Sicherheitslücke: Mehr als 130.000 Corona-Testergebnisse waren frei im Netz abrufbar

Aufgrund einer Sicherheitslücke waren sensible Daten mehrerer Corona-Testzentren in Deutschland und Österreich unzureichend geschützt über das Internet abrufbar. Zu diesen Daten gehörten Name, Adresse, Geburtsdatum, Staatsbürgerschaft, das Corona-Testergebnis und teilweise Ausweisdaten. Sicherheitsforscher:innen der Gruppe „Zerforschung“ aus dem Umfeld des Chaos Computer Clubs (CCC) haben die Schwachstelle nach einem Besuch in einem Berliner Testzentrum des Unternehmens 21dx entdeckt.

Möglich war der Zugriff auf die Daten über eine Website des Wiener Startups medicus.ai, das unter dem Namen SafePlay verschiedenen Testzentren eine Art „Rundum-Sorglos-Website“ zur Verfügung stellt, mit der diese die Tests digital abbilden und organisieren können. Auf so einer Website können Patient:innen zum Beispiel Termine buchen und ihre Testergebnisse abrufen. Leider nicht nur ihre eigenen, wie sich herausstellte.

Klassiker unter den Sicherheitslücken

Wer einen Account auf der Plattform angelegt hatte, konnte laut dem CCC ungehindert Testergebnisse und personenbezogene Daten anderer Nutzer:innen einsehen, weil die Website bei der Auslieferung des Test-Befundes als PDF-Dokument fortlaufende Nummern im Stil von report_id=123456 verwendete. Änderte man nun diese Nummer nach oben oder unten, bekam man die Befunde anderer Patient:innen ausgeliefert.

Um den Abruf von personenbezogenen Daten mittels Runter- und Hochzählen von Nummern zu vermeiden, nutzt man in der Programmierung heute so genannte UUIDs. Eine solche zufällig generierte UUID sähe beispielsweise folgendermaßen aus: 550e8400-e29b-11d4-a716-446655445200. Mit dieser verbreiteten Methode hätte das Problem bei medicus.ai einfach verhindert werden können.

Linus Neumann, Sprecher des Chaos Computer Clubs, sagt dazu: „Diese Art von Schwachstellen sind ein Klassiker, vor dem immer wieder gewarnt wird. Wer sich auch nur im Entferntesten mit IT-Sicherheit auseinandersetzt, macht solche Fehler einfach nicht.“

Mehr als 100 Testzentren betroffen

Die Software SafePlay von medicus.ai kommt laut CCC nicht nur in Berlin zum Einsatz. Betroffen sind laut dem CCC über 136.000 Testergebnisse von mehr als 80.000 Kundinnen bei über 100 Testzentren und mobilen Test-Teams. Darunter befinden sich sowohl öffentliche Einrichtungen in München, Berlin und Kärnten als auch feste und temporäre Teststationen in Unternehmen, Schulen und sogar Kindergärten.

Die Gruppe Zerforschung warnt: „Wenn solche Datenunfälle vorkommen, dann zerbröckelt die Bereitschaft von Menschen, zur Eindämmung der Pandemie beizutragen, immer weiter. Wenn staatlich beauftragte Unternehmen nachlässig mit sehr sensiblen Daten umgehen, fällt das leicht auf die komplette staatliche Infrastruktur zurück.“ Menschen bräuchten gerade jetzt das Vertrauen, damit sie die verfügbaren Angebote wie Tests und Impfungen auch wahrnehmen.

Noch mehr Sicherheitslücken

Doch die oben beschriebene Sicherheitslücke war nicht die einzige: Über ein ebenfalls mit jedem Account ungehindert zugängliches Dashboard konnte auch sekundengenau für jedes Testzentrum eingesehen werden, wann dort ein Covid-19-Test gemacht wurde und welches Ergebnis dieser hatte, heißt es in der Pressemitteilung des CCC. Daraus ließ sich sehr einfach die URL eines Beweis-Bildes ableiten, unter der ein Foto des Teststreifens mit dem Ergebnis vorgehalten wurde. Auf mehreren dieser Photos waren auch wiederum die Namen der Patient:innen vermerkt.

Außerdem konnten die Sicherheitsforscher:innen einfach den Namen ändern und sich so das PDF-Dokument mit dem Testbefund auf beliebige Namen ausstellen. Ein weiteres Datenschutzproblem war ein eingebundenes Nutzer-Tracking von Google und dem Zahlungsdienstleister Stripe, das nicht in der Datenschutzerklärung genannt wurde.

Schwachstellen mittlerweile behoben

Laut Aussagen von medicus.ai gegenüber dem CCC hat das Unternehmen die Schwachstellen inzwischen behoben. Zum jetzigen Zeitpunkt sei aber unklar, ob die Schwachstellen von anderen früher entdeckt wurden und wie viele Daten auf diese Weise in fremde Hände gelangt sein könnten. Die Zusicherungen des betroffenen Unternehmens medicus.ai, es habe kein unberechtigter Zugriff stattgefunden, lassen sich nicht unabhängig prüfen, schreibt der CCC. Weiterhin behaupte medicus.ai, betroffene Nutzerinnen informiert zu haben. Für Testergebnisse von Freundinnen, auf die sie mit deren Erlaubnis zugegriffen haben, habe der CCC jedoch keine derartige Nachricht erhalten. Die Antwort auf eine kurzfristige Presseanfrage von netzpolitik.org an medicus.ai steht noch aus, wir reichen sie nach, sobald wir eine Antwort erhalten.

Update: Medicus.ai hat uns auf ein allgemeines Statement hingewiesen. Weiterhin heißt es gegenüber netzpolitik.org, dass Medicus.ai seine Kunden (die Testlabors) in der Verantwortung sieht, deren Kunden selbst zu informieren. Dies sei im Falle der 21Dx GmbH in sechs Fällen geschehen. Das hält Medicus.ai für „alle Betroffenen“. 

Gegenüber der SZ sagte medicus.ai, die Lücke sei „durch einen Fehler in einem Update der Software von Mitte Februar“ entstanden und es habe 5.774 Zugriffe auf Ergebnisse gegeben, während die Lücke bestand. Welche davon berechtigt waren und welche nicht und ob sich das feststellen lässt, wird nicht ausgeführt. „Das Unternehmen bestritt aber nicht, dass 136.000 Testergebnissen für Unbefugte zugänglich waren“, schreibt die SZ weiter. Dem RBB sagte Medicus AI, es habe Maßnahmen gegeben, „um massenhafte Abfragen zu verhindern“.

Zerforschung und der Chaos Computer Club haben das Bundesamt für Sicherheit in der Informationstechnik (BSI), den Bundesdatenschutzbeauftragten und die zuständigen Landesdatenschutzbeauftragten in Deutschland über die Schwachstellen bei medicus.ai informiert. Die österreichische NGO epicenter.works übernahm die Kommunikation mit dem für das Wiener Unternehmen zuständigen CERT.at. Ziel war die schnelle Behebung, um die Daten der Kundinnen nicht weiter in Gefahr zu bringen.

Covid offenbart Digitalisierungsmängel

Die Herausforderungen der Covid-19-Pandemie offenbarten vielerorts Digitalisierungsmängel, warnt der Chaos Computer Club. Der akute Bedarf an digitalen Lösungen motiviere viele Unternehmen zu digitalen Schnellschüssen. 

„Wenn schon bei so einfachen Aufgaben katastrophale Anfänger-Fehler passieren, sollten die Verantwortlichen erstmal ihre Hausaufgaben machen. Stattdessen werden als nächstes mehrere Millionen Euro für fragwürdige Blockchain-Impfnachweise versenkt“, sagt Neumann mit Bezug auf die Ankündigung des digitalen Impfausweises weiter.