Der Chaos Computer Club (CCC) wirft dem Vertrauensdiensteanbieter D-Trust "Cyber-Augenwischerei" vor, statt sich seiner Verantwortung nach Entdeckung eines Sicherheitslecks zu stellen. Deswegen schlägt CCC-Sprecher Linus Neumann dem Unternehmen einen 5-Punkte-Plan vor.
Anzeige
Der Entdecker der API-Schwachstelle hatte sich an den CCC gewandt, statt direkt mit D-Trust zu kommunizieren. Grund sei die fehlende rechtliche Absicherung für Sicherheitsforscher, so Neumann. Während D-Trust von einer "gezielten Manipulation" spricht und Strafanzeige erstattete, betont der CCC, dass kein Zugriffsschutz umgangen wurde.
Der CCC empfiehlt nach diesem Vorfall einen 5-Punkte-Plan, nachdem das Unternehmen unter anderem Verantwortung tragen, den Stand der Technik und damit "Sicherheitsstandards des aktuellen Jahrhunderts" einhalten müsse. Zudem fordert der CCC erneut eine Abschaffung des Hackerparagraphen und eine Bestrafung durch die Bundesbeauftragte für Datenschutz und Informationsfreiheit.
Im Podcast "Logbuch:Netzpolitik" sagte Neumann, dass seiner Ansicht nach diejenigen eine Strafanzeige erhalten müssten, die für die offene API Verantwortung tragen. Stattdessen seien die Daten ohne angemessenen Schutz ins Internet gestellt worden, was D-Trust laut Neumann erklären müsse.
Nachdem D-Trust vergangene Woche über einen Angriff auf sein Antragsportal für Signatur- und Siegelkarten berichtet hatte, meldete sich Neumann in einer E-Mail bei dem Unternehmen und informierte darüber, dass ein anonymer Sicherheitsforscher über eine offene API auf die Daten zugegriffen hatte. Die Daten seien restlos gelöscht worden.
Am 13. Januar hatte D-Trust darüber informiert, dass Daten einer Schnittstelle des Portals "portal.d-trust.net" ausgelesen wurden und dass das Unternehmen eine Strafanzeige erstellt hatte. Auch "Antragsdaten für Elektronische Heilberufsausweise (eHBA) und Praxis- bzw. Institutionsausweise (SMC-B)" waren betroffen. Diese speziellen Ausweise benötigen Ärzte, um Zugriff zur Telematikinfrastruktur – die für den Austausch von Daten im Gesundheitswesen gedacht ist – zu erhalten und Dokumente zu signieren.
(
Kommentare