Sicherheitslücke bei Telio Group
Sensible Daten von Häftlingen durch Sicherheitslücke einsehbar.

Durch eine Sicherheitslücke in der "Prison Control Center"-Webanwendung, die von der Telio-Tochter Gerdes Communications GmbH vertrieben und von der Gerdes AG entwickelt wird, waren sensible Daten von mehr als 14 Tsd. deutschen Häftlingen unverschlüsselt im Netz einsehbar.

Die Schwachstelle machte es möglich, Verbindungsdaten von Telefonaten auszulesen, die von den Insassen über ihre Telefonkontos durchgeführt wurden. Dies beinhaltete private Telefonate, aber auch Gespräche mit Anwälten und Psychologen.

Die so kompromittierten personenbezogenen Daten umfassten volle Klarnamen, Haftnummern, PINs zum Login am Telefon, das Account-Guthaben, eventuelle Notizen sowie das Datum der letzten Nutzung oder der Schließung des Accounts. Zudem wurden Informationen zu den geführten Telefonaten aufgezeichnet, die eingesehen werden konnten. Diese umfassten in einem Zeitraum von zehn Tagen der Standort des Telefons, zum Teil von den Häftlingen ausgeübte Freizeitaktivitäten, die Namen der Angerufenen sowie deren Telefonnummern und eine Beschreibung, die ihre Beziehung zum Anrufer notierte, aber auch Zeitstempel für den Beginn und das Ende des Anrufs sowie die Anrufdauer.

Zusätzlich war erkennbar, ob das Gespräch aufgezeichnet worden war und wenn ja, wo diese Aufzeichnung abgelegt war. Ob auch die Aufzeichnungen selbst abgerufen werden konnten, testete die Forscherin Lilith Wittmann, die die Lücke aufdeckte, nicht. Außerdem wurde vermerkt, ob die Polizei die Anrufaufzeichnung ausgelöst hatte.

Zusätzlich gab es noch weitere Lücken, die unter anderem das Videokonferenzsystem "VideoVisit" betrafen. Dort ließen sich über IDs ebenfalls personenbezogene Daten von Insassen auslesen.

Am 24. Juni 2024 meldete Wittmann die von ihr gefundenen Schwachstellen an die Behörden. Am 25. Juni waren diese geschlossen worden. Es ist nicht bekannt, wie lange die Sicherheitslücke tatsächlich bestand.