120+ HR-API-Endpunkte. Gehaltsabrechnungen, Schichtpläne, Abwesenheiten, Krankmeldungen. Nicht nur Bosch-Mitarbeiter — sondern Beschäftigte von über 500 Unternehmen, die dieselbe Plattform nutzen. Zugänglich über hartcodierte Credentials in einer öffentlichen App.
| Kategorie | Betroffene Daten | DSGVO |
|---|---|---|
| Vergütung | Gehaltsabrechnungen, Boni, Sonderzahlungen | Art. 6 |
| Arbeitszeit | Schichtpläne, Überstunden, Zeitkonten | Art. 6 |
| Abwesenheit | Krankmeldungen, Elternzeit, Urlaub | Art. 9 |
| Stammdaten | Name, Personalnummer, Abteilung, Standort | Art. 6 |
| Bankdaten | IBAN für Gehaltsüberweisung | Art. 6 |
Krankmeldungen und Abwesenheitsgründe fallen unter Art. 9 DSGVO — besondere Kategorien personenbezogener Daten (Gesundheitsdaten). Die Verarbeitung dieser Daten unterliegt strengsten Schutzanforderungen.
Die Exposition dieser Daten über hartcodierte Credentials in einer öffentlich verfügbaren App stellt einen schwerwiegenden Verstoß gegen die DSGVO dar — nicht nur für Bosch, sondern für jeden der 500+ Plattformkunden.
Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) wurde informiert.
Die HR-API-Endpunkte waren über hartcodierte OAuth-Credentials erreichbar, die im Klartext in der Android-APK enthalten waren. Die Credentials gewährten Zugang zu:
Kein Hacking erforderlich. Die APK ist öffentlich im Google Play Store verfügbar. Jeder mit einem Decompiler kann die Credentials extrahieren.