Cannabis-Rezepte offen im Netz:
Neue Daten-Panne bei Dr. Ansay

Beim Telemediziner Dr. Ansay gab es erneut eine schwere Sicher­heits­lücke. Rund 1,7 Millionen Rezepte und sensible Patientendaten waren potenziell frei im Netz abrufbar. Ursache war eine fehlerhafte Konfiguration der verwendeten Firebase-Datenbank.

Offene Datenbank durch Konfigurationsfehler

Kurz nach dem Jahreswechsel waren nach Angaben des Unternehmens rund 1,7 Millionen Rezepte von Hunderttausenden Kunden potenziell abrufbar. Ursache war eine fehlerhafte Konfiguration der IT-Infrastruktur.

Betroffen waren vor allem Verschreibungen für medizinisches Cannabis sowie personenbezogene Daten wie Namen, Anschriften, E-Mail-Adressen, Telefonnummern sowie Angaben zu Ärzten und Apotheken. Die Schwachstelle lag nach ersten Erkenntnissen an unzureichend konfigurierten Zugriffsregeln einer Firebase-Firestore-Datenbank von Google.

Verzögerte Reaktion über Feiertage

Authentifizierte Nutzer konnten demnach auf Daten zugreifen, die nicht ihrem eigenen Konto zugeordnet waren. Der Anbieter erklärte, dass Zahlungsdaten, Passwörter und Ausweisdokumente nicht betroffen gewesen seien.

Wie heise online berichtet, wurde die Sicherheitslücke von einem Sicherheitsforscher entdeckt. Hinweise an das Unternehmen blieben über die Feiertage zunächst unbeantwortet. Erst nach einer Presseanfrage reagierte Dr. Ansay und schloss die Lücke. Das Unternehmen verwies anschließend auf ein Bug-Bounty-Programm und begründete die verzögerte Reaktion mit den Feiertagen. Angaben zur Dauer der Offenlegung oder zu möglichen Datenabflüssen machte der Anbieter gegenüber heise nicht.

Wiederholte Vorfälle und Zuständigkeiten

Es handelt sich nicht um den ersten Vorfall dieser Art bei Dr. Ansay. Bereits im Mai 2024 waren Rezepte des Anbieters über Suchmaschinen auffindbar.

Nach Angaben von Dr. Ansay wurde jetzt eine Meldung gemäß Datenschutz-Grundverordnung eingeleitet. Die Zuständigkeit der Aufsichtsbehörden ist jedoch unklar. Die Hamburger Datenschutzbehörde erklärte, dass für den medizinischen Teil des Geschäfts mittlerweile eine Niederlassung in Malta verantwortlich sei, während in Hamburg die Software-Entwicklung angesiedelt sei.

Nutzt ihr selbst Telemedizin-Dienste oder schrecken euch solche wiederholte Sicherheitsmeldungen ab? Schreibt uns eure Meinung und Erfahrungen dazu gerne in die Kommentare!

Siehe auch: