Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH

Resultate, Dokumente, Kommunikation, Sicherheitseinschätzungen etc. die dem BSI zu der E-Health-Software "health" der Firma Mikroprojekt GmbH aus Kaiserslautern vorliegen.

Im Artikel von Zeit Online wurde Sicherheitslücken bei der oben genannten Software identifiziert:
https://www.zeit.de/digital/datenschutz/2023-11/it-sicherheit-gesundheitsaemter-rheinland-pfalz-software-datenschutz

Ergebnis der Anfrage

Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegt eine Meldung zu vermeintlichen Schwachstellen in dem IT-Produkt "mikropro health" vor.

Die Informationen dieser Meldung sind allerdings geringer gehalten als Informationen aus öffentlichen Quellen (vgl.
https://www.heise.de/news/Bericht-IT-Si…).

Insbesondere konnte aufgrund fehlender technischer Details, die mangels Erreichbarkeit mit der meldenden Person nicht erörtert werden konnten, keine weiterführende Bewertung der Schwachstelle stattfinden.

Eine weitere Bearbeitung fand daher gemäß der CVD-Richtlinie des BSI nicht statt.

Anfrage abgelehnt

  • Datum
    18. Dezember 2023
  • Frist
    20. Januar 2024
  • 0 Follower:innen
<< Anfragesteller:in >>
Antrag nach dem IFG/UIG/VIG Guten Tag, bitte senden Sie mir Folgendes zu: Resultate, Dokumente, Kommunikation, …
An Bundesamt für Sicherheit in der Informationstechnik Details
Von
<< Anfragesteller:in >>
Betreff
Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH [#295114]
Datum
18. Dezember 2023 11:21
An
Bundesamt für Sicherheit in der Informationstechnik
Status
Warte auf Antwort — E-Mail wurde erfolgreich versendet.
Antrag nach dem IFG/UIG/VIG Guten Tag, bitte senden Sie mir Folgendes zu:
Resultate, Dokumente, Kommunikation, Sicherheitseinschätzungen etc. die dem BSI zu der E-Health-Software "health" der Firma Mikroprojekt GmbH aus Kaiserslautern vorliegen. Im Artikel von Zeit Online wurde Sicherheitslücken bei der oben genannten Software identifiziert: https://www.zeit.de/digital/datenschutz/2023-11/it-sicherheit-gesundheitsaemter-rheinland-pfalz-software-datenschutz
Dies ist ein Antrag auf Zugang zu amtlichen Informationen nach § 1 des Gesetzes zur Regelung des Zugangs zu Informationen des Bundes (IFG) sowie § 3 Umweltinformationsgesetz (UIG), soweit Umweltinformationen im Sinne des § 2 Abs. 3 UIG betroffen sind, sowie § 1 des Gesetzes zur Verbesserung der gesundheitsbezogenen Verbraucherinformation (VIG), soweit Informationen im Sinne des § 1 Abs. 1 VIG betroffen sind. Sollte der Informationszugang Ihres Erachtens gebührenpflichtig sein, möchte ich Sie bitten, mir dies vorab mitzuteilen und detailliert die zu erwartenden Kosten aufzuschlüsseln. Meines Erachtens handelt es sich um eine einfache Auskunft. Gebühren fallen somit nach § 10 IFG bzw. den anderen Vorschriften nicht an. Auslagen dürfen nach BVerwG 7 C 6.15 nicht berechnet werden. Sollten Sie Gebühren veranschlagen wollen, bitte ich gemäß § 2 IFGGebV um Befreiung oder hilfsweise Ermäßigung der Gebühren. Ich verweise auf § 7 Abs. 5 IFG/§ 3 Abs. 3 Satz 2 Nr. 1 UIG/§ 4 Abs. 2 VIG und bitte Sie, mir die erbetenen Informationen so schnell wie möglich, spätestens nach Ablauf eines Monats zugänglich zu machen. Kann diese Frist nicht eingehalten werden, müssen Sie mich darüber innerhalb der Frist informieren. Ich bitte Sie um eine Antwort per E-Mail gemäß § 1 Abs. 2 IFG. Ich widerspreche ausdrücklich der Weitergabe meiner Daten an behördenexterne Dritte. Sollten Sie meinen Antrag ablehnen wollen, bitte ich um Mitteilung der Dokumententitel und eine ausführliche Begründung. Ich möchte Sie um eine Empfangsbestätigung bitten und danke Ihnen für Ihre Mühe! Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Anfragenr: 295114 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/295114/
Mit freundlichen Grüßen << Anfragesteller:in >>
Bundesamt für Sicherheit in der Informationstechnik
Sehr << Antragsteller:in >> zwecks Zustellung Ihres Bescheids zu untenstehender Anfrage nach dem Info…
Von
Bundesamt für Sicherheit in der Informationstechnik
Betreff
AW: Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH [#295114]
Datum
16. Januar 2024 12:18
Status
Warte auf Antwort
Sehr << Antragsteller:in >> zwecks Zustellung Ihres Bescheids zu untenstehender Anfrage nach dem Informationsfreiheitsgesetz (IFG) bitte ich um Übersendung einer persönlichen E-Mail-Adresse oder Ihrer Postanschrift. Ihre persönliche E-Mail-Adresse oder Postanschrift wird benötigt, um eine ordnungsgemäße Bekanntgabe an Sie persönlich sicherstellen zu können. Mit freundlichen Grüßen
<< Anfragesteller:in >>
Guten Tag, anbei erhalten Sie meine persönliche E-Mail Adresse: <<E-Mail-Adresse>> Mit freundlichen …
An Bundesamt für Sicherheit in der Informationstechnik Details
Von
<< Anfragesteller:in >>
Betreff
AW: Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH [#295114]
Datum
16. Januar 2024 12:50
An
Bundesamt für Sicherheit in der Informationstechnik
Status
E-Mail wurde erfolgreich versendet.
Guten Tag, anbei erhalten Sie meine persönliche E-Mail Adresse: <<E-Mail-Adresse>> Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Anfragenr: 295114 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/295114/
Bundesamt für Sicherheit in der Informationstechnik
Sehr << Antragsteller:in >> Bei den echtemail-Adressen handelt es sich um eine von der Plattform &qu…
Von
Bundesamt für Sicherheit in der Informationstechnik
Betreff
AW: Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH [#295114]
Datum
16. Januar 2024 14:06
Status
Anfrage abgeschlossen
Sehr << Antragsteller:in >> Bei den echtemail-Adressen handelt es sich um eine von der Plattform "FragdenStaat.de" im Rahmen Ihrer IFG-Anfrage erzeugten E-Mail-Adresse ("Für jede Anfrage generieren wir jetzt automatisch zur Mail-Adresse @fragdenstaat.de eine Mail-Adresse @echtemail.de.", s. dazu https://netzpolitik.org/2015/zum-dahinschmelzen-fragdenstaat-startet-eigenen-provider-echtemail-de/). Daher kann diese E-Mail-Adresse nicht als persönliche E-Mail-Adresse angesehen werden, da "FragdenStaat.de" nicht als E-Mail Provider angesehen wird, weil die Zielsetzung nicht primär auf die Erbringung von E-Mail Dienstleistungen gerichtet ist. Bei der Beantwortung eines IFG-Antrages handelt es sich um einen Verwaltungsakt. Gemäß § 41 Abs. 1 Satz 1 Verwaltungsverfahrensgesetz ist ein Verwaltungsakt demjenigen bekanntzugeben, für den er bestimmt ist. Der Zeitpunkt der Bekanntgabe setzt eine Rechtsbehelfsfrist in Gang. Die Bekanntgabe an Sie persönlich ist bei einer Übermittlung an die angegebene E-Mail-Adresse der Internetseite nicht sichergestellt. Darüber hinaus ist der Zeitpunkt der Bekanntgabe für die Behörde nicht erkennbar. Eine Beantwortung Ihres Informationsersuchens kann deshalb nur in Schriftform an Ihre Postanschrift erfolgen, sofern Sie mir darüber hinaus keine persönliche E-Mail-Adresse mitteilen. Ich bitte Sie daher nochmals um Mitteilung einer persönlichen E-Mail-Adresse oder Ihrer Postanschrift. Mit freundlichen Grüßen
<< Anfragesteller:in >>
Guten Tag, ich bitte um Vermittlung bei einer Anfrage nach dem Informationsfreiheitsgesetz Bund (IFG, UIG, VIG). …
An Bundesbeauftragter für den Datenschutz und die Informationsfreiheit Details
Von
<< Anfragesteller:in >>
Betreff
Vermittlung bei Anfrage „Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH“ [#295114]
Datum
16. Januar 2024 15:18
An
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
Status
E-Mail wurde erfolgreich versendet.
Guten Tag, ich bitte um Vermittlung bei einer Anfrage nach dem Informationsfreiheitsgesetz Bund (IFG, UIG, VIG). Die bisherige Korrespondenz finden Sie hier: https://fragdenstaat.de/a/295114/ Ich bin der Meinung, die Anfrage wurde zu Unrecht auf diese Weise bearbeitet, weil die E-Mail-Adresse "@echtemail.de" eine persönliche E-Mail-Adresse ist und auch als solche anerkannt werden sollten. Zudem hat das BSI bereits mehrere Anfragen über die Plattform frag den Staat beantwortet. Sie finden auch alle Dokumente zu dieser Anfrage als Anhang zu dieser E-Mail. Sie dürfen meinen Namen gegenüber der Behörde nennen. Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Anhänge: - 295114.pdf Anfragenr: 295114 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/295114/
<< Anfragesteller:in >>
Guten Tag, Andere Anfragen auf FragdenStaat haben Sie auch direkt beantwortet. Warum stellt es bei dieser Anfrag…
An Bundesamt für Sicherheit in der Informationstechnik Details
Von
<< Anfragesteller:in >>
Betreff
AW: Anfrage „Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH“ [#295114]
Datum
16. Januar 2024 19:54
An
Bundesamt für Sicherheit in der Informationstechnik
Status
E-Mail wurde erfolgreich versendet.
Guten Tag, Andere Anfragen auf FragdenStaat haben Sie auch direkt beantwortet. Warum stellt es bei dieser Anfrage ein Problem dar? Ich habe grundsätzlich das Recht, die beantragten Informationen in der von mir gewünschten Form zu erhalten (§1, Abs. 2 IFG). In dem Fall bevorzuge ich die elektronische Kommunikation über „fragdenstaat.de“ Die Zulässigkeit der Verarbeitung personenbezogener Daten richtet sich nach Art. 6 der Datenschutzgrundverordnung (DSGVO). Nach dem einzig hier in Betracht kommenden Art. 6 Abs. 1 Buchst. c) der Datenschutzgrundverordnung (DSGVO) ist eine Verarbeitung personenbezogener Daten dann zulässig, wenn dies zur Erfüllung einer rechtlichen Verpflichtung notwendig ist. Eine die Verarbeitung personenbezogener Daten rechtfertigende rechtliche Verpflichtung seitens der Behörde ist indes für den Fall eines positiv zu bescheidenden Antrags nach dem IFG nicht ersichtlich: Die Behörde ist dann zur positiven Bescheidung des Antrags mittels Bekanntgabe an denjenigen verpflichtet, für den der Verwaltungsakte bestimmt ist (§ 41 Abs. 1 VwVfG). Die individuell-persönliche Konkretisierung (Bestimmbarkeit des Adressaten) ist durch die Adressierung über die von der Plattform „fragdenstaat.de“ für jede einzelne Nutzeranfrage generierte individuelle E-Mailadresse möglich. Die Bekanntgabe des Verwaltungsaktes erfolgt auch auf diesem Weg unmissverständlich an die Person, die den Antrag gestellt hat und für die folglich auch der Verwaltungsakt bestimmt ist. Andere rechtliche Verpflichtungen im Sinne des Art. 6 Abs. 1 Buchst. c), derentwegen eine Anforderung personenbezogener Daten im Falle eine zu erwartenden positiver Bescheidung rechtmäßig sein könnte, sind nicht ersichtlich. Vor diesem Hintergrund bitte ich Sie darum, meinen Antrag nun entsprechend zu bearbeiten. Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Anfragenr: 295114 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/295114/
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Az.: [geschwärzt]#[geschwärzt] Sehr [gesc…
Von
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
Betreff
Vermittlung bei Anfrage „Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH“ [#295114] # IFG-725/005 II#0783
Datum
17. Januar 2024 10:46
Status
Anfrage abgeschlossen
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Az.: [geschwärzt]#[geschwärzt] Sehr [geschwärzt], angefügtes Schreiben übersende ich zu Ihrer Information. Die Übermittlung erfolgt ausschließlich elektronisch. Mit freundlichen Grüßen [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] +[geschwärzt]([geschwärzt])[geschwärzt] [geschwärzt] [geschwärzt] ******************************************************************************** [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt], [geschwärzt] ******************************************************************************** [geschwärzt] [geschwärzt], [geschwärzt] [geschwärzt], [geschwärzt]
Bundesamt für Sicherheit in der Informationstechnik
Sehr << Antragsteller:in >> der Wahl der Art Ihres Informationszugangs im Wege der elektronischen Kom…
Von
Bundesamt für Sicherheit in der Informationstechnik
Betreff
AW: Anfrage „Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH“ [#295114]
Datum
17. Januar 2024 16:32
Status
Anfrage abgeschlossen
Sehr << Antragsteller:in >> der Wahl der Art Ihres Informationszugangs im Wege der elektronischen Kommunikation möchte das BSI gerne nachkommen, weshalb wir Sie neben Ihrer Postanschrift auch um Mitteilung einer persönlichen E-Mail-Adresse gebeten hatten. Leider kann aus den bereits mitgeteilten Gründen eine Mail-Adresse „@echtemail.de." nicht als persönliche E-Mail-Adresse angesehen werden. Ich weise nochmal daraufhin, dass es sich bei der Beantwortung Ihrer IFG-Anfrage um einen Verwaltungsakt handelt, dessen Bekanntgabe eine Rechtsmittelfrist in Gang setzt. Der Zeitpunkt der Bekanntgabe muss für die Behörde, insbesondere bei ablehnenden Entscheidungen, erkennbar sein. Ich bitte Sie daher nochmals um Mitteilung Ihrer persönlichen E-Mail-Adresse oder Postanschrift. Anderenfalls kann eine weitere Bearbeitung Ihrer IFG-Anfrage leider nicht erfolgen. Mit freundlichen Grüßen
<< Anfragesteller:in >>
Guten Tag, anbei erhalten Sie meine persönliche E-Mail Adresse: <<E-Mail-Adresse>> Mit freundlichen …
An Bundesamt für Sicherheit in der Informationstechnik Details
Von
<< Anfragesteller:in >>
Betreff
AW: Anfrage „Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH“ [#295114]
Datum
17. Januar 2024 16:39
An
Bundesamt für Sicherheit in der Informationstechnik
Status
E-Mail wurde erfolgreich versendet.
Guten Tag, anbei erhalten Sie meine persönliche E-Mail Adresse: <<E-Mail-Adresse>> Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Anfragenr: 295114 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/295114/
Bundesamt für Sicherheit in der Informationstechnik
Ihre Anfrage nach dem Informationsfreiheitsgesetz (IFG) Dem Bundesamt für Sicherheit in der Informationstechnik (B…
Von
Bundesamt für Sicherheit in der Informationstechnik
Via
Briefpost
Betreff
Ihre Anfrage nach dem Informationsfreiheitsgesetz (IFG)
Datum
18. Januar 2024
Status
Anfrage abgeschlossen
geschwärzt
1,2 MB
Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegt eine Meldung zu vermeintlichen Schwachstellen in dem IT-Produkt "mikropro health" vor. Die Informationen dieser Meldung sind allerdings geringer gehalten als Informationen aus öffentlichen Quellen (vgl. https://www.heise.de/news/Bericht-IT-Sicherheit-inGesundheitsaemtern-vernachlaessigt-9404608.html). Insbesondere konnte aufgrund fehlender technischer Details, die mangels Erreichbarkeit mit der meldenden Person nicht erörtert werden konnten, keine weiterführende Bewertung der Schwachstelle stattfinden. Eine weitere Bearbeitung fand daher gemäß der CVD-Richtlinie des BSI nicht statt.

Ein Zeichen für Informationsfreiheit setzen

FragDenStaat ist ein gemeinnütziges Projekt und durch Spenden finanziert. Nur mit Ihrer Unterstützung können wir die Plattform zur Verfügung stellen und für unsere Nutzer:innen weiterentwickeln. Setzen Sie sich mit uns für Informationsfreiheit ein!

Jetzt spenden!

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Geschäftszeichen: [geschwärzt] II#[geschwär…
Von
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
Betreff
Ihre Bitte um Vermittlung mit dem BSI bei Ihrer Anfrage „Unterlagen zur Sicherheit der E-Health-Software "health" der Firma Mikroprojekt GmbH“ [#295114] # [geschwärzt] II#[geschwärzt]
Datum
22. Januar 2024 10:30
Status
Anfrage abgeschlossen
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Geschäftszeichen: [geschwärzt] II#[geschwärzt] Sehr [geschwärzt], in oben genannter Angelegenheit erhalten Sie beiliegendes Schreiben. Mit freundlichen Grüßen [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt], [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt] ******************************************************************************** [geschwärzt] [geschwärzt] [geschwärzt] [geschwärzt], [geschwärzt]