Thread by @HonkHase

Schon wieder desaströse #Sicherheitslücke in #LucaApp

"Die Kette von Sicherheitslücken bei der Luca App hört nicht auf. Ein Hacker hat nun gezeigt, wie er als Luca-Nutzer die Daten anderer Nutzer:innen der App stehlen kann." /1
netzpolitik.org/2021/it-sicher…

"Auch möglich sind weitere Angriffe wie zum Beispiel ganze Rechner beim Gesundheitsamt mit Ransomware zu verschlüsseln, weil Angreifer Code ausführen können." /2

"Schon vor drei Wochen hatte @evawolfangel auf @zeitonline auf die Möglichkeit einer Code Injection hingewiesen." /3
zeit.de/digital/datens…

"Der Vorstand von Nexenio, der Firma hinter der #LucaApp, hatte eine #Sicherheitslücke damals abgestritten. Kurz danach hatten die Entwickler allerdings Änderungen am Code vorgenommen, um eine Code Injection zu vermeiden. Das jedoch ohne Erfolg, wie der aktuelle Hack zeigt." /4

"Die neuerliche #Sicherheitslücke reiht sich ein in eine lange Kette von Fehlern, die das Unternehmen gemacht aber nie zugegeben hat." /5

"@Linuzifer, Sprecher des #CCC, hat genau die Reaktion erwartet...„Wie immer wurde das Risiko herunter gespielt und die #Schwachstelle sogar geleugnet. Die Schwachstellen sind eklatant, der Umgang damit katastrophal. Dieses Unternehmen hat kein Vertrauen verdient.“" /6

"„Es wird langsam Zeit, die Verträge wegen mangelhafter Leistung abzuwickeln und die #LucaApp zu beerdigen“, so @Linuzifer weiter. Die ganze Sache sei eine Blamage für jedes einzelne Bundesland, das Verträge mit den Betreibern der Luca App geschlossen habe." /7

"Der #CCC hatte schon vor mehr als einem Monat dazu aufgerufen, aufgrund der Mängel, Schwächen und #Sicherheitslücken, die Notbremse zu ziehen und das Projekt zu stoppen." /8
ccc.de/de/updates/202…

"Auch das große Versprechen der #LucaApp, die Arbeit der Gesundheitsämter zu erleichtern ist nicht eingelöst, denn diese nutzen Luca kaum. Die Bundesländer haben bislang Verträge in Höhe von fast 22 Mio € für eine 1jährige Lizenz zur Nutzung der Luca App abgeschlossen." /9

"Dass letztlich ihre Programmierung die Sicherheitslücke bedingte, gibt #LucaApp nicht zu, verweist aber auf ein Update, das die Lücke nun schließt." /10

"Auf die Frage von @netzpolitik_org, warum die Lücke nicht nach den ersten Hinweisen auf Zeit Online vor 3 Wochen geschlossen wurde, antwortete der #LucaApp-Sprecher nicht." /11