Cannabis-Clubs: Daten öffentlich

Sicherheitsforscher decken Datenleck auf

Nachdem der Konsum, der Besitz und auch der Eigenanbau von Cannabis zum 1. April 2024 teilweise legalisiert wurden, darf Cannabis zudem von Anbauvereinigungen gezüchtet werden. Es gibt bereits einige dieser Cannabis-Clubs, die nun nicht nur Anbauflächen suchen, sondern auch digitale Systeme, mit denen sie ihre Mitglieder verwalten können. Denn zur Dokumentation der Daten ihrer Mitglieder wurden sie vom Gesetzgeber verpflichtet: Name, Geburtsdatum, Adressen sind zu erfassen. Auch der Bezug von Cannabis ist samt THC-Gehalt, Menge und Datum zu dokumentieren. Diese Informationen müssen fünf Jahre gespeichert werden.

Hackerkollektiv deckt Sicherheitslücke auf

Eine praktikable Lösung dieser Herausforderung schien Canguard zu sein. Diese Software stammt von der Firma ThingBring aus den Niederlanden. Laut Informationen des Magazins Kontraste soll es jedoch gerade bei dieser Software ein kritisches Datenleck gegeben haben. Dritte hatten Zugang zu personenbezogenen Daten samt Passwörtern. Zudem war erkennbar, ob ein Nutzer Club-Besitzer oder -Mitglied ist. Sogar die Bearbeitung der Nutzerkonten durch Dritte sei möglich gewesen. Diese Sicherheitslücke wurde von dem Hackerkollektiv Zerforschung entdeckt.

Betroffene spät informiert

Das Hackerkollektiv informierte ThingBring noch vor Ostern detailliert über die Sicherheitslücke. An die Club-Betreiber, die von dieser Lücke betroffen waren, wurde die Info erst nach Ostern weitergegeben. Sie erfuhren vermutlich erst eine Woche später von dem Leck. Die Verantwortlichen wären verpflichtet gewesen, das Problem innerhalb von 72 Stunden an den Landesbeauftragten für Datenschutz zu melden. Offen ist noch, ob ThingBring oder die Club-Betreiber hier in der Verantwortung standen.

Sicherheitsstandards prüfen

Der Software-Anbieter beabsichtigt nun, seine Sicherheitsstandards zu überprüfen. Nach einem Telefonat mit dem Nachrichtenmagazin Kontraste nahm der Betreiber seine Software vom Netz. Er meldete außerdem die Sicherheitslücke an den Landesbeauftragten für Datenschutz. Kritiker stellen die Frage, ob dieses Datenleck als Vorbereitung auf die Offenlegung der Daten der Cannabis konsumierenden Club-Mitglieder an die Behörden gewertet werden könne. Denn vom Gesetzgeber wird den Behörden ein umfassendes Zugriffsrecht auf die Daten der Mitglieder zugesprochen.

Was tun bei Datenlecks?

Abgesehen von der politischen Brisanz dieses Falls muss man im Hinterkopf behalten, dass solche Datenlecks überall möglich sind. Wir beraten Sie, wenn es um deren Verhinderung und um den Umgang mit bestehenden Sicherheitslücken geht. Rufen Sie uns unter 09122 6937302 an oder senden Sie uns Ihre Nachricht. Wir unterstützen Sie sehr gern in allen Fragen des Datenschutzes.

Ihr Team von Datenschutz Prinz