Hängt den Boten! Über eine Sicherheitslücke …

Ein Webentwickler hat eine Sicherheitslücke im Österreich-testet Portal gefunden. Statt Dank bekam er die Kündigung.

Es klingt ein wenig wie eine schlechte Daily-Soap. Ein Webentwickler hat eine Sicherheitslücke auf dem Portal Österreich-testet gefunden. Österreich-testet ist eine Plattform des Gesundheitsministeriums. So weit, so gut.
Das ist auch jetzt nicht das erste Mal geschehen, doch dieser Fall hat eine kleine verrückte Geschichte im Handgepäck. Diese Geschichte hat die Datenschutz NGO epicenter.works gemeinsam mit ORF konkret aufgedeckt. Es geht dabei um den Webentwickler Gökhan S., der einen Programmierauftrag für eine Apotheke erledigte. Diese Apotheke war der Plattform Österreich-testet angeschlossen. Während dieses Auftrags ist er auf die Sicherheitslücke der Plattform gestoßen. Diese Lücke bestand darin, dass jede Apotheke über die Plattform auf die Daten der Teilnehmerinnen und Teilnehmer zugreifen kann. Diese Datensätze bestehen aus Namen, den Adressen, den Sozialversicherungsnummern, Telefonnummern, aber auch E-Mail-Adressen und den Corona-Testergebnissen. Betroffen sind im Grunde alle Personen, die in den vergangenen Tagen über die Plattform Österreich testet sich zu einem Corona Test angemeldet haben.

Sicherheitslücke: Kein Dank, sondern …

Der Webentwickler hat diese Sicherheitslücke dokumentiert und sich an das Gesundheitsministerium gewendet. Gemäß Medienangaben hat das Ministerium in jedoch zunächst ignoriert. Gleichzeitig hat Gökhan S. sich auch an den ORF gewendet. Der ORF hat dann gemeinsam mit der Datenschutz NGO epicenter.works diese Sicherheitslücke nach eigenen Angaben in einer gemeinsamen Recherche aufgedeckt. Im Grunde auch alles so weit, so gut.
Das wirklich verrückte kommt jedoch jetzt. In einer Stellungnahme gegenüber dem ORF spricht das Gesundheitsministerium nicht von einer Sicherheitslücke, sondern gibt an, dass es sich lediglich um eine widerrechtliche Verwendung interner Dokumentationssysteme einzelner Apotheken handeln würde. Gleichzeitig habe das Ministerium in ein und derselben Reaktion auch angegeben, dass die Sicherheitslücke geschlossen worden sei.
So, und was macht man im Regelfall mit Personen, die eine Sicherheitslücke entdecken und diese auch ganz brav melden? Richtig, man bedankt sich zumindest bei Ihnen. Doch hier war das Gegenteil der Fall. Das Gesundheitsministerium kündigte die Zusammenarbeit mit der Apotheke auf, die Apotheke wiederum hat das Arbeitsverhältnis mit dem Webentwickler beendet. So kann man den Boten auch hängen. Weiterführende Informationen zu diesem Vorteil gibt es auf der Website von epicenter.works.

Das kann ebenso interessieren

Einschränkung der Grundrechte: Nein, wir befinden uns nicht im Jahr 1933! Durch Gesetzesänderungen werden Grundrechte eingeschränkt, doch mit dem Ermächtigungsgesetz von 1933 ist das nicht vergleichbar! Weiterlesen …