Sicherheitsvorfall bei Hostinger

26. August 2019

Als Folge eines Sicherheitsvorfalls, durch welchen Unbekannte Zugriff auf eine Kundendatenbank des Webhosters Hostinger erlangten, ließ dieser die Passwörter von 14 Millionen Kunden zurücksetzen.

Laut Hostinger konnten Daten wie Datenbank Namen, E-Mail- , IP-Adressen und Kennwörter eingesehen werden. Bankdaten blieben davor jedoch geschützt, da diese auf einem externen Server hinterlegt sind. Die Kennwörter sind zwar durch einen SHA-1 geschützt worden, jedoch gilt dieser Hash-Algorithmus als sehr unsicher.

Die Nutzer welche sich nun wieder in Ihren Account einloggen wollen, müssen ein neues Passwort vergeben. Der Webhoster bat seine Kunden bei der Vergabe neuer Passwörter darauf zu achten, dass diese nicht bereits bei einem anderen Online-Service genutzt werden.

Zukünftig will Hostinger eine Zwei-Faktor-Authentifizierung (2FA) einrichten um die Accounts seiner Kunden besser zu schützen.

Mastercard Priceless: Datenleck

22. August 2019

Mastercard’s Priceless Special-Plattform, ein Mastercard Bonusprogramm, ist seit Dienstag offline.

Grund dafür ist eine im Internet frei verfügbare Liste, die die persönlichen Daten von knapp 90.000 Mastercard-Kunden enthält. Zu den Daten gehören Vor- und Nachname, Geburtsdatum, E-mail-adresse und in einigen Fällen zudem die Adresse sowie Handynummer des Betroffenen.

Nach Recherchen von heise Security, die auf die Liste aufmerksam gemacht wurden, handelt es sich um echte Daten. Betroffen sind hauptsächlich deutsche Mastercard-Kunden.

heise Security informierte Mastercard am Montag über das potentielle Datenleck. Derzeit untersucht Mastercard den Vorfall

Zwischenzeitig ist eine zweite Tabelle im Internet aufgetaucht. Diese enthält nach Informationen von heise Security vollständige Kreditkartennummern von rund 84.000 Betroffenen – Informationen zu Karteninhabern, Ablaufdatum und CVC sind nicht enthalten. Demnach scheint ein direkter Missbrauch erst mal ausgeschlossen, allerdings ist nicht bekannt, ob derjenige, der die Liste veröffentlicht hat, Zugriff auf diese Daten hat. Ob diese zweite Liste echt ist, ist noch nicht abschließend geklärt.

Die veröffentlichten Daten können für Phishing-Mails missbraucht werden. Deswegen ist derzeit besondere Vorsicht im Zusammenhang mit E-mails von Mastercard geboten. Auch wenn die E-mails optisch aussehen, als würden sie von Mastercard stammen, sollte in der nächsten Zeit verstärkt darauf geachtet werden, nicht auf Phishing-Mails reinzufallen.

Das Hasso-Plattner-Institut hat seinen Identity Leak Checker um die Daten der Listen erweitert. Sie können überprüfen, ob ihre Daten von dem Leck betroffen sind.

Kategorien: Online-Datenschutz
Schlagwörter: ,

Datenschutzvorfall bei “Biostar 2”

19. August 2019

Medienberichten zufolge haben Hacker aus Israel eine Datenbank aufgespürt, in der circa eine Millionen Fingerabdrücke sowie andere biometrische Daten nahezu ungeschützt abgelegt sind.

Ausweislich des Berichtes handelt es sich hierbei um eine Datenbank für die Software “Biostar 2”. Diese wird von dem koreanischen Unternehmen Suprema Inc. entwickelt und verkauft. Mittels dieser Software wird Unternehmen die Verwaltung der Zugangskontrolle mittels intelligenter Türschlösser ermöglicht. Zu diesem Zweck werden beispielsweise Fingerabdrücke oder sonstige biometrische Daten im System hinterlegt.

Der Vorfall bezöge sich auf mehr als 27 Millionen Datensätze sowie 23 Gigabyte Daten. Diese seien durch Kunden durch lediglich unzureichende Passworte, wie beispielsweise “abcd1234”, gesichert worden. Darüber hinaus seien von Unternehmensseite ebenfalls unzureichende Maßnahmen die zur Sicherung der Daten vorgenommen worden.

Aus datenschutzrechtlicher Perspektive ist die Vertraulichkeit personenbezogener Daten elementar wichtig. Dies zeigt bereits, dass Integrität und Vertraulichkeit personenbezogener Daten einer der Grundsätze für jede Datenverarbeitung im Sinne der DSGVO ist (vgl. Art. 5 Abs. 1 lit f) DSGVO).

Gesundheits-Apps unterliegen ab 2020 höheren Anforderungen

15. August 2019

Die Digitalisierung des Gesundheitssystems schreitet weiter voran. Das digitale Versorgungsgesetz (DVG) sieht vor, dass Ärzte künftig Gesundheits-Apps verschreiben können und die Kosten dafür von den Krankenkassen erstattet werden sollen. Viele Patienten nutzen schon jetzt Gesundheits-Apps, die sie zum Beispiel dabei unterstützen, ihre Arzneimittel regelmäßig einzunehmen oder ein Diabetes Tagebuch zu führen.

Bei den Apps werden jedoch in großem Umfang Gesundheitsdaten verarbeitet, welche nach Art. 9 DSGVO zu den sensiblen Daten zählen. Der Einsatz von Gesundheits-Apps birgt damit erhebliche Risiken für das Recht auf informationelle Selbstbestimmung.

Mit Inkrafttreten der EU-Medizinprodukte-Verordnung am 25. Mai 2017 müssen sich Entwickler von Gesundheits-Apps auf deutlich höhere Anforderungen einstellen. Nicht nur nur die Definition weitet sich aus, weshalb mehr Apps der Verordnung unterfallen, auch die Risikoklasse steigt. Bis zum 26. Mai 2020 gilt allerdings noch eine weniger strenge Übergangsregelung.

Laut dem Bundesministerium für Gesundheit soll für die Gesundheits-Apps ein zügiger Zulassungsweg geschaffen werden.

Facebook: Auswertung von Sprachaufnahmen

14. August 2019

Externe Unternehmen haben für Facebook Sprachaufnahmen der User seines Messenger-Dienstes ausgewertet. Laut der Finanznachrichtenagentur Bloomberg wussten die Mitarbeiter nicht um was für Daten es sich handelt und sollten diese nur transkribieren.

Betroffen seien die Nutzer des Messenger-Dienstes, die die Transkriptionsfunktion eingeschaltet hatten. Facebook wollte auf diese Weise prüfen, ob die Software die Sätze richtig verstanden hat. Facebook gab außerdem an, dass die betroffenen Nutzer in die Verarbeitung eingewilligt hätten und dass die Auswertung der Sprachaufnahmen pausiert wurde.

Ende Juli erst wurde Facebook eine Rekordstrafe von 5 Milliarden Dollar wegen Datenschutzverstößen auferlegt. Bei einer Anhörung im US-Kongress im April 2018 hat Mark Zuckerberg die Auswertung von Sprachaufnahmen noch als “Verschwörungstheorie” abgetan.

Datenpanne bei Handwerksunternehmen: Bewerbungsmappen in der Gelben Tonne

Anwohner fanden in Neukirchen-Vluyn sechs Bewerbungen im Recyclingmüll. Wie jede Bewerbungsmappe sind sie gefüllt mit Fotos und dem kompletten Lebenslauf, dessen Stationen durch Zeugnisse belegt werden. Experten zu folge ist ein Identitätsdiebstahl anhand solcher Daten durchaus möglich. Die Anwohner sandten die Mappen dem Landesbeauftragten für Datenschutz in NRW zu.

Datenschutzrechtlich sind Unterlagen der erfolglosen Bewerber zurückzusenden, zu vernichten und/oder zu löschen. Da der ursprüngliche Zweck der Datenverarbeitung, die Auswahl eines geeigneten Bewerbers, nun weggefallen ist, hat die Löschung der Daten bzw. Vernichtung oder Rücksendung der Unterlagen grundsätzlich unverzüglich nach Abschluss des Bewerberverfahrens (also Einstellung des neuen Mitarbeiters) zu erfolgen. Etwas anderes gilt nur, sofern eine gesetzliche Grundlage, die Einwilligung des Bewerbers oder ein berechtigtes Interesse für eine weitere Aufbewahrung oder Speicherung der Unterlage vorliegt.

Die papiergebundenen Unterlagen sind, soweit sie nicht an den Bewerber zurück gesendet werden, mit Hilfe eines Aktenvernichters entsprechend der Sicherheitsstufe P4 der DIN-Norm 66399 zu vernichten. Das bedeutet, dass die Unterlagen mittels eines Papier-Schredders mit Partikelschnitt von max. 160mm² mit einer Streifenbreite von max. 6mm zu zerkleinern sind.

Dieser Pflicht ist das Handwerksunternehmen in Vluyn nicht nachgekommen. Es bleibt abzuwarten, welche Konsequenzen darauf folgen.

“Lovoo” steht wegen fehlenden Datenschutzes in der Kritik

12. August 2019

Journalisten des Bayerischen Rundfunks (BR) haben festgestellt, dass der Partnervermittlungsdienst “Lovoo” lediglich über unzureichende Maßnahmen zum Schutz personenbezogener Daten verfügt.

So hätten die Journalisten des BR die Standorte von Nutzern des Dienstes mittels einer “Radarfunktion” für einen Zeitraum von mehreren Tagen aufgezeichnet. Mit diesen Daten hätte man Bewegungsprofile erstellen und Rückschlüsse auf Wohn- und Arbeitsorte ziehen können. Darüber hinaus ließen sich diese Informationen mit weiteren Profilinformationen wie der sexuellen Orientierung oder hinterlegten Bildern kombinieren.

Die Kritik des BR resultiert daraus, dass der Nutzerstandort mittels eines geometrischen Messverfahrens wohl wesentlich genauer bestimmen lässt als von “Lovoo” angegeben. Durch die konkrete Lokalisierbarkeit etwaiger Nutzer steigt die Gefahr des Missbrauchs dieser Daten. Das Risiko ist umso größer, da es sich bei den potentiell abgefragten Daten um besonders sensible, mithin schutzwürdige Daten handelt.

“Lovoo” selbst nahm in einer Pressemitteilung zum potentiell unzureichenden Datenschutz Stellung. Das Unternehmen erläuterte, dass bereits vor Veröffentlichung der Ergebnisse durch den BR Maßnahmen zur Behebung des Problems ergriffen worden wären. So könnten Nutzer nun lediglich in einem Umkreis von maximal 1000 Meter lokalisiert werden. Darüber hinaus sei die mehrfache Abfrage des Standorts von Nutzern in der Umgebung eingeschränkt worden.

Kategorien: Allgemein · DSGVO · Social Media · Tracking

Datenpanne bei Twitter

8. August 2019

Die Daten von rund 300 Millionen Twitter-Nutzern könnten in ungefugte Hände gelangt sein.

Twitter teilte kürzlich mit, dass Daten über ein Jahr mit Werbekunden geteilt wurden, ohne dass die Nutzer dem zugestimmt hätten.

Laut eigener Aussage wurden die von den Nutzern vorgenommen Einstellungen hinsichtlich des Teilens der gesammelten Daten für Werbung mit externen Werbeanbietern nicht berücksichtigt. Das führte dazu, dass trotz des Verbots Daten an Externe weitergegeben wurden.

Zu den Daten gehört Ländercode sowie ob und gegebenenfalls wie lange die Anzeige angesehen und mit ihr interagiert wurde. Hinzu kommt, dass den Nutzern durch diesen Fehler auch personalisierte Werbung angezeigt wurde, die auf Daten beruht, die nicht hätten gesammelt werden dürfen. Darüber hinaus seien, laut Aussage von Twitter, keine Informationen zu E-mailkonten oder Passwörtern betroffen gewesen.

Der Fehler wurde am 05.August behoben. Zurzeit laufen noch Ermittlungen bezüglich der Anzahl der Betroffenen. Zudem werden Vorkehrungen getroffen, damit ein solcher Fehler zuünftig nicht mehr auftritt.

Neue Stellungnahme des Hessischen Datenschutzbeauftragten über Microsoft Office

Anfang Juli 2019 hatte die hessische Datenschutzbehörde Schulen die Nutzung von Microsoft Office 365 untersagt. In seiner Stellungnahme erklärte der Hessische Beauftragte für Datenschutz und Informationsfreiheit, dass es unzulässig sei, das Programm an hessischen Schulen einzusetzen, sofern dort personenbezogene Daten in der europäischen Cloud gespeichert werden.

Am 2. August 2019 folgte eine zweite Stellungnahme zum Einsatz von Microsoft Office 365 in hessischen Schulen. Der Landesdatenschutzbeauftragte erklärte darin: „Seither fanden intensive Gespräche mit Microsoft über die Datenschutzkonformität der schulischen Anwendung von Office 365 statt, die zu einer datenschutzrechtlich veränderten Einschätzung führten und die einen erheblichen Anteil der Bedenken entkräfteten.“ Im Rahmen dieser Einschätzung erweist sich diese Überprüfung als außerordentlich komplex und aufwendig, da eine Vielzahl rechtlicher und technischer Fragen zu klären war.

In seiner zweiten offiziellen Stellungnahme hat der Hessische Beauftragte für Datenschutz und Informationsfreiheit sich nach intensiven Gesprächen mit Microsoft dazu entschlossen, den Einsatz von Office 365 in hessischen Schulen unter bestimmten Voraussetzungen und dem Vorbehalt weiterer Prüfungen zum gegenwärtigen Zeitpunkt zu dulden. Die Einschätzung betrifft die Version ab 1904 (für die Produkte Office 365 ProPlus, Office 365 Online und Office 365 Apps) und der Landesdatenschutzbeauftragte betont, dass Schulen Office 365 einsetzen dürfen, wenn sie die Übermittlung jedweder Art von Diagnosedaten unterbinden.

Zu gegebener Zeit wird der Landesdatenschutzbeauftragte weitere Vorgaben hinsichtlich der Parameter machen, die als Grundlage für die Nutzung der Cloud umzusetzen sind. Dazu wird auch Microsoft Schulen Handlungsanleitungen zur Verfügung stellen.

Allerdings können sich die Schulen, die den Erwerb beabsichtigen, ebenfalls auf die Duldung berufen, aber tragen das finanzielle Risiko, falls die weitere Überprüfung zur Unzulässigkeit des Einsatzes von Office 365 in hessischen Schulen führen sollte.

Spielemesse E3: Daten von mehr als 2000 Fachbesuchern online

6. August 2019

Eine Liste mit den Datensätzen von 2025 registrierten Journalisten, Analysten, Influencern, Korrespondenten und Produzenten war auf der E3-Website mindestens einige Tage lang abrufbar.

Als Erste machte die Journalistin Sophia Narwitz in einem Youtube-Video auf die Datenpanne aufmerksam, nachdem sie selbst über eine anonyme E-Mail davon Kenntnis erlangt hat.

Inzwischen ist die Liste zwar nicht mehr im Google-Cache, offenbar wurde sie jedoch von Unbekannten kopiert und ist nun andernorts im Internet zu finden.

Der eigentliche Zweck solcher Listen ist, dass Aussteller die Teilnehmer der Messe nach deren Einwilligung kontaktieren können. Laut dem Veranstalter war das Dokument zunächst nur per Passwort erreichbar, erschien dann aber als Download auf einer E3-Unterseite. Ungeklärt bleibt noch, wie es zu diesem Vorfall kam.

Kategorien: Allgemein · Online-Datenschutz
Schlagwörter: ,
1 77 78 79 80 81 274