Bei den Zürcher Parkplatz-Überwachungsfirmen Funkwache und Unisecur waren umfangreiche Datenbanken über das Internet ungeschützt zugänglich. Betroffen waren laut einer Recherche von 'Watson' zehntausende Datensätze mit teils besonders schützenswerten Personendaten. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb) prüfe den Fall.

Wie das Magazin berichtet, waren bei beiden Unternehmen Administrationsoberflächen ohne Passwortschutz erreichbar. Darüber konnten unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen, Fahrzeugdaten sowie Angaben zu angeblichen Parkverstössen eingesehen werden. Teilweise hätten die Datenbanken auch Informationen zum Status von Strafverfahren enthalten.

Die Recherche deutet darauf hin, dass Funkwache und Unisecur eine gemeinsame technische Infrastruktur beziehungsweise dasselbe Datenbank-Tool nutzten. Dieses basierte laut 'Watson' auf der inzwischen nicht mehr weiterentwickelten Plattform Wakanda. Die betroffenen Backend-Systeme seien ohne Authentifizierung über direkte URLs erreichbar gewesen.

Hinweise auf einen externen Angriff oder eine Kompromittierung durch Cyberkriminelle liegen dem Magazin zufolge derzeit nicht vor. Vielmehr deute alles auf eine Fehlkonfiguration der Systeme hin. Die Unternehmen bestätigten Sicherheitslücken in ihren Systemen. Unklar bleibt, wie lange die Daten öffentlich zugänglich waren. Eine Server-Abfrage deutete laut Bericht darauf hin, dass Teile der Infrastruktur seit 2020 erreichbar gewesen sein könnten.

Die öffentlich zugänglichen Datenbanken umfassten laut Recherche mehrere hunderttausend Einträge. Darunter befanden sich auch Halterdaten aus allen Schweizer Kantonen sowie Angaben zu gesperrten Fahrzeughalterdaten.

Der Edöb bestätigte gegenüber dem Magazin, dass Angaben zu Strafverfahren als besonders schützenswerte Personendaten gelten. Für die datenschutzrechtliche Bewertung sei nicht entscheidend, ob die Daten tatsächlich missbraucht wurden, sondern ob ein unbefugter Zugriff möglich gewesen sei. Die Datenschutzbehörde erklärte zudem, bislang keine Meldung der betroffenen Unternehmen erhalten zu haben. Man werde mit den Verantwortlichen Kontakt aufnehmen und prüfe weitere Schritte.

Funkwache und Unisecur erklärten laut dem Bericht, die Sicherheitslücken inzwischen geschlossen zu haben. Ob Zugriffe auf die offenen Systeme protokolliert wurden und ob Daten abgeflossen sind, ist bislang unklar.