Thread by @evawolfangel

Das ist krass. Nicht nur weil das eine gefährliche Lücke ist, die Gesundheitsämtern #Ransomware bescheren könnte, sondern auch, weil Nexenio seit drei Wochen (!) Bescheid weiß – und sie bis heute offen ist: #LucaApp-CEO Patrick Hennig sagte mir am 3.5., diese Lücke gebe es nicht

https://twitter.com/mame82/status/1397425075654168576

Das war im Rahmen dieser Recherche, in der mir Gesundheitsämter sagten, dass sie fürchten, dass die Sicherheitslücken der #LucaApp ihre eigenen Systeme unsicher machen. Genau das ist jetzt passiert, wie @mame82 zeigt.

zeit.de/digital/datens…

Entweder Patrick Hennig hat mich bewusst angelogen, was ich ihm eigentlich nicht unterstellen will. Die andere Erklärung wäre, dass #Luca es in drei Wochen nicht schafft, eine gefährliche Sicherheitslücke zu schließen - und niemanden darüber informiert. Fast noch schlimmer.

E-Mail an Nexenio ist raus. Wir werden diesmal nicht warten können mit der Berichterstattung, bis die Lücke geschlossen ist. Sie schon öffentlich - und wer weiß, ob Nexenio sie diesmal wirklich schließt. Mein Tipp: Nutzt die #LucaApp nicht.

Hier ist das komplette Video von @mame82, in dem er zeigt, wie Angreifer aufgrund dieser Lücke der #LucaApp - von der Nexenio seit drei Wochen weiß - Daten aus Gesundheitsämtern abziehen können und wie eine Ransomware-Attacke aussehen könnte.

In meinem nun veröffentlichten Artikel erklärt @mame82, wie ein solcher Angriff skalieren würde in Kombination mit der Möglichkeit massenhafter Fake Checkins, die mit der #LucaApp möglich sind. @Linuzifer bestätigt: das Angriffsszenario ist realistisch.

zeit.de/digital/2021-0…

Mir wurde von den #LucaApp-Machern vor drei Wochen gesagt, diese Lücke existiere nicht. Im Hintergrund wurde NACH meiner Anfrage hektisch und halbherzig versucht, sie zu fixen. Ohne Erfolg, wie wir heute sehen. Sicherheit scheint dort nicht an erster Stelle zu stehen.

Oder, wie @mame82 im Artikel sagt: "Das alles zeigt, dass Nexenio seiner Verantwortung nicht gewachsen ist."

Luca hat die vergrault, die ihnen seit Monaten helfen und eine ganze Reihe an Sicherheitslücken der #LucaApp gemeldet haben. „Nexenio hat diese jedes einzelne Mal geleugnet. Wer sich so unaufrichtig verhält, bekommt irgendwann keinen freundlichen Hinweis mehr“, sagt @Linuzifer.

Update: Patrick Hennig teilt mir mit, die Lücke sei nun geschlossen worden.

Leute fragen mich, ob die Lücke wirklich gefixt ist. Die Überprüfung überlasse ich Sicherheitsexpert:innen. Beim letzten Mal hat mir der #LucaApp-CEO allerdings das gleiche gesagt - und es stimmte nicht.

Zumindest scheint jetzt auch einiges anderes nicht mehr zu funktionieren:

https://twitter.com/mrtoto/status/1397467675295617025