1286/J XXVII. GP
Eingelangt am 20.03.2020
Dieser Text wurde elektronisch übermittelt. Abweichungen vom Original sind
möglich.
Anfrage
der Abgeordneten Dr. Nikolaus Scherak‚ MA, Kolleginnen und Kollegen
an den Bundesminister für Soziales‚ Gesundheit‚ Pflege und Konsumentenschutz
betreffend Datenleck Coronavirus-Informationsseite BMSGPK
Laut Medienberichten vom 20.3.2020 kam es auf der Coronavirus-Informationsseite des BMSGPK (https://info.gesundheitsministerium.at/), auf der nähere Informationen zur Ausbreitung des SARS-CoV-2 Virus in Österreich interaktiv dargestellt werden, zu einem Datenleck. Mit wenigen Befehlen sei es möglich gewesen, die im Hintergrund der Website agierende Datenbank vollständig herunterzuladen. Den Nutzer_innen war es so möglich, Details zu einzelnen Fällen in Erfahrung zu bringen. Bei diesen Daten handelt es sich um den höchstpersönlichen Lebensbereich der Patient_innen. Die Kategorien der Daten reichten vom Datum der Meldung über das Bundesland und den Bezirk bis zu Geschlecht und Alter einer Person. Alle diese Informationen waren mit einer ID versehen. Auch Informationen darüber, ob ein einzelner Fall hospitalisiert oder auf der Intensivstation war, ließen sich ganz einfach herausfinden. Insbesondere bei kleineren Bezirken lassen sich so potenziell Rückschlüsse auf die Identität der infizierten Personen ziehen.
Auf eine Anfrage des Standard reagierte das BMSGPK zuerst gelassen, später war allerdings nur mehr ein Screenshot statt der interaktiven Elemente auf der Website zugänglich.
Die unterfertigten Abgeordneten stellen daher folgende
1. Wie konnte es zu dem genannten Datenleck kommen?
a. Handelt es sich um einen technischen oder menschlichen Fehler?
2. Wann und von wem wurde das Datenleck entdeckt?
3. Wie wurde das Datenleck entdeckt?
4. Welche technischen und personellen Maßnahmen wurden von Ihrem Ressort getroffen, als das Datenleck bekannt wurde?
5. Welche konkreten Daten waren durch das Datenleck einsehbar?
a. War aus den Daten das Datum der Meldung ersichtlich?
b. War aus den Daten das betroffene Bundesland ersichtlich?
c. War aus den Daten der betroffene Bezirk ersichtlich?
d. War aus den Daten ersichtlich, ob ein einzelner Fall hospitalisiert oder auf der Intensivstation befindlich ist?
6. Welche einsehbaren Daten haben den höchstpersönlichen Lebensbereich der betroffenen Personen umfasst?
a. War aus den Daten das Geschlecht der betroffenen Person ersichtlich?
b. War aus den Daten das Alter der betroffenen Person ersichtlich?
c. War aus den Daten der Namen der betroffenen Person ersichtlich?
7. Welche Daten sind in der vom Datenleak betroffenen Datenbank gespeichert?
a. In welche Kategorien sind diese Daten aufgeteilt?
b. Wo befindet sich diese Datenbank?
i. Befindet sich die Datenbank auf ministeriumsinternen oder externen Servern?
8. War dem Ministerium bewusst, dass aufgrund der geringen Größe gewisser Bezirke Rückschlüsse auf die Identität von infizierten Personen gezogen werden können?
9. Wie gelangt das BMSGPK zu der Ansicht, die betroffenen Daten seien, wie im Bericht des Standard zitiert, "unproblematisch"?
10. Durch welche organisatorischen und personellen Maßnahmen soll die Datensicherheit der betroffenen Daten in Zukunft gewährleistet werden?
11. War dem Ministerium bekannt, dass Grafana für interne Zwecke und nicht für öffentliche Websites gedacht ist?
a. Wenn ja, warum wurde Grafana trotzdem eingesetzt?
b. Wenn nein, warum wurden, wie der Standard berichtet, einzelne Kategorien wie "tot", "geheilt" oder "aktiv" aus der Datenbank vor der Veröffentlichung entfernt, andere sensible Kategorien aber nicht?
12. War dem Ministerium bekannt, dass aufgrund der Funktion des genutzten Tools, Grafana, auf die Datenbank im Hintergrund der Website zugegriffen werden kann?
a. Wenn ja, warum wurde Grafana trotzdem eingesetzt?
b. Wenn nein, warum war dem Ministerium dies nicht bekannt?
13. Wurde Grafana vor dem Einsatz auf der Website getestet?
a. Wenn ja, inwiefern?
b. Wenn ja, wurden mögliche Probleme hinsichtlich der Datensicherheit festgestellt?
i. Warum wurde Grafana trotzdem eingesetzt?
c. Wenn nein, warum nicht?
14. Wurden Alternativen zu Grafana getestet?
a. Wenn ja, welche?
b. Wenn ja, warum wurde schlussendlich Grafana verwendet?
c. Wenn nein, warum nicht?
15. Benutzt das Ministerium Grafana auch noch auf anderen Bereichen der Website?
a. Wenn ja, wo und wofür?
b. Wenn ja, ist es geplant, künftig ein anderes Tool zu verwenden?