„Uber für Pflegekräfte“ ESHYFT: Über öffentlichen S3-Bucket wurden mehr als 86.000 medizinische Datensätze und PII offengelegt

• In einer öffentlich zugänglichen Datenbank im Zusammenhang mit dem in New Jersey ansässigen HealthTech-Unternehmen ESHYFT wurden 86.341 Datensätze und 108,8 GB Daten offengelegt; die Plattform verbindet in 29 US-Bundesstaaten Gesundheitseinrichtungen mit Pflegepersonal
• Zu den offengelegten Materialien gehörten Profil- und Gesichtsbilder, CSV-Dateien mit monatlichen Dienstplänen, berufliche Zertifikate, Einsatzvereinbarungen, Lebensläufe sowie weitere personenbezogene Daten (PII)
• Einige Dateien scheinen medizinische Dokumente zu sein, die in die App hochgeladen wurden, um Fehlzeiten oder Krankheitsgründe zu belegen; sie enthielten Diagnose-, Verschreibungs- und Behandlungsinformationen und könnten unter HIPAA fallen
• Nach der verantwortungsvollen Offenlegung durch den Forscher wurde der Zugriff auf die Datenbank nach mehr als einem Monat eingeschränkt; wer sie verwaltete, wie lange sie exponiert war und ob Dritte darauf zugriffen, ist jedoch unklar
• Plattformen für medizinisches Personal sollten sensible Daten verschlüsseln, regelmäßige Sicherheitsaudits durchführen, Daten nur minimal speichern und anonymisieren, nach Sensibilität getrennt ablegen sowie MFA, Incident-Response-Pläne und Meldekanäle bereitstellen

---

In der öffentlichen ESHYFT-Datenbank festgestellte Offenlegung

• Der Cybersicherheitsforscher Jeremiah Fowler entdeckte eine Datenbank ohne Passwortschutz oder Verschlüsselung und teilte sie mit Website Planet
• Die Datenbank enthielt 86.341 Datensätze, die offenbar zu ESHYFT gehörten; die Gesamtgröße betrug 108,8 GB
• Der Datenbankname und interne Dokumente deuteten darauf hin, dass die Datensätze ESHYFT gehörten; die meisten Dokumente befanden sich in einem Ordner namens „App“
• ESHYFT ist ein in New Jersey ansässiges HealthTech-Unternehmen, das eine Mobile-App-Plattform betreibt, die Gesundheitseinrichtungen und medizinisches Personal zusammenbringt
  • Zur Zielgruppe gehören Certified Nursing Assistants (CNAs), Licensed Practical Nurses (LPNs) und Registered Nurses (RNs)
  • Die App ist im Apple App Store und im Google Play Store verfügbar
  • Im Google Play Store liegt die Zahl der Downloads bei über 50.000
  • Apple stellt keine Nutzerstatistiken mehr bereit

Offengelegte Dateien und Sensibilität medizinischer Informationen

• Bei einer begrenzten Stichprobe wurden mehrere Dateitypen gefunden
  • Profil- oder Gesichtsbilder von Nutzern
  • .csv-Dateien mit monatlichen Dienstplan-Logs
  • Berufliche Zertifikate
  • Einsatzvereinbarungen
  • CVs und Lebensläufe sowie weitere personenbezogene Daten (PII)
• Ein einzelnes Tabellenkalkulationsdokument enthielt mehr als 800.000 Einträge
  • Interne IDs von Pflegekräften
  • Namen von Einrichtungen
  • Schichtzeiten und -daten
  • Arbeitszeiten usw.
• Auch medizinische Dokumente, die offenbar in die App hochgeladen wurden, wurden gefunden
  • Es könnte sich um Dateien handeln, mit denen einzelne Pflegekräfte begründen sollten, warum sie eine Schicht verpasst oder sich krankgemeldet hatten
  • Die medizinischen Berichte enthielten Diagnosen, Verschreibungen und Behandlungsinformationen
  • Diese Informationen könnten in den Geltungsbereich von HIPAA fallen

Maßnahmen nach der Benachrichtigung und verbleibende Unklarheiten

• Der Forscher schickte ESHYFT umgehend eine verantwortungsvolle Offenlegungsmitteilung
• Der öffentliche Zugriff auf die Datenbank wurde nach mehr als einem Monat eingeschränkt
• Die Antwort von ESHYFT lautete: „Thank you! we’re actively looking into this and working on a solution“
• Einige Punkte sind weiterhin ungeklärt
  • Ob ESHYFT die Datenbank direkt besaß und verwaltete oder ob ein Drittanbieter sie verwaltete
  • Wie lange sie bereits exponiert war, bevor der Forscher sie entdeckte
  • Ob andere Personen darauf zugegriffen haben
• Ob es weitere Zugriffe oder verdächtige Aktivitäten gab, lässt sich nur durch ein internes forensisches Audit feststellen

Mit dem Wachstum von Plattformen für medizinisches Personal wächst auch die Sicherheitslast

• ESHYFT wirbt damit, Pflegekräften die Auswahl von Einsätzen passend zu ihrem eigenen Zeitplan zu ermöglichen und Gesundheitseinrichtungen Zugriff auf geprüfte W-2-Pflegekräfte zu bieten
• Die Plattform ist in 29 US-Bundesstaaten verfügbar
  • AL, AZ, AR, CA, CT, DE, FL, GA, IL, IN, IA, KS, KY, MD, MI, MN, MO, NE, NJ, OH, PA, RI, SC, TN, VT, VA, WA, WI, WV
• Ein Bericht der Health Resources & Services Administration (NCHWA) prognostiziert, dass der Mangel an Registered Nurses in den USA bis 2027 landesweit 10 % erreichen wird
• Mit steigender Nachfrage nach medizinischem Personal übernehmen Plattformen wie ESHYFT die Rolle, Personallücken zu schließen
• Da auch Pflegekräfte, die offline arbeiten, zunehmend in Online-Technologien integriert werden, benötigen HealthTech-Unternehmen stärkere Datenschutzmaßnahmen
• Je stärker Krankenhäuser und medizinische Fachkräfte bei Datenspeicherung, Behandlungsmanagement und Beschäftigung auf Technologie angewiesen sind, desto größer wird auch die Cybersecurity-Belastung der gesamten Branche
• Krankenhäuser gelten als kritische Infrastruktur, und in den vergangenen Jahren wurden mehrere Netzwerke von schweren Ransomware-Angriffen getroffen

Potenzielle Risiken und erforderliche Sicherheitsmaßnahmen

• Wenn personenbezogene Daten, Gehaltsinformationen und Beschäftigungshistorien von Pflegefachkräften offengelegt werden, können Risiken sowohl für die Einzelpersonen als auch für die beschäftigenden Gesundheitseinrichtungen entstehen
• Wenn Scans von Ausweisdokumenten wie Führerscheinen oder Social-Security-Karten mit Adress- und Kontaktinformationen kombiniert werden, könnten sie für Identitätsdiebstahl oder Finanzbetrug missbraucht werden
• Die Offenlegung persönlicher und beruflicher Informationen kann zu gezieltem Phishing mit echten Informationen führen
  • Opfer könnten mit Jobbetrug getäuscht oder dazu gebracht werden, weitere persönliche oder finanzielle Informationen preiszugeben
  • Das bedeutet jedoch nicht, dass ESHYFT-Daten oder Nutzerdaten tatsächlich für Betrug oder missbräuchliche Aktivitäten verwendet wurden
• HealthTech-Unternehmen und Anbieter medizinischer Software sollten die folgenden Maßnahmen erwägen
  • Verbindliche Verschlüsselungsprotokolle für sensible Daten
  • Regelmäßige Sicherheitsaudits zur Identifizierung von Schwachstellen in der internen Infrastruktur
  • Begrenzung der Speicherung sensibler Daten und, wo möglich, Anonymisierung
  • Festlegung von Ablaufdaten für nicht mehr verwendete Daten
  • Getrennte Speicherung nach Sensibilität der Dokumente
• In diesem Fall scheinen Nutzerdateien nicht nach Sensibilität getrennt, sondern in einen einzigen Ordner hochgeladen worden zu sein
  • Profilbilder von Nutzern können eine geringere Sensibilität haben
  • Nachweise für medizinische Untersuchungen können hochsensibel sein
  • Theoretisch sollten beide Dokumentarten nicht im selben Ordner gespeichert werden
• Die Trennung und Verschlüsselung sensibler Daten bietet eine zusätzliche Schutzschicht, falls es zu einer versehentlichen Offenlegung oder einem böswilligen Angriff kommt
• Für Anwendungen, die Zugriff auf sensible Informationen oder Dokumente haben, ist MFA erforderlich
  • Selbst wenn Zugangsdaten wie Benutzername und Passwort offengelegt werden, erschwert dies den direkten Zugriff auf die Anwendung oder das Nutzer-Dashboard
• HealthTech-Unternehmen sollten über einen Plan zur Reaktion auf Datenschutzverletzungen und einen dedizierten Kommunikationskanal zur Meldung potenzieller Sicherheitsvorfälle verfügen
  • Wenn nur Kundensupport- oder Vertriebskontakte vorhanden sind, kann sich die Weiterleitung an die entscheidenden zuständigen Personen im Fall einer Datenschutzverletzung verzögern
  • Wenn sensible Daten öffentlich offengelegt werden, können Verzögerungen bei Eindämmung und Wiederherstellung gravierend sein
• Nach einem Datenvorfall sollten potenziell direkt betroffene Nutzer zeitnah eine verantwortungsvolle Offenlegungsmitteilung erhalten
• Nutzer sollten darüber informiert werden, wie sie Phishing-Versuche im Zusammenhang mit der betreffenden Anwendung oder dem Dienst erkennen können
• Dies bedeutet nicht, dass Shiftster LLC dba ESHYFT, Auftragnehmer oder verbundene Unternehmen rechtswidrig gehandelt haben, und es wird auch nicht behauptet, dass interne Daten oder Nutzerdaten unmittelbar gefährdet waren

[GN⁺]

Meinungen auf Hacker News

• Ich habe kürzlich gehört, dass dieses Unternehmen, bevor es Aufträge anbietet, anhand einer Bonitätsauskunft einschätzt, wie hoch die Schulden sind – also wie verzweifelt jemand ist – und diese Information nutzt, um den angebotenen Stundenlohn nach unten anzupassen.
  Falls ihnen durch dieses Leak Nachteile entstehen, hätten sie aus meiner Sicht auch noch Schlimmeres verdient.

  • Ich erinnere mich nicht mehr an die Quelle, aber ich habe einmal einen Podcast über Dienste wie „Uber für Pflegekräfte“ gehört, und dort hieß es, sie machten alles Mögliche zulasten der Pflegekräfte.
    Wenn man einen Einsatz annimmt, muss man eine Standort-Tracking-App aktivieren; selbst bei Stau oder wenn das Handysignal abbricht, sammeln sich Minuspunkte an, und diese Minuspunkte führen dann zu geringerer Bezahlung.
    Damit werden die ohnehin miserablen Arbeitsbedingungen in der Pflege zur Waffe gemacht: zu viele Patienten, zu wenig Hilfspersonal, und nach 12-Stunden-Schichten muss immer noch dokumentiert werden. Da meine Frau Pflegekraft ist, wirkt das für mich noch realer.
  • Die Präsentation zur Lohndrückerei bei Pflegekräften ist hier: https://pluralistic.net/2025/02/26/ursula-franklin/
  • Ich frage mich, warum Pflegekräfte solche Dienste überhaupt nutzen, wo der Pflegenotstand doch so gravierend ist.
    Gerade erfahrene Pflegekräfte sollten keinen Grund haben, eine miese App zu nutzen, die die Löhne drückt; sie müssten bei praktisch jeder medizinischen Einrichtung fast sofort eingestellt werden können, und als RN scheinen auch die Optionen in der Telemedizin recht breit zu sein.
  • Das wirkt wie eine ziemlich schlechte Methode, um die Löhne von Pflegekräften abzuschätzen.
    Jemand kann einen Ehepartner haben, die Eltern könnten die Kreditkartenrechnungen bezahlen, eine Person mit schlechter Bonität kann das relativ egal sein, oder es kann Familienvermögen geben.
    Auch mit wenig Schulden kann man dringend einen Job brauchen; ich frage mich, ob das in der Praxis wirklich funktioniert.

• Im Abschnitt Data Security der Datenschutzrichtlinie steht, dass physische, administrative und technische Schutzmaßnahmen eingesetzt werden, um Integrität und Sicherheit der gesammelten und gespeicherten Informationen zu erhöhen, dass es aber keine perfekte oder undurchdringliche Sicherheit gebe und kein Schutz vor Offenlegung, Zugriff, Veröffentlichung, Veränderung oder Zerstörung garantiert werde.
  Insbesondere erklärt der Dienst, er sei nicht dafür konzipiert, nach HIPAA geschützte Gesundheitsinformationen zu speichern oder zu schützen; ob die Verantwortung mit einem „Tut uns leid, wir haben es nicht als HIPAA-konformes System gebaut“ verschwindet, weiß ich nicht.
  0: https://eshyft.com/wp-content/uploads/2019/06/ESHYFT-Privacy...

  • HIPAA gilt für Patientendaten, nicht für Daten von Gesundheitsdienstleistern.
    Im Artikel heißt es, Pflegekräfte hätten offenbar medizinische Dokumente mit Diagnosen, Verschreibungen und Behandlungsinformationen in die App hochgeladen, um Abwesenheiten oder Krankmeldungen zu belegen; das könnte unter geschützte Gesundheitsinformationen fallen.
    Ob dieses Unternehmen unter HIPAA fällt, hängt davon ab, ob es eine covered entity oder ein business associate ist; der Datenschutzrichtlinie nach wirkt es unwahrscheinlich, dass eine Business Associate Agreement abgeschlossen wurde.
    Nebenbei ist HIPAA selbst auch kein ideales Sicherheitsstandardwerk; große Unternehmen verschicken massenhaft geschützte Gesundheitsinformationen über Gmail, weil Gmail als HIPAA-konform gilt.
    0: https://www.hhs.gov/hipaa/for-professionals/covered-entities...
  • HIPAA gilt nur für bestimmte Akteure, sogenannte covered entities.
    Grob gesagt sind das medizinische Leistungserbringer oder Versicherer, die Versicherungen abrechnen; medizinische Leistungserbringer, die keine Versicherungen annehmen, müssen HIPAA nicht befolgen.
    Hier scheint ESHYFT nur ein Anbieter von Arbeitskräften zu sein und daher nicht direkt mit HIPAA zu tun zu haben; das unterscheidet sich nicht wesentlich von großen Beratungsfirmen, die Personalaufstockung anbieten.
  • HIPAA hängt nicht von dürftigen AGB ab; es gilt entweder oder es gilt nicht.
    Allerdings ist der Anwendungsbereich enger als erwartet und die Strafen sind schwach. Wenn Facebook jemanden dazu bringt, Tracking-Pixel oder Ähnliches zu installieren und dadurch persönliche medizinische Daten abgreift, ist das wahrscheinlich kein Gesetzesverstoß; Ansprüche ließen sich wohl eher gegen die Seite richten, die das Leak verursacht hat.
    Auch in diesem Fall scheint es nicht leicht, den Schaden über HIPAA zu begrenzen. Es ähnelt eher dem Fall, dass ein Arzt Patientendaten auf Google Drive hochlädt und sie dann über einen Google-Subunternehmer oder durch einen Hack nach außen gelangen.
    Für den ESHYFT-Dienst sind durch HIPAA geschützte Daten weder nötig noch hilfreich; daher dürfte es schwierig sein, mit einer HIPAA-Verletzung leicht zu gewinnen, andere Schadensersatzansprüche bleiben aber weiterhin möglich.
  • Wenn es sich nicht um einen direkten medizinischen Leistungserbringer handelt, könnte ein solcher Haftungsausschluss vielleicht durchgehen. Das heißt nicht, dass ich das gutheiße.

• Wegen der Autorität, die medizinisches Personal ausstrahlt, kann das leicht verwirrend sein, aber man sollte Ärzten oder Krankenhäusern niemals die Sozialversicherungsnummer geben.
  Sie brauchen sie nicht. Eine Ausweiskontrolle bedeutet auch nicht, dass der Ausweis gescannt oder fotografiert werden muss.
  Ärzte, Krankenhäuser und Kliniken gehören in Sachen Informationssicherheit zu den schlechtesten Akteuren; es gibt kaum Schulungen, bei Fehlverhalten sind die Strafen gering, und solche Informationen dienen letztlich eher dazu, einen aufzuspüren, wenn man eine Rechnung nicht bezahlt.

  • In den USA ist HIPAA faktisch das stärkste Datenschutzrecht, daher dürfte es kaum Gruppen geben, die bei Datenlecks härter bestraft werden als medizinische Leistungserbringer.
  • Ich frage mich, was man tun soll, wenn sie ohne Sozialversicherungsnummer keinen Termin vergeben wollen.

• Ich frage mich, wie alt dieser S3-Bucket ist. Ab einem bestimmten Zeitpunkt hat AWS neue S3-Buckets standardmäßig privat angelegt.
  Dann handelt es sich wahrscheinlich entweder um einen alten Bucket, oder jemand hat ihn leichtsinnig öffentlich freigegeben, weil Datei-Uploads/-Downloads in der mobilen App oder im Dienst nicht funktionierten.

  • Ein Webentwickler könnte ihn geöffnet haben, um Assets auf der Website zu nutzen, ohne an andere sensible Daten im selben Bucket zu denken.

• Ich frage mich, warum im Titel statt des tatsächlichen Firmennamens „Uber für Pflegekräfte“ steht.

  • Dem Artikel zufolge heißt das Unternehmen ESHYFT. Klingt wie eine Elektronikmarke, die man auf AliExpress finden könnte, nur mit offenbar noch niedrigerer Qualität.
  • Es macht auf eine Weise, die der Firmenname allein nicht kann, sofort klar, dass dieses Unternehmen Murks ist.

• Letzte Woche war Firebase schuld, diesmal soll wohl AWS schuld sein?
  Sicherheitsverfahren, die man anwendet, wenn man um 3 Uhr morgens schnell etwas zusammenschustert, um es Freunden zu zeigen, dürfen nicht unverändert für ein Produkt gelten, das personenbezogene Daten hostet. Grundlegende Datensicherheit müssen die Betreiber selbst umsetzen.

  • Es stimmt, dass grundlegende Datensicherheit umgesetzt werden muss, aber die Plattform sollte dabei so weit wie möglich helfen.
    Entwickler sollten in eine Pit of Success geraten, in der sie sicher sind, wenn sie einfach den Defaults folgen.
    In diesem Fall müssten S3-Buckets standardmäßig privat und verschlüsselt sein, und Entwickler müssten das explizit abschalten. Heute kann das so sein, früher war es das aber nicht.

• Die Gesundheitsbranche ist von Anfang bis Ende kaputt, und die Tech-Firmen drumherum wirken ebenfalls inkompetent.
  Weil billige, unternehmenseigene Krankenhäuser Pflegekräfte nicht als W2-Angestellte einstellen wollen, wird Pflegearbeit uberisiert, und der Geiz der Krankenhäuser hat wahrscheinlich zur Wahl solch miserabler Apps geführt.
  Vielleicht gab es Kickbacks für den Manager, der das genehmigt hat, und ESHYFT sollte deswegen eigentlich bankrottgehen, aber wahrscheinlicher ist, dass gar nichts passiert.

  • Bankrott reicht nicht, es sollte auch strafrechtliche Fahrlässigkeit verfolgt werden.
    Solange keine Führungskraft ins Gefängnis kommt, wird so etwas weitergehen. Irgendwer hat mit diesem Geschäft vermutlich eine Menge Geld verdient, ohne in Informationssicherheit zu investieren.
    Den Preis für die eingesparten Kosten haben Menschen bezahlt, die nichts mit den Gewinnen zu tun hatten, und in ein paar Jahren halten diese Führungskräfte womöglich Vorträge darüber, wie man erfolgreiche Unternehmen aufbaut.
    Wenn solches Verhalten folgenlos bleibt, zahlt die Öffentlichkeit weiter den Preis für private Gewinne.
  • Solche Apps helfen unabhängigen Krankenhäusern und Gesundheitsdienstleistern bis zu einem gewissen Grad, sich zu behaupten.
    Große Gesundheitssysteme haben eigene Pools von Float Nurses oder interne Angebotssysteme.
    Zugang zu Systemen für Urlaubsvertretungen und offene Stellen ist auch ein Verkaufsargument, wenn man an ein großes System verkauft wird.
  • Die Sache mit den Kickbacks interessiert mich besonders. Ich halte das für plausibel, weiß aber nicht, wie man das realistisch ausrotten könnte.
    Diejenigen, die das Fehlverhalten kennen, sind genau die, die davon profitieren, daher gibt es kaum Anreiz, etwas zu ändern.

• Tut man immer noch so, als gäbe es funktionierende Regulierungsbehörden, die gegen so etwas vorgehen könnten?

  • Wenn man die Person, die am härtesten daran gearbeitet hat, so etwas aufzudecken, sofort entlässt, wird die Regierung tatsächlich effizienter.

• Ich verstehe nicht, warum sich so etwas ständig wiederholt. Gefühlt gibt es jeden Monat einen neuen Leak aus einem offenen S3-Bucket.

  • Gründe können junge Unternehmen mit unreifen Systemen sein, junge Entwickler in alten Unternehmen, die nebenbei in ihrem eigenen Bereich etwas basteln, oder schlechte Default-Einstellungen.
    Wichtiger ist aber, dass es viele Menschen mit starkem Anreiz gibt, großflächig danach zu suchen. Heute ist es sehr einfach, GitHub, IPs, Domains und das Internet allgemein zu durchsuchen, und die Erkennung „falsch konfigurierter S3-Buckets“ ist auf dem Niveau von Skripten, die jeder nutzen kann; dafür braucht man keine fortgeschrittenen Programmierkenntnisse.
  • S3 und der größte Teil von AWS sind so schrecklich designt, dass man beim Start eines neuen Projekts nach einer Access Policy sucht, die vermutlich funktioniert, und sie übernimmt.
    Diese Policy passt später womöglich nicht zur Produktionsumgebung. Das heißt nicht, dass es richtig ist, sondern dass es in der Praxis so passiert.

• Wenn die Person, die die Infrastruktur gebaut hat, das in völlig übermüdetem Zustand getan hat und morgens durch diese Nachricht wach wurde, ist das wirklich bedauerlich.