Sicherheitslücke bei Nanz medico
App ohne Transportverschlüsselung: Daten Hunterttausender gefährdet.

Bei der App ZAR PAT, die die Patientenkommunikation für die von Nanz medico geführten ZAR-Rehakliniken vereinfachen soll, gab es eine gravierende Sicherheitslücke. Die App griff Termin-Informationen im Klartext von den angesprochenen Servern ab, eine Transportverschlüsselung gab es nicht. Rief man die Daten über einen Browser auf, war es sogar möglich, personenbezogene Daten inklusive Gesundheitsdaten und Behandlungsdetails abzugreifen.

Ein Patient, der die gravierende Sicherheitslücke entdeckte, informierte zunächst das BSI und dann die Klinik, bei der er in Behandlung war. Diese leitete die Meldung an Nanz medico weiter, welches die Schwachstelle daraufhin schloss und eine Transportverschlüsselung implementierte. Das Unternehmen betonte zudem, dass es keine Hinweise auf tatsächliche Datenabflüsse gebe.