{"id":59311,"date":"2025-01-31T18:41:47","date_gmt":"2025-01-31T17:41:47","guid":{"rendered":"https:\/\/www.burks.de\/burksblog\/?p=59311"},"modified":"2025-01-31T18:44:07","modified_gmt":"2025-01-31T17:44:07","slug":"groeanzdaunf","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2025\/01\/31\/groeanzdaunf","title":{"rendered":"Gr\u00f6anzdaunf"},"content":{"rendered":"

\"Zar<\/a>
\n„Betreiber der Website und Verantwortlicher ist: Nanz medico GmbH & Co. KG vertreten durch die pers\u00f6nlich haftende Gesellschafterin: Nanz medico Verwaltungsgesellschaft mbH, diese wiederum vertreten durch die Gesch\u00e4ftsf\u00fchrer: Markus Frenzer<\/a> (aber Gendern k\u00f6nnen sie!), Carsten Behrenz<\/a>, Harald Korb<\/a>“ (auf Schalke?!) <\/sup><\/p>\n

Nur mal kurz zwischendurch: Datenreichtum bei den ZAR-Reha-Kliniken in ganz Deutschland. „Abrufbar waren unter anderem hochsensible Patientendaten“ (via Heise<\/a> und Fefe<\/a>).<\/p>\n

„Die betroffenen Reha-Zentren stehen unter dem Dach der Nanz medico, nach eigenen Angaben der gr\u00f6\u00dfte Anbieter ambulanter Reha-Leistungen in Deutschland. Insgesamt geh\u00f6ren dazu 39 Reha-Kliniken.“<\/p>\n

„Einem Nutzer der App fiel auf, dass sie unverschl\u00fcsselt mit dem Internet kommuniziert und seine Terminpl\u00e4ne im Klartext vom Server abgerufen hat. Dabei z\u00e4hlt der Einsatz einer Transportverschl\u00fcsselung<\/a> (TLS) bei Apps seit vielen Jahren zum Standard und zu den rudiment\u00e4ren Sicherheitsma\u00dfnahmen.“ Au weia. Noch nicht mal TLS?<\/p>\n

„Hackerkenntnisse waren zur Einsicht der Daten nicht n\u00f6tig, es reichte aus, an irgendeinem Punkt der \u00dcbertragung einen Blick auf die Verbindungen zu werfen, zum Beispiel mit der Analyse-App PCAPdroid<\/a> [gleich installiert!] direkt auf dem Smartphone. Auch Sicherheitsma\u00dfnahmen mussten daf\u00fcr nicht \u00fcberwunden werden. Jeder Dritte h\u00e4tte die ungesch\u00fctzten Klartext-Verbindungen leicht einsehen k\u00f6nnen…“<\/p>\n

\"PCAPdroid\"\/<\/a><\/p>\n

Ich wei\u00df nicht, wer denen die App programmiert hat, aber stehen Details zur Sicherheit nicht im Pflichtenheft des Auftrags? „Bitte Daten nicht im Klartext im Internet \u00fcbertragen?“ So etwas wei\u00df sogar ich. <\/p>\n

„Einblicke in die Diagnosen waren m\u00f6glich. Der Umfang des Datenlecks ist erheblich: Allein einer der Standorte hat augenscheinlich Daten von \u00fcber 80.000 Patienten ausgeliefert. Die Daten reichen \u00fcber viele Jahre zur\u00fcck.“ <\/p>\n

Sozusagen der GR\u00d6\u00dftm\u00f6gliche ANZunehmende DAtenUNFall.<\/span> <\/p>\n

Wir vermuten alle ganz richtig: „Die Klinik gab den wichtigen Hinweis offenbar an ihr Mutterunternehmen Nanz medico GmbH & Co. KG weiter, die daraufhin zumindest den Datenzugriff schnell unterbinden konnte. Seitdem werden die Daten transportverschl\u00fcsselt ausgeliefert und externe Zugriffe auf die sensiblen Informationen werden mit einer Fehlermeldung unterbunden.“ Ist der „Internet-Dienstleister“ auch derjenige, der solche Schrott-Apps programmiert und ausliefert? Und pr\u00fcft der Verursacher des Schadens jetzt sich selbst?<\/p>\n

Bei Heise<\/a> kommentiert jemand: „Es kann doch nicht angehen, das vollkommen ahnungslose Totalversager folgenlos auf die Daten Zig-tausender Menschen losgelassen werden und die in alle Welt verteilen. Die haben ja wirklich jeden Anf\u00e4ngerfehler gemacht, der sich ihnen angeboten hat. Das sieht ja schon fast wie Absicht aus. Diese Standard-Beruhigungsfloskel „Hinweise auf Datenabfl\u00fcsse oder Manipulationen l\u00e4gen nicht vor“ ist immerhin glaubw\u00fcrdig. Wie sollten diese hochbezahlten Anf\u00e4nger das denn wohl auch mitbekommen? Die kennen ja nicht mal die grundlegendsten Regeln beim Umfang mit IT.“<\/p>\n

Und<\/a>: „Wenn die Gesch\u00e4ftsf\u00fchrung nachweisen kann, dass sie sich um Datenschutz aktiv gek\u00fcmmert hat, muss man die Stelle\/Person finden, die der Gesch\u00e4ftsf\u00fchrung falsche Informationen gegeben hat. Ansonsten muss die Gesch\u00e4ftsf\u00fchrung unmittelbar zur Verantwortung gezogen werden … und zwar schnell.“<\/p>\n

Das wird schwierig werden. Alles verschachtelt. Da stelle mer uns wieder janz dumm<\/a>. Was haben wir auf den ersten Blick?<\/p>\n

– Nanz medico GmbH & Co. KG, Amtsgericht Stuttgart, HRB 17320 [die richtige Registernummer ist HRA 12284<\/a>]<\/span>
\n– Nanz medico Verwaltungsgesellschaft mbH, Amtsgericht Stuttgart, HRB 17320<\/span>
\n– medicos.AufSchalke Reha GmbH & Co. KG, Amtsgericht Gelsenkirchen Registernummer: HRA 3530 [vermutlich u.v.a.m.]<\/span><\/p>\n

Viel Spa\u00df beim Suchen nach dem, der den Finger hebt und sagt: Ich bin schuld!<\/p>\n

\"Zar
\nChatGPT<\/sup><\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>