text: Sicherheitslücke in Testzentren: Kundendaten offen im Netz - COMPUTER BILD
  Sicherheitslücke in Corona-Testzentren: Kundendaten offen im Netz
  Datenklau in Testzentren – für Cyberkriminelle kein Problem, wie Sicherheitsexperten aufdecken.
  24.06.2021, 12:39 Uhr
  Ein Betreiber von 34 Corona-Testzentren lagerte 174.000 Buchungsbestätigungen und Testergebnisse größtenteils ungesichert auf seinen Servern – IT-Experten decken brisante Details auf!
  Persönliche Gesundheitsdaten gelangen in die Hände von Hackern: Was nach der Zusammenfassung eines neuen Thrillers über Cyberkriminelle klingt, wäre für Zehntausende Bürger beinahe tatsächlich zur Realität geworden. Das geht jedenfalls aus einem Bericht der IT-Expertengruppe "Zerforschung" hervor, der ein erschreckendes Beispiel für ein kritisches Sicherheitsleck beschreibt. Hauptdarsteller ist dabei das Kölner Unternehmen PAS Solutions, das unter der Marke "Coronapoint" deutschlandweit 34 Corona-Testzentren betreibt – die meisten davon in Nordrhein-Westfalen.
  Sensible Informationen unter den Daten
  Den vorliegenden Informationen nach wäre mit ein wenig Recherchearbeit der Zugriff auf Dokumente von 174.000 Personen möglich gewesen, die sich an den Standorten des Unternehmens in den vergangenen Wochen auf das Corona-Virus testen ließen. Brisant dabei: Die vielen Tausend frei zugänglichen Datensätze enthielten nicht nur Namen, Geburtsdaten, Adressen, Telefonnummern, Passwörter und Testergebnisse, sondern in vielen Fällen auch die Personalausweisnummern der Kunden.
  Laxer Umgang mit Datensicherheit
  Möglich machten das diverse Fehler im System des Kölner Unternehmens, wie die IT-Experten aufdeckten. So verwendete das Unternehmen zur Absicherung der Nutzerkonten beispielsweise lediglich vierstellige alphanumerische Passwörter, die sich einfach knacken lassen. Um in das System der Corona-Testzentren zu gelangen, reichte es bereits, eine korrekte E-Mail-Adresse einzugeben, auf "Passwort vergessen" zu klicken und den folgenden Datenverkehr mitzulesen. Coronapoint verschickte die Passwörter unmittelbar im Klartext.
  Des Weiteren vergab die Software aufsteigende – also leicht zu erratende – Buchungsnummern. Dadurch ließen sich von den IT-Experten massenhaft Kundendaten abfragen. Erfreulich: Nach Angaben von PAS Solutions, gelang dies nur der "Zerforschung"-Gruppe. Es gebe keinerlei Hinweise darauf, dass "Daten verloren gehen", so die Betreiber. Zudem habe das Unternehmen die Sicherheitslücke nach der Information seitens des Bundesamts für Sicherheit in der Informationstechnik (BSI) sofort geschlossen.
  Sicherheitsleck machte Identitätsdiebstahl möglich
  Eile war geboten, denn mit einem solchen Datenbestand wäre es für Cyberverbrecher ein Leichtes, Identitätsdiebstahl und andere Betrugsdelikte zu begehen. "Kriminelle können damit erheblichen finanziellen Schaden für die Betroffenen verursachen. Denkbare Szenarien sind die Eröffnung zahlungspflichtiger Accounts", antwortete das BSI auf Anfrage von tagesschau.de.