Logins lagen herum

Datenschutzpanne in Wiener Corona-Teststraße

(Bild: APA/Hans Punz)

In Wien ist eine grobe Datenschutzpanne publik geworden: In der Corona-Teststraße im Austria Center (ACV) hatte man bis vor kurzem leichte Sicht auf die Zugangsdaten jener Accounts, mit denen Mitarbeiter sensible Daten zu Menschen, die sich testen ließen, abrufen können. Überdies ließ unter anderem die Qualität der Passwörter zu wünschen übrig. Die Stadt bestätigte die Vorwürfe und hat Maßnahmen gesetzt.

Informanten hatten Medien einen Tipp über den mangelhaften Umgang mit dem Datenschutz in der Corona-Teststraße im ACV gegeben. Die Informationen wurden im Rahmen eines Lokalaugenscheins überprüft und bestätigt, hieß es im „Standard“. So seien die Zugangsdaten neben Computern offen abgelegt und gut lesbar gewesen. Die Passwörter hätten außerdem eine hohe Übereinstimmung mit den Nutzernamen gehabt.

(Bild: APA/dpa/Oliver Berg)

Die Zugangsdaten ermöglichen Zutritt in die Web-App der Stadt, in der die sensiblen Daten, darunter etwa Adresse und Sozialversicherungsnummer, verarbeitet werden. Problematisch sei auch, dass die Passwörter noch nie geändert worden seien und jeder, der schon einmal dort gearbeitet habe, daher Zugriff auf die Daten gehabt habe, so der Hinweisgeber. Das System sei im Internet verfügbar, was einen Login auch von außen erlaubt habe.

Download-Funktion laut Stadt ein „Bug“
Jeder mit dem Passwort hätte demnach Zugriff auf die Ergebnisse von seit November rund 210.000 Corona-Tests und die Daten der Probanden erlangen können. Nutzern mit Zugang zum System habe auch eine Download-Funktion zur Verfügung gestanden, über die sie die Daten gesammelt herunterladen gekonnt hätten - ein „Bug“, wie die Stadt Wien festhält. Ein Kritikpunkt betraf auch die Geräte am Standort: Es sei möglich, einen USB-Stick an die Geräte anzuschließen und Daten abzugreifen.

Die Stadt Wien habe umgehend geprüft, ob es zu Datendiebstählen gekommen sei, sagte ein Sprecher von Gesundheitsstadtrat Peter Hacker (SPÖ). Gefunden sei nichts worden: „Uns ist nichts aufgefallen.“ Nach Kenntnisnahme der Datenpanne wurden seitens der Stadt die Kennwörter in den Teststraßen geändert. Weiters wurde die Zweifaktor-Authentifizierung eingeführt. Dabei muss der Nutzer den Log-In zusätzlich bestätigen, etwa durch einen Code, der per SMS versandt wird. Zudem wolle man den Personenkreis mit Zugriff auf die Passwörter „limitieren“.

Gesundheitsstadtrat Peter Hacker (SPÖ)

(Bild: APA/Herbert Neubauer)

Harsche Kritik von den Grünen
Postwendend Kritik an der Stadt gab von den Grünen. „Der fehlende Datenschutz für sensible Gesundheitsdaten bei Wiens Corona-Teststraßen ist grob fahrlässig“, ärgerte sich Gemeinderatsmandatarin Barbara Huemer in einer Aussendung. Gesundheitsstadtrat Hacker müssen „für diesen Datenskandal“ die Verantwortung übernehmen und die Stadt müsse „unverzüglich“ das Vertrauen in die Sicherheit der sensiblen Gesundheitsdaten der Menschen wiederherstellen, forderte sie dazu.