Eine öffentlich im Google Play Store herunterladbare App enthält fest einprogrammierte Zugangsdaten. Mit dem Testpasswort #audi4ringe und einem funktionierenden OTP-Bypass erhält jeder Zugang zu 87.000 Mitarbeiter-Gehaltsabrechnungen — inklusive IBAN-Daten, Krankmeldungen und Elternzeitanträgen.
Die Audi HR-App (de.audi.hrintern) enthält im dekompilierten APK-Binary einen Demo-Account mit dem Passwort #audi4ringe. Dieser Account bietet vollen Zugriff auf das HR-Backend mit 66+ API-Endpunkten:
| Datentyp | Details | DSGVO |
|---|---|---|
| Gehaltsabrechnungen | Monatliche Abrechnungen für 87.000 Mitarbeiter | Art. 6 |
| IBAN / Bankverbindungen | Vollständige Kontodaten aller Mitarbeiter | Art. 6 |
| Krankmeldungen | Diagnose-bezogene Abwesenheiten | Art. 9 |
| Elternzeitanträge | Familienplanung sichtbar | Art. 9 |
| Schichtpläne | Arbeitszeitmodelle, Überstunden | Art. 6 |
| Abwesenheitsübersichten | Urlaub, Sonderurlaub, unbezahlte Freistellung | Art. 6 |
Die Zwei-Faktor-Authentifizierung der HR-App kann über den Demo-Account vollständig umgangen werden. Der in der APK enthaltene OTP-Bypass-Mechanismus akzeptiert beliebige Codes und gewährt sofortigen Zugang — ohne SMS-Verifizierung, ohne Token-Validierung.
Die Kombination aus hartkodierten Credentials und OTP-Bypass bedeutet: Null Authentifizierungsbarrieren zwischen der öffentlichen APK und 87.000 Personaldatensätzen.
Krankmeldungen und Elternzeitanträge fallen unter Art. 9 DSGVO — besondere Kategorien personenbezogener Daten. Die Verarbeitung dieser Daten unterliegt verschärften Anforderungen. Die Exposition über hartcodierte Demo-Zugangsdaten in einer öffentlichen App stellt einen erheblichen Verstoß dar.
Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) — Audi AG Sitz: Ingolstadt, Bayern.
Statische Analyse öffentlich verfügbarer APKs aus dem Google Play Store. Kein Systemzugriff. Keine Credentials getestet. Keine Nutzerdaten extrahiert. ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.