Corona-Schnelltestzentren: Datenlecks bei Gesundheitsdiensten
IT-Expert:innen entdecken Sicherheitslücken bei zwei Anbietern. Gesundheitsdaten und persönliche Daten könnten an Unbefugte gelangt sein.
Demnach waren rund 175.000 PDF-Dateien mit Buchungsbestätigungen oder Testergebnissen im Internet abrufbar. Die Dateien enthielten unter anderem Namen, Geburtsdaten, Adressen, Telefon- und, soweit angegeben, auch Personalausweisnummern. Betroffen sein sollen mehrere 10.000 Menschen. Die Landesdatenschutzbeauftragte von Nordrhein-Westfalen gab an, den Fall zu prüfen.
Datenschutz- und Sicherheitsprobleme beim Schnelltestzentren sind ein bekanntes Problem: Die IT wird anscheinend ähnlich schnell aufgebaut, wie die Teststellen selbst. Vorgaben wie Privacy by Design, das die Datenschutz-Grundverordnung vorsieht und wonach nur so viele Daten wie unbedingt nötig erhoben werden dürfen, werden dabei nur selten beachtet.
Häufig zeigen die Sicherheitslücken, dass außerdem grobe Programmierfehler gemacht werden, die dazu führen, dass persönliche Gesundheitsdaten von Getesteten ungeschützt im Netz abrufbar sind.
Millionen von Doctolib-Terminen frei im Netz
Im zweiten Fall geht es um Daten von Patient:innen, die Termine über das Portal Doctolib buchen. Laut einem Bericht von Zeit Online wurden dem Chaos Computer Club Daten zugespielt, die zeigten, dass ein Datensatz von 150 Millionen Terminvereinbarungen für Unbefugte frei im Internet zugänglich gewesen sein soll. Erst Mitte vergangenen Jahres sei die Lücke geschlossen worden.
Die Datenbank soll teilweise bis ins Jahr 1990 zurückreichen. Das ist grundsätzlich plausibel, da Doctolib bei teilnehmenden Praxen teilweise auch Termine aus der Vergangenheit ausliest. Gegenüber Zeit Online bestritt Doctolib den Umfang der Sicherheitslücke, eine Anfrage der taz ließ das Unternehmen bis Redaktionsschluss offen.
Doctolib ist bereits länger im Visier von Datenschützer:innen. Der Verein Digitalcourage verlieh der Plattform kürzlich einen Negativpreis. Und die Berliner Datenschutzbeauftragte gab auf Anfage der taz an, dass bereits Beschwerdeverfahren laufen würden.
Dabei gehe es sowohl um Doctolib direkt als auch um Praxen, die den Dienst einsetzen. Auch die „Einbindung von Doctolib im Rahmen des Impfmanagements“ sei Gegenstand von Verfahren – das Unternehmen wickelt für das Land Berlin die Vergabe von Impfterminen und die Dokumentation der Impfungen ab. Damit liegen unter anderem die Anamnesebögen – auf denen beispielsweise Vorerkrankungen und Allergien angegeben werden müssen, in der Hand von Doctolib.
taz lesen kann jede:r
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
Starten Sie jetzt eine spannende Diskussion!