Laut NDR-Recherchen gab es bei einem Telefonsystem in bundesweit mehr als 20 Gefängnissen eine erhebliche Sicherheitslücke. Bis zum 25. Juni seien Verbindungsdaten von Insassen im Internet einsehbar gewesen, ohne dass Sicherheitshürden wie Passwörter überwunden werden mussten, wie der Norddeutsche Rundfunk (NDR) am Mittwoch in Hamburg mitteilte. Offenbar seien bundesweit mehr als 14.000 Gefangene betroffen gewesen. Die Insassen müssten zum Telefonieren das System nutzen, da sie keine eigenen Mobiltelefone besitzen dürfen. Die IT-Sicherheitsforscherin Lilith Wittmann hatte die Sicherheitslücke entdeckt und sie sowohl dem Unternehmen als auch den Aufsichtsbehörden gemeldet.
Anbieter des betroffenen Systems sei das Unternehmen Gerdes Communications, hieß es. Auf Anfrage von NDR Info habe der Anbieter die Sicherheitslücke eingeräumt, jedoch betont, dass eine rechtswidrige Entwendung möglicher personenbezogener Daten nicht festgestellt werden könne. Das Unternehmen habe die Sicherheitslücke mittlerweile geschlossen. Dabei kooperiere die Firma eng mit den zuständigen Behörden und werde umfangreiche Prüfungen zur Gewährleistung einer bestmöglichen IT-Sicherheit vornehmen, hieß es.
Gerdes Communications betreibe Telefonsysteme in Gefängnissen in Deutschland, seit April 2022 auch in den Hamburger Justizvollzugsanstalten (JVA) Fuhlsbüttel und Billwerder, hieß es. Aufgrund der Sicherheitslücke konnte von außen auf Verbindungsdaten aus den Hamburger Anstalten zugegriffen werden. Laut NDR ging aus den Daten hervor, welcher Gefangene in den vorangegangenen zehn Tagen wann, wie lange und mit wem telefoniert hatte. Die angerufenen Personen waren mit Vor- und Nachnamen sowie einer Funktion gekennzeichnet, etwa „Seelsorge“, „Ehefrau“ oder „Verteidiger“. In einem eigenen Verzeichnis waren offensichtlich aufgezeichnete Gespräche aufgeführt und ebenfalls von außen abrufbar.
Gegenüber dem NDR wertete der Hamburgische Beauftragte für Datenschutz, Thomas Fuchs, den Vorfall mit Blick auf die potenzielle Sensibilität der betroffenen Daten und das besondere Gewaltverhältnis des Staates zu Insassen von JVA als „einen gravierenden Verstoß gegen datenschutzrechtliche Bestimmungen“.