Die Sicherheitslücke

Paul Köllensperger

Anstatt sich bei denjenigen zu bedanken, die Fehler im Computersystem melden, die zu hohen Strafen durch den Garante für Privacy (Datenschutzbehörde) führen können, zeigt das Land den Aufdecker an. Paul Köllensperger: „Nach den jüngsten Medienberichten zu urteilen, sollte sich das Land um die Lösung ihrer Datenschutzprobleme kümmern, damit die Ärzte arbeiten können, anstatt mit dem Finger auf andere zu zeigen“.

Am 23. März 2023 erließ die Datenschutzbehörde (Garante per la privacy) zwei Maßnahmen und verhängte Sanktionen gegen den Verantwortlichen (Land Südtirol) und den Verarbeiter der Daten (Dedalus Italia Spa) wegen Verstöße gegen den Schutz personenbezogener Daten im Zusammenhang mit dem unbefugten Zugang zu den Gesundheitsakten einiger Patienten, der durch die Schwachstelle des Dienstes „Fascicolo sanitario elettronico“ (FSE) verursacht wurde.

Die Geldbußen belaufen sich auf 30.000 Euro für das Land und 15.000 Euro für den für die Datenverarbeitung verantwortliche Firma.

Die entdeckte Sicherheitslücke wurde im April 2021 von einem Bürger an den Sanitätsbetrieb gemeldet, zusammen mit der Auflistung jener Schritte, die er unternommen hatte, um auf die vertraulichen Gesundheitsdaten anderer Patienten zuzugreifen, was eine ordnungsgemäße Authentifizierung beim MyCivis-Dienst voraussetzte. Die Schwachstelle war im Übrigen in IT-Kreisen schon seit vielen Jahren bekannt.

„Das Land zeigt den Bürger an, der die Sicherheitslücke gemeldet hatte. Anstatt Ärzten und Patienten Steine in den Weg zu legen, sollten die IT-Schwachstellen geschlossen werden und man sollte sich bei denjenigen bedanken, die sie melden, anstatt sie anzuzeigen. Wir haben eine Landtagsanfrage eingereicht, um die Gründe für diese Anzeige zu verstehen, um zu erfahren, ob sie in der Zwischenzeit zurückgezogen wurde und um zu wissen, welche Maßnahmen das Land ergriffen hat, um zu verhindern, dass sich eine ähnliche Situation wiederholt. Wer wird nun diese Strafen bezahlen? Der Steuerzahler, wie üblich, oder letztlich die Verantwortlichen“, fragt sich Paul Köllensperger.