Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Mon Jun 20 2022

• [l] Ein Leser aus der Schweiz schickt eine schier unglaubliche Geschichte ein:

  Ich weiss nicht, ob du das damals im Blog hattest (hab auf die Schnelle nichts gefunden), daher nochmal kurz die Hintergrundgeschichte:

  • Die gemeinnützige Stiftung "meineimpfungen" betrieb im Auftrag des Schweizerischen Bundesamts für Gesundheit BAG den "elektronischen Impfausweis" als Web-Applikation unter meineimpfungen.ch
  • Da wurden gravierende Sicherheitslücken gefunden, u.A. waren die Daten aller anderen User nicht nur abrufbar, sondern sogar manipulierbar.
  • "Irreparabel", Projekt wird beendet, Stiftung meldet Konkurs an
  • Das zuständige Konkursamt wollte die Daten als Teil der Konkursmasse verscherbeln
  • Der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragte) schreit laut "nein", und empfiehlt, die Daten zu löschen, Konkursamt gibt klein bei und stimmt der Löschung zu.

  Soweit zur Story, u.a. nachzulesen hier.

  Heutiges Update: "Meineimpfungen.ch: Gesundheitsbehörden wollen Daten retten - EDÖB hebt Löschempfehlung auf".

  Hab ich erwähnt, dass die Daten manipulierbar waren?

  Dann kam noch ein Nachschlag:

  Zwischenzeitlich hatte die Stiftung noch versucht, den Usern wenigstens noch ihre Impfdaten zuzustellen… via E-Mail

  Dazu zitiert er noch https://meineimpfungen.ch, das aber gerade wegen im März abgelaufenem TLS-Zertifikat nicht abrufbar ist.

  Wie vom EDÖB gewünscht, werden die Nutzerinnen und Nutzer darauf hingewiesen, dass die Stiftung die Integrität und Richtigkeit der Daten nicht aktiv nachweisen kann. Sie fordert die betroffenen Personen deshalb auf, die Daten zu prüfen und damit zu plausibilisieren.

  Der E-Mail-Versand steht im Einklang mit dem schweizerische Datenschutzrecht. Dieses verlangt eine angemessene Datensicherheit, wobei die verschiedenen Interessen gegeneinander abgewogen werden müssen. Die Stiftung ist der Ansicht, dass bei dieser Interessenabwägung und mit Blick auf die Verhältnismässigkeit der E-Mail-Versand datenschutzkonform durchgeführt wird.

  Oh Mann.