Durch eine Sicherheitslücke konnten Unbefugte auf Befunde von Corona-Tests zugreifen. Der Chaos Computer Club (CCC) geht davon aus, dass 136 000 Ergebnisse von mehr als 80 000 Betroffenen sowie persönliche Daten frei einsehbar waren, wie er am Donnerstag mitteilte. Aufgefallen war die Sicherheitslücke Mitgliedern der Gruppe Zerforschung nach dem Besuch in einem Berliner Testzentrum. Zuvor hatten unter anderem die «Süddeutsche Zeitung» der rbb und «Der Standard» darüber berichtet.

Betroffen war laut CCC eine vom österreichischen Unternehmen Medicus AI zur Verfügung gestellte Software namens Safeplay für Testzentren, die von mehreren Betreibern eingesetzt wird. Die Organisation informierte daraufhin das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Medicus AI erklärte, man sei am 11. März vom BSI über die Sicherheitslücke informiert worden. Diese habe ermöglicht, «dass eingeloggte Nutzer mit IT-Kenntnissen die Befunde anderer Nutzer abrufen konnten». Dem Unternehmen zufolge wurde die Lücke allerdings nur bei sechs Personen ausgenutzt und binnen Stunden geschlossen. Man bedauere den Vorfall sehr.

Die betroffenen Personen hatten sich beim Testzentrum-Betreiber 21Dx testen lassen, der in München sitzt und Kunde bei Medicus AI ist. Dieser bestätigte, die betroffene Software «an vielen mobilen und stationären Covid-Teststellen im gesamten Bundesgebiet» zu nutzen. Die betroffenen Nutzer seien direkt informiert worden.

Der CCC meldete daran allerdings Zweifel an: «Für Testergebnisse von Freundinnen, auf die wir mit deren Erlaubnis unter Ausnutzung der Sicherheitslücke zugegriffen haben, haben wir jedoch keine derartige Nachricht erhalten», heißt es in seiner Mitteilung.

Das Bayerische Landesamt für Datenschutzaufsicht erklärte, man kläre noch, wie schwerwiegend die Sicherheitslücke gewesen sei. «Im Mittelpunkt steht die Frage, in welchem Umfang die IT-Lücke tatsächlich für missbräuchliche Zugriffe ausgenutzt wurde», sagte Präsident Michael Will. Leider kämen solche Sicherheitsvorfälle häufiger vor. Das Erste Augenmerk richte sich dann immer darauf, ob die Schwachstelle behoben wurde. «Dies scheint im vorliegenden Sachverhalt der Fall zu sein.»

Die Berliner Senatsverwaltung für Gesundheit, Pflege und Gleichstellung forderte 21Dx auf, «unverzüglich eine umfassende, externe Auditierung ihrer IT-Lösungen vorzunehmen».

(dpa)

An der vom Bund bezahlten Verteilung von FFP2-Masken für Menschen aus Corona-Risikogruppen im Winter wird erneut Kritik laut. Die FDP-Gesundheitsexpertin Christine Aschenberg-Dugnus sprach am Donnerstag von einer «unnötigen Kostenexplosion» bei der Abgabe über Apotheken. Es sei unerklärlich, warum Minister Jens Spahn (CDU) nicht auf Warnungen in seinem Ressort gehört habe. Wie WDR, NDR und «Süddeutsche Zeitung» (Donnerstag) berichteten, hat ein Fachreferat vor «gravierenden Finanzwirkungen» gewarnt und wies darauf hin, viele Berechtigte seien «durchaus in der Lage», Masken selber zu bezahlen.

Kanzlerin Angela Merkel (CDU) und die Ministerpräsidenten hatten im Herbst beschlossen, 15 FFP2-Masken nur gegen eine kleine Zuzahlung an Menschen mit hohem Risiko für schwere Krankheitsverläufe abzugeben - abzuholen in Apotheken. Die Apotheken bekamen anfangs sechs Euro pro Maske. Daran gab es angesichts niedrigerer Maskenpreise Kritik, wie auch das Redaktionsnetzwerk Deutschland (RND) Ende Januar berichtet hatte. Mitte Februar wurde die Apotheken-Vergütung auf 3,90 Euro gesenkt. Der Bund kalkulierte für die Aktion mit rund 2,5 Milliarden Euro.

Das Gesundheitsministerium erklärte am Donnerstag auf Anfrage, die entsprechende Verordnung sei im Anschluss an Bund-Länder-Beratungen in der Bundesregierung abgestimmt worden. Die Preise für die Abgabe der Masken seien mit ausdrücklicher Zustimmung des Finanzministeriums festgelegt worden. Grund für die Wahl der Apotheken sei gewesen, eine dezentrale Abgabe von mehreren hundert Millionen Masken innerhalb von vier Monaten logistisch zu sichern. Damals hätten die Preise im Schnitt bei 4,29 Euro gelegen, der Markt sei sehr volatil gewesen.

Die Vergütung von 6 Euro je Maske inklusive Umsatzsteuer sei auf eine vom Ministerium in Auftrag gegebene Markterhebung zurückgegangen. Die Wirtschaftsprüfungsgesellschaft EY habe hierfür nur eine Sichtung des Marktes übernommen. Berücksichtigt worden seien unter anderem Kosten für Beschaffung, Beratung von Kunden und teils nötige Umverpackung.

Die Bundesvereinigung Deutscher Apothekerverbände erklärte, die Vergütung sei keinesfalls überhöht gewesen. Daraus seien nicht nur der Einkauf, sondern alle übrigen Kosten für Vorfinanzierung und Personal zu bestreiten. Da Kostenstrukturen natürlich nicht überall gleich seien, könne es sein, dass die Vergütung für eine sehr günstig wirtschaftende Apotheke auskömmlicher gewesen sei als für andere.

Die FDP-Abgeordnete Aschenberg-Dugnus verwies darauf, dass ihre Fraktion mehrfach einen Postversand der Masken als unbürokratische und günstigere Alternative gefordert habe.

(dpa)