Doctolib reichte sensibelste Nutzerdaten direkt an Facebook & Co. durch

Der Gesundheitsdienst Doctolib ist durch die über ihn organisierte Vergabe von Impfterminen erst richtig groß geworden. Nun zeigt sich, dass die Betreiber viel zu leichtsinnig mit den hochsensiblen Daten umgehen, die User zwangsläufig hinterlassen. Es dürfte in vielen Fällen wohl kaum etwas intimeres geben, als das, was Menschen mit ihrem Arzt zu klären haben. Entsprechend sensibel sind auch die Informationen, die man bei der Suche nach einem Termin an eine Plattform wie Doctolib gibt. Da ist es natürlich entsprechend unschön, wenn sich herausstellt, dass diese Informationen brühwarm an Facebook und die Werbefirma Outbrain übermittelt werden.

Die Redaktion von Netzpolitik.org berichtet aktuell über Untersuchungen durch die Plattform Mobilsicher.de, bei denen man sich anschaute, was die Android-Version 3.2.26 der Doctolib-App im Hintergrund eigentlich tut. Testweise gab man sich gegenüber dem Dienst als privatversicherter Nutzer aus, der aus dem Grund "Beratungsgespräch Vasektomie Sterilisation Mann" nach einem Urologen sucht.

Sensibelste Informationen

Unter anderem rief die App daraufhin einen Outbrain-Link auf, in dem der Suchparameter "Urologie" in Verbindung mit "insuranceSector=private" und "motiveKey=Vorgespräch Vasektomie/Sterilisation Mann" codiert waren. Die gleichen Daten wurden auf ähnliche Weise auch an Facebook übermittelt. Ebenso verhielt es sich bei weiteren Versuchen, bei denen man beispielsweise eine "Mädchensprechstunde" beim "Frauenarzt" anstrebte. Die Tester haben dies zwar nur mit der App aus dem Play Store ausprobiert, da es sich hier aber um eine Web-App handelt und nicht um eine native Android-Applikation, liegt der Schluss nahe, dass sowohl Webseite als auch iOS-App sich ebenso verhalten.

Der Betreiber der Plattform hat diese Datenweitergabe inzwischen gestoppt, nachdem die Mobilsicher.de-Kollegen ihn mit ihren Erkenntnissen konfrontierten. Dies bestätigten Tests mit einer neueren Version der App. Der Anbieter begründete die Datenweitergabe damit, dass so der Erfolg von Marketing-Kampagnen überprüft werden sollte. Warum dafür aber solch sensible Informationen nötig sein sollen, darauf ging man nicht ein.

Positiv tat sich aber ausgerechnet Facebook in der Sache hervor. Nachdem die Kollegen von Netzpolitik.org ihren Bericht veröffentlichten, meldete sich der Konzern von sich aus und schickte eine Stellungnahme. Laut dieser seien der entsprechenden Schnittstelle der Anzeigenplattform Filter vorgeschaltet, die Gesundheitsdaten automatisch entfernen. Darüber hinaus habe man Kontakt mit Doctolib aufgenommen, "um die korrekte Implementierung unserer Tools in Zukunft sicherzustellen".

Siehe auch: