auch auf das übliche Startup-Marketing hereingefallen und setzt die wichtigsten Behörden einem enormen Sicherheitsrisiko aus.

Siehe auch: