Corona-Kontaktlisten: Cloud-Software mit schweren Sicherheitslücken

Wie konnte der CCC auf die Daten zugreifen?

Der CCC fand heraus: Die Web-App von Gastronovi prüfte die Zugriffsrechte der Benutzer im System nicht effektiv. Auf diese Weise konnten sich die Hacker vollen Administrator-Zugriff auf die App verschaffen. Das heißt: Sie konnten alle in dem System gespeicherten Daten einsehen und kopieren.
Zudem war die API, mit der die Restaurants mit dem System interagieren, fehlerhaft programmiert. So konnten Restaurantbetreiber auf die Daten von anderen Gastronomen zugreifen. Und: Die API der Web-App war so offen, dass unangemeldete User auf der ganzen Welt die Speisekarten aller eingetragenen Restaurants einsehen konnten. Sie konnten Bestellungen auslösen und stornieren.

Diese Daten konnte der CCC einsehen

Der CCC konnte 87.000 Corona-Daten, 4,8 Millionen Personen-Datensätze und 5,4 Millionen gespeicherte Reservierungen einsehen. Insgesamt waren 180 Restaurants betroffen. Unter den Daten waren auch Passwort-Hashes und bei älteren Userkonten Klartext-Passwörter. Der CCC konnte Daten einsehen, die bis zu 10 Jahre alt waren. Damit könnte die Löschfrist der Datenschutz-Grundverordnung (DSGVO) nicht eingehalten worden sein.

So reagierte der Cloud-Betreiber auf die Sicherheitslücken

Der Software-Anbieter Gastronovi gab an, sich als Auftragsverarbeiter zu sehen. Er sei daher nicht dafür verantwortlich, die Daten in dem System zu löschen. Dem müssten die Restaurants selbst nachkommen.

Gastronovi reagierte schnell auf die Schwachstellen. Es hat die Sicherheitslücken beseitigt. Auf Anraten des CCC ließ der Anbieter zudem einen professionellen Sicherheitscheck der Software durch Experten vornehmen. Gastronovi erklärte, dass es keinen unautorisierten Zugriff auf die Daten gab.

Fazit

Ulrich Kelber, Bundesbeauftragter für Datenschutz, kritisierte, dass in der Datenbank Informationen lagen, die längst hätten gelöscht sein müssen. Viele Betriebe würden sich für die Aufbewahrungsfristen nicht interessieren. Sie hätten keine Löschkonzepte und würden sich nicht um die Daten kümmern. Kelber hofft, dass hohe Bußgelder hier eine abschreckende Wirkung haben können.

eRecht24 Praxis Guide

Rechtssichere Webseiten:
Alles, was Sie wissen müssen

In unserem Guide erklären wir Ihnen in 12 Schritten, wie Sie eine Website rechtssicher erstellen - von der Wahl des Domainnamens über Impressum und Datenschutzerklärung bis hin zu E-Mail- und Newslettermarketing.

Guide jetzt kostenfrei herunterladen!

Vielen Dank!

Wir nehmen es mit dem Schutz Ihrer Daten genau und halten uns an die rechtlichen Vorgaben des Double-Opt-In. Bitte bestätigen Sie zuerst Ihre E-Mail-Adresse. Dann stellen wir Ihnen den Guide kostenfrei zur Verfügung.

Tipp: In unseren Premium-Paketen stehen Ihnen mehr als 10 praktische Guides mit Handlungsempfehlungen und passenden Generatoren und Tools zu verschiedenen Themen (Datenschutz, Urheberrecht, Marketing & Co.) kostenfrei zur Verfügung. Die Premium Praxis Guides werden sie regelmäßig aktualisiert, damit Sie stets auf dem neuesten Stand sind.