Datenpanne bei CDU Connect
Diverse Datensätze mit Informationen zu Wählern und Helfern frei über App zugänglich.

CDU Connect ist eine seit 2017 von der CDU betriebene App, welche Wahlkämpfer mit Analysen zu (potenziellen) Wählern unterstützen soll. Dafür werden u.a. Informationen zu Haustürgesprächen zusammengetragen und ausgewertet. 

Wie aus einer von Lilith Wittmann veröffentlichten Analyse hervorgeht, waren dabei die über die App zusammengetragenen Datensätze über einfache Anfragenmanipulationen in der App prinzipiell für jeden frei zugänglich. Eine Prüfung der Autorisierung für entsprechende Anfragen fand nicht statt.

Über den Endpunkt „visits“ wurden dadurch Daten von Personen exponiert, mit denen Gespräche geführt wurden. Zu diesen gehörten beispielsweise ihre demographischen Daten (Alter und Geschlecht), ihre politische Einstellung und Inhalte der mit ihnen geführten Gespräche sowie – entgegen der Behauptung, Standorte würden nur pseudonymisiert erfasst werden – die Geokoordinaten, an denen die Gespräche stattgefunden haben.

Des Weiteren konnte über eine Anfrage an die Endpunkte „users“ bzw. „supporters“ auf persönliche Daten von 18.500 Wahlkampfhelfern (u.a. E-Mail-Adressen, Fotos, Social-Media-Links) und 1.350 erfolgreich angeworbenen Unterstützern (Adressen, Geburtsdaten, Interessen) zugegriffen werden.

Nachdem die Datenpanne der CDU gemeldet wurde, wurde die App offline genommen und Betroffene über das Leck benachrichtigt. Ob in den Jahren, in denen die Lücke bestand, Daten unautorisiert aus der App abgeschöpft worden waren, ist nicht bekannt. 

Auch die CSU und die österreichische Volkspartei haben Wahlkampf-Apps mit denselben Sicherheitslücken verwendet. Nach einem Hinweis wurden sie ebenso offline genommen. Alle drei Apps waren von der PXN GmbH entwickelt worden und verfügten über eine deckungsgleiche Code-Basis.