Hat #Doctolib nicht bemerkt, dass Millionen privater Datensätze offen im Netz standen? Das legt meine Recherche nahe, in der ich Daten verifizieren konnte. Doctolib gibt zudem weiterhin Patientendaten über Arztbesuche an Google weiter, wie wir zeigen. zeit.de/digital/datens…
Etwas Hintergrund: Eigentlich sollte das eine ganz andere Geschichte werden, in der #Doctolib nur *ein* Beispiel ist. Doch als ich das Unternehmen mit der 150-Millionen-Lücke vom CCC-Congress und den Vorwürfen der Big-Brother-Award-Jury konfrontierte, wurde es seltsam.
Das hier ist der Bericht von @chaosupdates-Mitgliedern media.ccc.de/v/rc3-11342-tu… und das hier das Video vom Big-Brother-Award: digitalcourage.video/videos/watch/8…
Der Vorfall sei „zu 100% aufgeklärt“ antwortete mir #Doctolib, es seien lediglich 45 Termine betroffen gewesen. 45 versus 150.000.000 Datensätze? Das machte mich neugierig.
Es sei „unmöglich“ dass ein „Angriff dieses Ausmaßes“ nicht entdeckt worden sei, hieß es weiter.
Es sei „unmöglich“ dass ein „Angriff dieses Ausmaßes“ nicht entdeckt worden sei, hieß es weiter.
Im Laufe der Recherche konnte ich einige der Daten aus diesem unentdeckten Angriff einsehen und mit betroffenen Ärzten verifizieren. Daraufhin drohte mir die #Doctolib-Rechtsabteilung rechtliche Schritte an und sprach von der „Verbreitung von Unwahrheiten“.
"Von dem Vorfall, von dem der Chaos Computer Club (wenn auch unzutreffend) berichtet hat“, sei keine der von mir kontaktierten Praxen betroffen, so die #Doctolib-Rechtsabteilung weiter. Gleichzeitig bestätigten mir diese Praxen die Namen der Patienten, die mir vorlagen.
Im Zuge der Recherche konnte ich auch sehen, wie #Doctolib Facebook und Google mitteilt, dass ich (zu Recherchezwecken) zur Kinderwunschberatung gehe. Nachdem @mobilsicher über die Datenweitergabe an Facebook berichtete, wurde das gestoppt. Google bekommt die Infos aber weiterhin
Dass Daten wie mein Termin zur Kinderwunschberatung an Google gehen, habe ich gestern Abend erneut verifiziert und #Doctolib informiert. Die Antwort: Sie hätten das geprüft – es gingen keine Termindaten an Google. Doctolib liegt nun ein Screenshot vor, ich warte auf ein Statement
Und das finde ich fast das Schlimmste an der Geschichte: Nicht dass #Doctolib möglicherweise lügt, sondern dass das Unternehmen offenbar nicht nur eine riesige Sicherheitslücke übersehen hat, sondern zudem nicht einmal merkt, dass es sensible Daten an Dritte wie Google weitergibt
• • •
Missing some Tweet in this thread? You can try to
force a refresh
