{"id":259983,"date":"2021-11-29T16:10:55","date_gmt":"2021-11-29T15:10:55","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=259983"},"modified":"2021-11-29T16:10:55","modified_gmt":"2021-11-29T15:10:55","slug":"datenschutzvorfall-bei-wepa-kundendaten-von-tausenden-apotheken-verschickt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/11\/29\/datenschutzvorfall-bei-wepa-kundendaten-von-tausenden-apotheken-verschickt\/","title":{"rendered":"Datenschutzvorfall bei Wepa, Kundendaten von Tausenden Apotheken verschickt"},"content":{"rendered":"<p><img decoding=\"async\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" width=\"200\" align=\"left\"\/>Es gab einen veritablen Datenschutzvorfall bei der Berliner Firma Wepa, die wohl Apotheken beliefert. Einem Mitarbeiter ist ein Fehler unterlaufen, so dass die Bestelldaten von knapp 14.000 Apotheken an andere Kunden per E-Mail verschickt wurden. Der Vorgang zeigt wieder einmal, der Teufel steckt im Details und schnell ist ein Datenschutzvorfall passiert.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/vg01.met.vgwort.de\/na\/eab6ce85fc344c0689351b9a5e3aa92e\" width=\"1\" height=\"1\"\/>Ich bin gerade \u00fcber einen Tweet von Apotheke Adhoc auf diesen Datenschutzvorfall gesto\u00dfen, der die Firma vermutlich einige Euro Geldbu\u00dfe kosten d\u00fcrfte. Es ist schnell passiert, da wird per E-Mail ein falscher Anhang verschickt oder der E-Mail-Verteiler statt auf BCC auf CC gesetzt. <\/p>\n<p><img decoding=\"async\" src=\"https:\/\/i.imgur.com\/pYPwRWm.png\"\/><\/p>\n<p>Wepa ist ein Lieferant f\u00fcr Apothekenbedarf, der in Hillscheid (Gemeinde H\u00f6rgrenzhausen, N\u00e4he Koblenz) als GmbH &amp; Co. KG residiert. Das Unternehmen vertreibt Ger\u00e4te zur Blutdruck- und Fiebermessung, zur Inhalation, aber auch Nahrungserg\u00e4nzungsmittel, Parasitenschutz und mehr. Kunden sind Apotheken in Deutschland und \u00d6sterreich. <\/p>\n<h2>Was ist passiert?<\/h2>\n<p>Wie apotheke-adhoc.de in <a href=\"https:\/\/www.apotheke-adhoc.de\/nachrichten\/detail\/markt\/daten-von-tausenden-apotheken-verschickt\/\" target=\"_blank\" rel=\"noopener\">diesem Artikel<\/a> berichtet hatte ein Fachberater eine Massenmail an die Kunden unter der Apothekerschaft geschickt, um diesen einige Angebote zu machen. Der Hintergrund sind wohl Schwierigkeiten mit Lieferketten &#8211; Corona-bedingt gibt es wohl Engp\u00e4sse an verf\u00fcgbarem Frachtraum f\u00fcr Lieferungen. In der Rundmail an die Kunden schlug der Fachberater vor, f\u00fcr die Aponorm-Ger\u00e4te wie Blutdruckmessger\u00e4te mit Terminauftr\u00e4gen die Lieferungen f\u00fcr 2022 sicherzustellen. Die Apotheken sollen Termin- und Mengenw\u00fcnsche durchgeben, um beiden Seiten so etwas mehr Planungssicherheit zu erm\u00f6glichen. Das ist l\u00f6blich und noch kein Problem, solange die Empf\u00e4ngerliste der Massenmail in BCC versteckt wird.<\/p>\n<p>Der Fachberater schickte der Massenmail aber verschiedene Anh\u00e4nge mit. Ein Anhang dieser Mail war der Aponorm-Katalog, was auch noch unverf\u00e4nglich war. Aber es war auch eine Excel-Tabelle im Anhang zur Mail, die die \"Nachkauf-Angaben\" aller Apotheken enthielt, die als Kunden von Wepa bestellt hatten. Laut apotheke-adhoc.de enthielt die Tabelle:<\/p>\n<ul>\n<li>Welcher Kunde wie viel von welchem Produkt gekauft hat, aufgeschl\u00fcsselt nach dem abgelaufenen Gesch\u00e4ftsjahr und f\u00fcr den aktuellen Zeitraum Juli bis November 2021.  <\/li>\n<li>Hinzu kommen noch Anschrift, Telefonnummer, E-Mail sowie die Information zum Wepa-Stammvertreter <\/li>\n<\/ul>\n<p>Die Excel-Tabelle enth\u00e4lt laut Berichterstattung mehr als 90.000 Zeilen mit den betreffenden Daten. Auf Anfrage best\u00e4tigte eine Wepa-Sprecherin den Vorfall und erkl\u00e4rte.<\/p>\n<blockquote>\n<p>Aufgrund menschlichen Versagens wurde ein Teil der Kundendaten an einen Empf\u00e4ngerkreis von ungef\u00e4hr 450 Gesch\u00e4ftspartnern weitergegeben, der diese nicht h\u00e4tte erhalten d\u00fcrfen.<\/p>\n<p>Obwohl menschliches Versagen Teil des Lebens und uns ein Fehler dieser Art erstmalig unterlaufen ist, bedauern wir diesen Vorfall sehr. Wir werden unsere internen Prozesse dahingehend sicherstellen, dass uns dieser Fehler nicht noch einmal unterl\u00e4uft.<\/p>\n<\/blockquote>\n<p>Die Sprecherin gab an, dass s\u00e4mtliche datenschutzrechtliche Schritte eingeleitet und die zust\u00e4ndige Beh\u00f6rde vollumf\u00e4nglich informiert worden seien. Der Datenschutzaufsicht obliegt es nun, zu entscheiden, wie gravierend der Datenschutzvorfall war und ob ein Bu\u00dfgeld verh\u00e4ngt wird.<\/p>\n<p>An dieser Stelle bleibt die Frage, wie sich so etwas verhindern lie\u00dfe. So aus dem hohlen Bauch heraus w\u00e4re ein Dokumentmanagement erforderlich, bei dem festgelegt wird, dass bestimmte Dateien nicht als Anhang zu einer E-Mail verschickt werden k\u00f6nnen. Der Versuch wird abgewiesen und l\u00f6st ggf. einen Alarm aus. Ist der Vorgang berechtigt, kann der Versand \u00fcber eine spezielle Berechtigung eines weiteren Mitarbeiters freigegeben werden. Ob das realistisch ist, kann ich nicht beurteilen &#8211; wie l\u00f6st ihr als Administratoren in Unternehmen so etwas?<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Es gab einen veritablen Datenschutzvorfall bei der Berliner Firma Wepa, die wohl Apotheken beliefert. Einem Mitarbeiter ist ein Fehler unterlaufen, so dass die Bestelldaten von knapp 14.000 Apotheken an andere Kunden per E-Mail verschickt wurden. Der Vorgang zeigt wieder einmal, &hellip; <a href=\"https:\/\/borncity.com\/blog\/2021\/11\/29\/datenschutzvorfall-bei-wepa-kundendaten-von-tausenden-apotheken-verschickt\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[451,4328],"class_list":["post-259983","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-datenschutz","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/259983","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=259983"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/259983\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=259983"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=259983"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=259983"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}