Pager-Panne in Sachsen: Notrufmeldungen offenbar frei zugänglich im Netz

Herzinfarkt, Krampfanfall und Überdosis: Wenn ein Notruf übermittelt wird, geht es meist um heikle Gesundheitsdaten. Besonders dann sollten Daten wie Name, Adresse und Gesundheitszustand eines Patienten gut geschützt werden, wenn sie zwischen Polizei, Feuerwehr und Rettungsdiensten ausgetauscht werden. In Sachsen allerdings sind offenbar seit Jahren genau solche vertraulichen Notrufdaten abgefangen und ins Netz gestellt worden.

Wie der Spiegel zunächst berichtete, können Unbefugte seit einigen Jahren in einem sozialen Netzwerk mitlesen, welche Notfallmeldungen an mobile Pager der Feuerwehren, Rettungsdienste und des Katastrophenschutzes geschickt werden. Hunderte Meldungen fließen laut dem Bericht dort täglich ein. Vor allem der Großraum Leipzig sowie der Landkreis Zwickau, der Vogtlandkreis und der Erzgebirgskreis seien von dem Datenleck betroffen, heißt es. Das Magazin bezieht sich unter anderem auf einen Informanten, der Ende Oktober das sächsische Innenministerium und das Landeskriminalamt informiert, aber keine Rückmeldung bekommen und sich daraufhin an die Medien gewandt habe.

Auf eine Anfrage von heise online am Donnerstagmorgen hat die zuständige Zentrale Ansprechstelle Cybercrime des Landeskriminalamts (ZAC) bisher nicht geantwortet. Laut Spiegel ermittelt das LKA bereits. Einige Rettungsdienste haben aber offenbar bereits auf das Datenleck reagiert. Beim Rettungszweckverband Südwestsachsen etwa würden Einsatz-Infos derzeit nur noch ohne Namen der Patienten und ohne Hausnummern übermittelt.

Vergleichbar mit den Skyper- und Quix-Pagern der 1990er-Jahre

Die betroffenen Einsatzstellen verwenden offenbar Funkmeldeempfänger, die das sogenannte Pocsag-Funkprotokoll zur Übertragung einsetzen. Die kleinen Nachrichten-Boxen klemmen Rettungssanitäter und Feuerwehrleute meist an Hosen- oder Westentaschen. Auf den einfarbigen Bildschirmen erscheinen kurze Informationen zum Einsatz. Die Empfänger sind vergleichbar mit den Skyper- und Quix-Pagern der 1990er-Jahre, die kurze Text- oder Zahlennachrichten anzeigten und ebenfalls auf Pocsag basierten.

Der Pocsag-Funkstandard verbraucht zwar weniger Akku und ist auch nach vielen Jahren noch immer weit verbreitet bei Einsatzkräften. Eine Verschlüsselung sieht das Protokoll selbst aber nicht vor. Sie muss zusätzlich umgesetzt werden. In den sächsischen Netzen kommt laut Spiegel das Verfahren IDEA von 1990 zum Einsatz, das wegen seiner geringen Blockgröße von 64 Bit als veraltet gilt. Die nötigen Schlüssel sind dem Informanten zufolge in Onlineforen erhältlich.

Schon seit vielen Jahren warnen Experten davor, am günstigen Pocsag festzuhalten. Aus Kostengründen verzichteten vor 17 Jahren unter anderem Einsatzstellen in Österreich auf aktive Tetra-Pager, woraufhin ein Nutzer seine PC-Soundkarte mit einem Funkscanner koppelte und die Pager-Texte kopierte.

Mittlerweile sind viele Einsatzkräfte in Deutschland auf den deutlich besser abgesicherten Tetra-Standard umgestiegen, wenn sie Teil des BOS-Funks sind, also des Funkverkehrs der Behörden und Organisationen mit Sicherheitsaufgaben. Das digitale Tetra-Protokoll kann auch Daten zurückschicken und hat eine Verschlüsselung bereits an Bord.