Schlagwort: App

Videodienst Zoom weiter in der Kritik

16. April 2020

Seit Wochen überschlagen sich die Nachrichten zur Videokonferenz App Zoom, das seit der Corona Krise eine rasante Nachfrage zu verzeichnen hat, gleichzeitig aber auch mit erheblicher Kritik hinsichtlich seiner Datensicherheit kämpft (wir berichteten hierzu am 01.04.2020 und 09.04.2020).

Das Unternehmen arbeitet laut eigener Aussage seitdem auf Hochtouren daran seine Datensicherheit zu verbessern.

Politiker raten von Nutzung ab

Deutsche Politiker raten momentan jedoch weiter von der Verwendung des Videodienstes ab. Solange es dem Unternehmen nicht gelinge, sämtliche Sicherheits- und Datenschutzvorwürfe vollständig zu entkräften, könne Zoom nicht als Videokonferenzdienst empfohlen werden.

Der Vorsitzende des Digitalausschusses im Bundestag, Manuel Höferlin (FDP) äußert sich hierzu sehr deutlich: „Solange Zoom nicht nachweisen kann, dass ihre Software sicher und vertrauenswürdig ist, sollten deutsche Unternehmen auf die Nutzung dieser Video-Plattform weitestgehend verzichten. Das sollte zumindest für alle Besprechungen gelten, bei denen das erforderliche Vertraulichkeitsmaß höher ist als bei einer Postkarte.“

Vor allem aber auch Behörden und Ministerien wird von einer Nutzung der App abgeraten. Politiker von CDU und FDP befürchten einen Zugriff Chinas auf die Nutzerdaten und Inhalte.

Das Unternehmen hatte noch im Februar Konferenzen über Server in China geleitet. Auch wenn das Problem nach eigener Aussage des Unternehmens mittlerweile behoben sei, sind deutsche Politiker weiterhin der Ansicht, dass der Zugriff chinesischer Behörden auf Zoom-Daten nicht ausgeschlossen werden könne. Vor allem da sich nach wie vor ein Rechenzentrum des Unternehmens in China befinde.

Zoom reagiert

Per Blog-Post gab das Unternehmen nun bekannt, dass zahlende Kunden ab dem 18.April die Möglichkeit erhalten sollen, Rechenzentren-Regionen selbst auszuwählen. Somit soll der zahlende Kunde selbst entscheiden können, über welche Länder die Daten und Konferenzen geleitet werden. Als Regionen zur Auswahl stehen derzeit die USA, Kanada, Europa, Indien, Australien, China, Lateinamerika, und die Region Japan / Hong Kong.

Nutzer die die App weiterhin kostenlos nutzen wollen, haben diese Möglichkeit allerdings nicht.

Fazit

Es bleibt abzuwarten, ob Zoom es schafft seine Funktionen sicherer zu gestalten. Massive datenschutzrechtliche Bedenken bestehen in jedem Falle weiterhin und auch die Politik hat deutlich gemacht, dass Zoom für sensible Daten oder vertrauliche Informationen keinesfalls verwendet werden sollte.

Update

Wie jetzt bekannt wurde, werden die Zugangsdaten von über 500.000 Zoom-Accounts im Darknet für weniger als einen Penny zum Kauf angeboten. In einigen Fällen werden die Daten auch kostenlos zur Verfügung gestellt. Der Verkauf soll seit Anfang April 2020 laufen.

Die Daten wurden vermutlich durch sogenannte „Credential Stuffing“-Angriffe gesammelt. Hierbei versuchen Hacker sich bei Online-Diensten – wie in diesem Fall Zoom – mit Login-Daten anzumelden, die aus älteren Datenpannen stammen. Denn: Viele Nutzer verwenden dasselbe Passwort für mehrere Dienste. Dies kommt Hackern beim „Credential Stuffing“ zugute. Erfolgreiche Anmeldungen werden dann in Listen zusammengestellt und an andere Hacker verkauft. Die Listen beinhalten neben den E-Mail-Adressen auch Passwortkombinationen.

Zoom erklärte, gegen diese Angriffe bereits umfangreiche Maßnahmen ergriffen zu haben. So habe man Firmen damit beauftragt, die Passwort-Dumps und Tools, mit denen diese erstellt wurden, ausfindig zu machen. Außerdem würden als kompromittiert erkannte Zoom-Accounts gesperrt und Nutzer würden gebeten, ihre Passwörter zu ändern. Zoom betonte außerdem, dass große Unternehmenskunden mit eigenen Single-Sign-On-Systeme im Allgemeinen nicht von den Angriffen betroffen seien.

Bei „Credential Stuffing“ handelt es sich um kein Zoom-spezifisches Sicherheitsproblem. Jeder Dienst kann Opfer solcher Angriffe werden.  Doch insbesondere während der Corona-Krise, in der ein erhöhter Bedarf an Video-Kommunikationsmitteln besteht, sind die Nutzerdaten von Zoom für Hacker wohl von besonderem Interesse.

„Zoombombing“ ade – Zoom reagiert auf Datenschutzbedenken

9. April 2020

Auch in Zeiten von Covid 19 gilt es den Datenschutz und die Datensicherheit ernst zu nehmen. Das hat sich mittlerweile auch bis zum Silicon Valley rumgesprochen. Der Anbieter der Videokonferenz-App Zoom reagiert nämlich auf die anhaltende Kritik. Das Unternehmen führt Maßnahmen ein, die bei den Nutzern für mehr Datenschutz- und Sicherheit sorgen sollen. Insbesondere das sogenannte „Zoombombing“ will Zoom verhindern.

Hintergrund

Die mittlerweile 200 Millionen Nutzer zählende Videokonferenz-App erlebt wegen der Corona Krise einen regelrechten Boom, war aufgrund seiner Datenschutzpraxis jedoch bereits mehrfach in die Kritik geraten:

So häuften sich in den USA Fälle des Zoombombing. Hierbei wählen sich Trolle durch das Erraten von Zoom-Meeting-IDs, eine Ziffernfolge, in die meist schlecht geschützten Konferenzen ein und spielen beispielsweise rassistische Beleidigungen ein. Bis jetzt war dies möglich, weil die bloße Kenntnis der ID ausreichte, um sich ungefragt in nicht passwortgeschütze Meetings einzuklinken. Manche Nutzer machten es den Trollen aber auch nicht gerade schwer. So teilten viele Nutzer – prominentestes Beispiel ist wohl der britische Premierminister Boris Johnson – Screenshots ihrer Zoom Gespräche über ihre Social Media Accounts. Auf diesen Screenshots war dann die Zoom-Meeting-ID für jedermann sichtbar.

Zuletzt hat sogar Google seinen Mitarbeitern die Benutzung des Videkonferenz-Programms auf Arbeitsrechnern untersagt, weil Sicherheitsstandarts nicht eingehalten würden, wie ein Konzernsprecher gegenüger BuzzFeed bekannt gab. In unserem Beitrag vom 01.04.2020 sind wir auf weitere datenschutzrechtliche Bedenken eingegangen.

Step by step: Zoom reagiert

Der Videodienst hat für alle seine Plattformen nun eine erneuerte Version seiner Client-Software zur Verfügung gestellt. Eine der Neuerungen ist, dass die Meeting-ID nun nicht mehr wie bis dato für jedermann sichtbar in der Titelleiste steht. Ferner wurde ein „Security“-Button eingeführt. Dieser soll relevante Sicherheitsfeatures bündeln und transparent darstellen. Beispielsweise kann so der Zurgiff auf Meetings für die Außenwelt komplett gesperrt werden.

Nach unserer Einschätzung dürfte dies kurzen Prozess mit dem Phänomen des Zoombombing machen. Doch damit nicht genug. Zoom-Chef Eric Yuan kündigte an, in den nächsten drei Monaten step by step weitere Schwachstellen zu eliminieren anstatt neue Funktionen zu entwickeln.

New Yorker Generalstaatsanwaltschaft prüft Datenschutzpraxis der Videokonferenz-App Zoom

1. April 2020

Laut New York Times ist die Videokonferenz-App Zoom ins Blickfeld der New Yorker Generalstaatsanwaltschaft geraten.

Die Staatsanwaltschaft forderte das verantwortliche Unternehmen demnach auf, Auskunft über die getroffenen Sicherheitsmaßnahmen zum Schutz von Nutzerdaten zu erteilen. Des Weiteren will die Staatsanwaltschaft prüfen, welche Kategorien von Daten die App genau sammle.

Hintergrund

Die Videokonferenz-App Zoom hat seit der Corona Krise eine enorme Nachfrage zu verzeichnen, war aufgrund seiner Datenschutzpraxis jedoch bereits mehrfach in die Kritik geraten:

So häufen sich in den USA Fälle des sogenannten „Zoombombing“. Hierbei wählen sich Fremde in die meist schlecht geschützten Konferenzen ein und spielen beispielsweise rassistische Beleidigungen ein.

Ende März berichtete das Magazin Motherboard, dass Zoom die Daten seiner Nutzer an Facebook weitergebe. Dies geschehe unabhängig davon, ob der Nutzer über ein Facebook Profil verfüge oder nicht. Sobald der Nutzer die App öffne, gebe Zoom beispielsweise Einzelheiten über das verwendete Gerät des Nutzers – wie das Modell, die Zeitzone und die Stadt von der die Verbindung hergestellt wird – und den Namen des Mobilfunkanbieters an Facebook weiter.

Kritisiert wurde dabei weniger die Form der Datenübermittlung, als dass die Datenschutzhinweise von Zoom über diese Vorgehensweise nicht aufklärten. Dort hieß es lediglich, dass Facebook-Profilinformationen gesammelt werden könnten, wenn man sich mit seinem Facebook Konto anmeldet. Dass darüber hinaus eine generelle Datenübermittlung an Facebook stattfinde, ging aus den Datenschutzhinweisen nicht hervor.

Erst als die Datenweitergabe an Facebook öffentlich wurde, reagierte das Unternehmen umgehend und beendete die uneingeschränkte Datenweitergabe an Facebook mittels eines Updates.

Auch die US-Bürgerrechtsorganisation EFF wies jüngst darauf hin, dass Administratoren in Zoom erhebliche Einblicke in das jeweilige Nutzerverhalten erhielten. So hätten Administratoren die Möglichkeit sich darüber zu informieren, wie, wann und wo der jeweilige Nutzer Zoom benutze und könnten über ein Ranglistensystem Kenntnis von der Gesamtzahl der Sitzungen eines Nutzers erlangen. Weiterhin ermögliche Zoom die Aufmerksamkeit der Nutzer zu kontrollieren, in dem der Gastgeber einer Konferenz eine Mitteilung erhalte, sobald das Zoom-Fenster eines Konferenzteilnehmers länger als 30 Sekunden nur im Hintergrund liefe.

Sicherheitsmaßnahmen prüfen

Der Staatsanwaltschaft gehe es, laut NY Times, vor allem darum, sicherzustellen, dass Zoom eine umfassende Überprüfung seiner Sicherheitspraktiken vorgenommen hat und die Sicherheitsmaßnahmen des Unternehmens dem neuen und erhöhtem Datenverkehr auch in datenschutzrechtlicher Hinsicht gerecht werden.

Das Unternehmen selbst teilte mit, der Generalstaatsanwaltschaft die gewünschten Informationen zur Verfügung stellen zu wollen.

Update

Zoom selbst hat sich mit einem umfassenden Statement zu der Situation geäußert und erläutert, welche Maßnahmen, abgesehen von der Beendigung der Datenweitergabe an Facebook, ergriffen wurden und welche in Zukunft zum Tragen kommen sollen, um die datenschutzkonforme Nutzung von Zoom zu ermöglichen.

Zu den ergriffenen Maßnahmen gehört unter anderem ein Update der Datenschutzerklärung und die Deaktivierung des in Kritik geratenen „Aufmerksamkeitstracking“ (welches darüber hinaus sowieso nur aktiv war, wenn der Host es bewusst aktiviert).

Face App: Kritik wird lauter

18. Juli 2019

Ist man derzeit im Internet und dort insbesondere auf den unterschiedlichsten Social-Media-Netzwerken unterwegs, stolpert man seit einigen Tagen vermehrt auf Portraitbilder, die die Abgebildeten älter erscheinen lassen als sie tatsächlich sind. Möglich macht dies ein Filter der App „Face App“, die sowohl auf iOS als auch auf Android erhältlich ist und sich momentan großer Beliebtheit erfreut – auch weil oben erwähnter Gesichtsfilter kostenlos und beliebig oft auf bereits vorhandene Fotos sowie auf Liveaufnahmen angewendet werden kann.

Wie so oft bei der Nutzung von neuen Apps bleibt dabei jedoch die datenschutzrechtliche Komponente von der großen Maße der Nutzer unbeachtet. Auch gerade deshalb werden die öffentlichen Stimmen und Kritiken gegen die App des russischen Unternehmens Wireless Lab lauter, um vor datenschutzrechtlichen Risiken zu warnen.
So warnt nun auch der Bundesdatenschutzbeauftragte Ulrich Kelber (SPD) bei SWR aktuell wegen „Befürchtungen, dass wichtige persönliche Daten in die falschen Hände geraten könnte“ vor der Nutzung der App. Die Nutzungsbedingungen und die Datenschutzerklärung seien schwammig, insbesondere im Hinblick auf die Informationen wie die im Rahmen der App verarbeiteten und erhobenen personenbezogenen Daten genutzt und weitergegeben werden.
Die Entwickler betonen dagegen, dass keine Daten an Dritte weitergegeben oder verkauft würden.

Spanische Fußballfans belauscht

12. Juni 2019

Wie wir bereits berichteten hat die spanische Fußballliga Millionen Fans über eine App belauscht, in der das Mikrofon der Smartphones mit dem Ziel angezapft wurde, illegale Zuschauer aufzuspüren. Nachdem der Verband die Datenschutzerklärung aktualisierte, flog der Lauschangriff auf die Fans auf.

Jetzt hat die spanische Datenschutzbehörde AEPD ein Bußgeld in Hohe von 250.000 Euro gegen die spanische Fußball-Liga „La Liga“ verhängt. Betroffen von dem Lauschangriff sind mehr als vier Millionen Fans.

Grund für die Datenabfrage sei unter anderem der Kampf gegen Pay-TV-Betrug, da immer wieder Sportkneipen und Übertragungsorte die Gebühr für die Lizenz prellen würden, die zur öffentlichen Vorführung der Fußballturniere berechtigen.

Die Datenschützer kritisieren, dass die App-Nutzer gegen ihr Wissen als Spitzel für die wirtschaftlichen Interessen der Liga eingespannt worden sein. Der jährliche Schaden soll sich nach Angaben der spanischen Liga auf 400 Millionen Euro belaufen.

Zwar hätte aufmerksamen Lesern der Datenschutzvereinbarung der offiziellen Liga-App bereits 2019 bemerken können, dass der Anbieter unter anderem Zugriff auf das Smartphone-Mikrofon der Nutzer verlangte. Jedoch bewertete die spanische Datenschutzbehörde das Vorgehen von „La Liga“ jetzt als Verstoß gegen die geltenden Transparenzregeln und verhängte die Strafe. Zusätzlich muss die App bis zum 30.Juni entfernt werden.

Gegen diese Entscheidung wehrt sich der Fußballverband nun und wies die Vorwürfe als „unbegründet“ zurück. Sie wollen gegen die „unverhältnismäßige“ Strafe in Berufung gehen. La Liga hätte immer „verantwortungsbewusst“ und „im Einklang mit dem Gesetz“ gehandelt. Als Begründung führte sie an, dass die App das Smartphone-Mikro nur zur Sendezeit der Ligaspiele aktiviere. Die Aufzeichnung von Gesprächen oder zusammenhängenden Audio-Dateien würde nicht stattfinden und eine Gewährleistung der Privatsphäre wäre gegeben.

Kategorien: Allgemein · DSGVO
Schlagwörter: , , , ,

Steuer-App: Speicherung personenbezogener Daten in der Cloud

19. September 2018

Eine Schweizer Steuerberatungsfirma bietet eine kostenpflichtige App für die Erstellung einer Steuererklärungen an. Dazu muss der Nutzer Dokumente und Belege abfotografieren und mit der App hochladen. Alle abfotografierten Dokumente sowie die erhobenen Nutzerdaten wurden beim Cloud Anbieter Amazon Web Services (AWS) gespeichert. Durch die Speicherung in der öffentlich einsehbaren Cloud von Amazon, waren die Nutzerdaten für jeden einsehbar, der über ein Konto bei AWS verfügt. Folglich waren Steuerklärungen, Steuerbescheide, Lohnabrechnungen, Heirats- und Geburtsurkunden usw. in einem öffentlich lesbaren AWS Bucket abgelegt.

Ein Sicherheitsforscher bemerkte dieses Problem und fand zudem die per bcrypt gesicherten Passwörter der Admins heraus. Zudem waren die Chatverläufe zwischen der Steuerberaterfirma und dem Nutzer, in denen teilweise über die Steuererklärung gesprochen wurde, im Klartext gespeichert.

Der App-Entwickler hatte also nicht dafür gesorgt, dass die personenbezogenen Daten in einem gesicherten Bereich gespeichert werden.

Gesundheits-App: Fluch oder Segen?

18. September 2018

Eine App, die alle Daten eines Patienten über Krankheit, Medikamente und Arztbesuche speichert, damit der Haus- oder Facharzt unmittelbar ein vollständiges Bild bekommen, könnte eine lebensrettende Maßnahme sein. Allerdings dürfen die Nachteile einer solchen App, insbesondere in datenschutzrechtlicher Sicht, nicht unbeachtet bleiben. Gesundheitsdaten sind sensible Daten, die eines besonderen Schutzes bedürfen.

Werden in einer App jeder Arztbesuch, jedes Röntgenbild, Medikamente und Allergien gespeichert, können Unverträglichkeiten direkt berücksichtigt und doppelte Untersuchungen mit vielleicht überflüssigen Röntgenaufnahmen vermieden werden. Eine Studie der beteiligten Krankenkassen besagt, dass jeder vierte Befragte schon einmal doppelt untersucht und teilweise sogar doppelt geröntgt wurde, was eine unnötige Belastung für den Körper darstellt. Bereits in anderen europäischen Ländern wie Österreich gibt es ein zentrales Verzeichnis, in das alle Gesundheitsdaten einfließen. Dabei können die Patienten selbst entscheiden, wer ihre Daten sehen kann.

Man könnte meinen, dass dieser Mehrwert das kleine Risiko der Datenspeicherung wert sei. Eine solche App erscheint auf den ersten Blick sehr verlockend.

Allerdings sollte man dies auch unter den datenschutzrechtlichen Aspekten genauer betrachten. Krankenhäuser haben Probleme mit ihrer digitalen Sicherheit. Die Computersysteme in vielen Praxen und Krankenhäusern können häufig nicht ausreichend gesichert werden. Laut einer Studie des Beratungsunternehmens Roland Berger wurden bereits zwei von drei deutschen Klinken zum Opfer von Cyberkriminellen. Hätten diese anfälligen Systeme Zugang zu allen, kann das zu einem großen Problem werden. Nicht nur Krankenhäuser können angegriffen werden, sondern auch Ambulanzen und medizinische Forschungseinrichtungen.

Experten warnen davor, dass durch ein Handel mit gestohlenen Patientendaten zum Beispiel hochrangige Politiker erpressbar werden. Dadurch könnten Krankheiten politisch instrumentalisiert werden.

Die Entwickler sprechen von mehrstufigen Sicherheitsprozessen und Verschlüsselungen, die die Daten hinreichend schützen sollen. Allerdings entwickelt sich auch diejenigen weiter, die an diese Daten gelangen wollen.

Fest steht, dass Gesundheitsdaten nicht zu einem Risiko werden dürfen – weder für die einzelnen Bürger, noch für Politiker.

Es bleibt abzuwarten, ob sich in Zukunft eine solche App gegen Kritiker durchsetzen kann.

 

Digitale Gesundheits-App „Vivy“

20. Juni 2018

Mehrere gesetzliche und private Versicherungen wollen ab Juli mit der App des Berliner Startups „Vivy“ eine gemeinsame digitale Gesundheitsplattform anbieten. Die App soll etwa 25 Millionen Versicherten zur Verfügung stehen, welche diese kostenlos und freiwillig nutzen können. Die App beinhaltet nicht nur eine elektronische Gesundheitsakte, sondern auch Impfpass, Medikationsplan und Notfalldaten. Zudem gehören ein Gesundheitscheck und die Hilfe bei der Arztsuche zu ihren Funktionen.

Nach Art. 9 Abs. 1 DSGVO sind Gesundheitsdaten „besondere Kategorien personenbezogener Daten“, die aufgrund ihres Inhalts sensibel und daher besonders schutzbedürftig sind. Durch diverse Öffnungsklauseln der DSGVO (für den Gesundheitsbereich ist insbesondere
Art. 9 Abs. 4 DSGVO relevant) werden zusätzliche Bedingungen und Beschränkungen durch nationale Regelungen auf diesem Gebiet ermöglicht. Es ist stets genau zu prüfen, auf welcher Grundlage und zu welchem Zweck Gesundheitsdaten verarbeitet werden dürfen.

Laut Website ist Vivy „selbstverständlich“ datenschutzkonform. Die Daten sind in der App Ende-zu-Ende verschlüsselt und werden auf deutschen Servern gehostet. Jeglicher Datentransport erfolgt mindestens im https-Format. Ärzte haben nur Zugriff, wenn der Versicherte dies explizit erlaubt. Der Widerruf ist jederzeit möglich. Ebenso kann jederzeit die Löschung der Daten verlangt werden.

Apps während Weltmeisterschaft besonders gefragt

12. Juni 2018

Aufgrund der Zeitverschiebung nach Russland können Sie vielleicht nicht immer alle Spiele vor dem Fernseher schauen. Eine gute WM-App mit Live-Infos und einem Live-Ticker muss her. Oder vielleicht auch eine App, mit der Sie die WM-Spiele sogar von unterwegs oder im Ausland streamen können.
„Allerdings gerade in Bezug auf den Datenschutz sollten Fußballfans beim Einsatz smarter Gadgets und Apps einiges beachten“, sagt Günter Martin, Internet-Experte bei TÜV Rheinland.
Zahlreiche Apps bieten sich während der WM zum Download an. Von Info-Apps über Tippspiele bis hin zu Stadion-Soundboards und Partyspielen:
Für die Registrierung und Nutzung von Apps und Gadgets sind in erster Linie personenbezogene Daten erforderlich. Hier heißt es: „weniger ist mehr“. Bei Apps sollten keine unnötigen Daten preisgeben werden. Denn sobald die Daten erst einmal auf den Servern der Anbieter landen, bleiben sie dort in der Regel auch. So werden sie für Marketingzwecke benutzt, um beispielsweise mithilfe von individualisierten Nutzerprofilen maßgeschneiderte Werbung anbieten zu können. Auch eine Weitergabe der Daten kann nicht ausgeschlossen werden.
Wer im eigenen Haushalt Sprachassistenzgeräte nutzt, sollte diese während einer Fußball-Party am besten abschalten. Andernfalls kann es vorkommen, dass das Gerät versehentlich durch das Codewort oder eine ähnlich klingende Äußerung aktiviert wird. Dann zeichnet es eventuell auf und veranlasst ungewollte Aktionen. Aufgezeichnete Gespräche lassen sich in der Bedienungs-App in der Regel zwar löschen, ob die Aufnahmen trotzdem bereits ausgewertet wurden und zu Einträgen in das Benutzerprofil geführt haben, ist allerdings nicht nachprüfbar.

Kategorien: Allgemein
Schlagwörter: , ,

Gesundheitsdaten per App ?

16. Mai 2018

Der Gesundheitsminister Jens Spahn spricht sich für die elektronische Gesundheitskarte aus. „Die Milliarde ist nicht umsonst investiert“, sagte Spahn der „Süddeutschen Zeitung“ (SZ).

Zuvor hatte es Spekulationen über ein mögliches Aus der elektronischen Gesundheitskarte gegeben. Denn Jens Spahn fordert neben der elektronischen Gesundheitskarte auch einfachere Zugriffsmöglichkeiten auf Patientendaten zu schaffen.

„Wenn Versicherte lieber per Handy und Smartphone-App auf ihre Gesundheitsdaten zugriffen, sollte man ihnen das genauso ermöglichen“, so Jens Spahn.

Der Preis für diese Nutzung könnte ein niedrigerer Sicherheitsstandard sein und damit ein Sicherheitsproblem darstellen. Denn für Datenübertragungen per Smartphone könnten die Nutzer die bisher vorgesehene Sicherheitsschwelle durch Einwilligung individuell senken.

Dieses Vorgehen ist datenschutzrechtlich als kritisch zu betrachten. Gerade, wenn  man bedenkt, dass es sich bei Gesundheitsdaten um besonders sensible Daten nach Art. 9 DSGVO handelt, die besonders schützenswert sind.

 

 

1 2