Luca-App-Demo: So infiziert man ein Gesundheitsamt mit Ransomware

Von Christian Kahle am 26.05.2021 10:34 Uhr
27 Kommentare
Für die Öffentlichkeit ist es oft nur schwer zu überblicken, wie schlimm die Sicherheits-Risiken durch die Luca-App wirklich sind. Daher demonstrierte ein Experte nun eine gravierende Attacke mit ziemlich einfachen Mitteln.

Das Luca-System, mit dem Gesundheitsämter die Kontakt-Verfolgung von Events und Lokalitäten gewährleisten können sollen, steht von Beginn an in der Kritik. Der Vorwurf: Den Machern ist es gelungen, durch geschicktes Marketing - unter anderem mit Unterstützung eines prominenten Musikers, der selbst Geld in die Entwicklerfirma investiert hat - Steuergelder in zweistelliger Millionenhöhe für eine unausgereifte Lösung abzugreifen.

Nach diversen anderen Problemen stießen Sicherheitsexperten kürzlich auch auf das Problem, dass die Luca-App diverse Sonderzeichen im Formular zur Eingabe von Kontaktdaten akzeptiert. Das birgt das Risiko, dass hier Code eingeschleust werden kann. Der Chef der Entwicklerfirma, Patrick Hennig, behauptete kürzlich noch, dass trotzdem kein Risiko bestünde. "Eine Code Injection über den Namen ist bei Luca im Gesundheitsamt nicht möglich", sagte er gegenüber der Zeit.

Der Sicherheitsexperte Marcus Mengs zweifelte schon damals an dieser Aussage - und beschäftigte sich in den letzten Tagen wohl genauer mit dem Problem. Am Ende behielt er Recht. Er zeigte jetzt in einem Demo-Video, wie Angreifer sehr wohl Code in das Backend der Gesundheitsämter einschleusen können. Wie hier zu sehen ist, kann dies dann ausgenutzt werden, um Daten aus den Behörden zu entwenden - was angesichts der dort vorgehaltenen sensiblen Informationen verschiedenster Art bereits ein gravierendes Problem darstellt.

Ein millionenschweres Sicherheitsririko

Es geht aber noch schlimmer. Mengs zeigte ebenso, dass auf diesem Weg auch Malware eingeschleust werden kann. Testweise wurde über das Luca-Backend eine Ransomware auf dem simulierten Rechner eines Ge­sund­heits­amts-Mit­ar­bei­ters aktiv. Damit dies funktioniert, muss der User zwar die Warnungen der Microsoft Office-Software wegklicken, was aber in den meisten Fällen kein Hindernis für einen erfolgreichen Angriff sein dürfte. Damit wäre dann ein Gesundheitsamt mitten in einer wichtigen Phase direkt lahmgelegt - denn der entsprechende Datenabruf erfolgt in der Regel dann, wenn wirklich ein Corona-Ausbruch analysiert werden muss.

Der bisherige Eindruck bestätigt sich somit: Die Bundesländer haben hier viel Steuergeld für eine App ausgegeben, die nicht nur unnütz ist, weil die offizielle Corona-Warn-App mit einer vergleichbaren Funktion ausgestattet wurde. Man ist auch auf das übliche Startup-Marketing hereingefallen und setzt die wichtigsten Behörden einem enormen Sicherheitsrisiko aus.

Siehe auch:

27 Kommentare lesen & antworten
Jede Woche neu: Top-News per E-Mail
Verwandte Themen
Coronavirus
Desktop-Version anzeigen
Hoch © 2021 WinFuture Impressum Datenschutz Cookies