Sie sind hier: Home > Digital > Corona-Krise >

Luca-App – Bundesamt kritisiert die Entwickler: "Angriffs-Szenario plausibel"

"Angriffs-Szenario plausibel"  

Bundesamt kritisiert Entwickler der Luca-App

28.05.2021, 16:40 Uhr | dpa

Luca-App – Bundesamt kritisiert die Entwickler: "Angriffs-Szenario plausibel". Luca App: Die Anwendung dient der Datenbereitstellung für eine mögliche Kontaktpersonennachverfolgung.  (Quelle: dpa/Christoph Soeder)

Luca App: Die Anwendung dient der Datenbereitstellung für eine mögliche Kontaktpersonennachverfolgung. (Quelle: Christoph Soeder/dpa)

Erneut Wirbel um die Luca-App: Inzwischen haben die Betreiber eine entdeckte Sicherheitslücke geschlossen. Das BSI unterstreicht allerdings, dass der Fehler und die Verantwortung dafür bei den Entwicklern liegt. 

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine inzwischen geschlossene Sicherheitslücke in der Luca-App bemängelt. Zuvor hatte der IT-Sicherheitsexperte Marcus Mengs in einem YouTube-Video vorgeführt, wie er theoretisch ein an die Luca-App angebundenes Gesundheitsamt lahmlegen könnte.

Mengs hatte dazu als Luca-Nutzer bestimmte Sonderzeichen in die Eingabefelder für seine eigenen Daten eingegeben, beispielsweise ins Feld für die Postleitzahl seiner Anschrift. Diese Sonderzeichen hätten von dem Microsoft Office-System im Gesundheitsamt als Programmcode interpretiert werden können. Diese Angriffsmethode wird als "Code-Injection" bezeichnet.

BSI: Luca muss sich um das Problem kümmern

Das BSI teilte am Freitag über Twitter mit: "Wir schätzen das Angriffs-Szenario einer Code-Injection über das Luca-System abhängig von der konkreten Einsatzumgebung als plausibel ein." Die Macher der Luca-App hatten nach dem ersten Bekanntwerden der Lücke die Eingabe von Sonderzeichen in die Namens- und Kontaktfelder unterbunden und erlauben nur noch die Eingabe von Buchstaben und Zahlen.

Laut BSI ist kein Fall bekannt, bei dem die Schwachstelle ausgenutzt wurde. Gleichzeitig machte das BSI klar, dass Luca sich um das Problem kümmern muss, nicht die Gesundheitsämter. "Wir sind der Auffassung, dass die Betreiber einer App für die Integrität übermittelter Daten verantwortlich sind."

BSI spricht von "offenkundiger Schwachstelle"

In dem Angriffsszenario von Mengs ging es um die Kontaktdaten im Luca-System, die als sogenannte CSV-Dateien für Microsoft Excel übertragen werden. Statt herkömmlicher Namen hätte ein ausführbarer Schadcode in bestimmten Datenfeldern gestanden.

In sensiblen Umgebungen wie Behörden empfehlen Sicherheitsexperten eigentlich, die Programme von Microsoft Office so zu konfigurieren, dass in Dokumenten von außen keine Programmcodes ausgeführt werden dürfen. Dem BSI reicht dies aber nicht aus: "Schutzmaßnahmen Dritter, etwa zusätzliches Unterbinden von Makro-Ausführung, stellen aus unserer Sicht keine ausreichende Sicherheitsmaßnahme dar. Wir sind der Ansicht, dass offenkundige Schwachstellen durch App-Betreiber unverzüglich und konsequent behoben werden sollten."

Die Luca-App, für die unter anderem der Hip-Hop-Sänger Smudo von den "Fantastischen Vier" geworben hatte, kommt in vielen Bundesländern bereits zum Einsatz. Die App ist aber bei Wissenschaftlern und Datenschützern umstritten.

Verwendete Quellen:
  • Nachrichtenagentur dpa

Leserbrief schreiben

Für Kritik oder Anregungen füllen Sie bitte die nachfolgenden Felder aus. Damit wir antworten können, geben Sie bitte Ihre E-Mail-Adresse an. Vielen Dank für Ihre Mitteilung.

Name
E-Mail
Betreff
Nachricht
Artikel versenden

Empfänger

Absender

Name
Name
E-Mail
E-Mail

Media Markttchibo.deOTTOWeltbildbonprix.deLIDLBabistadouglas.deMadeleine

shopping-portal

Hinweis:

Der Internet Explorer wird nicht länger von t-online unterstützt!

Um sicherer und schneller zu surfen, wechseln Sie jetzt auf einen aktuellen Browser.

Wir empfehlen unseren kostenlosen t-online-Browser: