Cyberexperten warn: Jamaika ist nicht Eigentümer der Hurrikan-Spendenplattform Support Jamaica

Cybersicherheitsexperten warnen, dass die jamaikanische Regierung nicht Eigentümer der Website Support Jamaica ist, über die Spenden für Überlebende von Hurrikan Melissa gesammelt werden. Eine Aussage des Office of Disaster Preparedness and Emergency Management (ODPEM) hat neue Fragen darüber aufgeworfen, wer die Daten der Spender kontrolliert.

Bis Februar 2026 waren über die Plattform rund 1,4 Milliarden Dollar gesammelt worden. Personen, die online spenden, werden nach ihrem Namen, ihrer E-Mail-Adresse, ihrer Telefonnummer und ihren Kartendaten gefragt. Auf der Website heißt es, sie sei von der Amber Group entwickelt und gespendet worden.

Auf die Eigentumsverhältnisse vor dem Public Accounts Committee des Parlaments angesprochen, sagte ODPEM-Generaldirektor Commander Alvin Gayle, die Website befinde sich weiterhin in den Händen eines privaten Entwicklers. Das Unternehmen entwickelte die Plattform und stellt sie als Dienstleistung bereit, einschließlich einer einjährigen kostenlosen Nutzung. Er bestätigte, dass inzwischen eine formelle Vereinbarung besteht. In der anfänglichen Eile, die Website zu entwickeln und zu starten, habe es jedoch keine solche Vereinbarung gegeben; ODPEM bestand später darauf, eine unterzeichnete Vereinbarung über die Website und ihre Funktionsweise abzuschließen.

Ein Cybersicherheitsexperte bezeichnete die Regelung als „einen klaren Verstoß gegen bewährte Verfahren“ und argumentierte, die Website „hätte der Regierung übergeben werden müssen“, da sie Teil „der nationalen Infrastruktur ist, die im Namen der Regierung Geld sammelt“. Aus Sicherheitsperspektive sei dies, so der Experte, „logisch sinnvoll“.

Ein zweiter Experte, der nach eigenen Angaben keine Kenntnis vom Vertrag mit der Amber Group hatte, sagte, beim bevorzugten Modell würden Entwickler der Regierung die Anwendung erstellen, Sicherheitstests zum Schutz der Privatsphäre durchführen, sie in der privaten Cloud oder auf internen Systemen der Regierung hosten und sie erst danach öffentlich zugänglich machen. Bei diesem Ansatz würden dem Experten zufolge „die gesamte Sicherheit, sämtliche Daten und alle Hosting-Vereinbarungen der Regierung gehören und von ihr verwaltet werden“.

Commander Gayle erklärte dem Ausschuss, dass gemäß der Datenschutzerklärung sowohl der Entwickler als auch ODPEM auf die Daten zugreifen können. Die Datenschutzvereinbarung lege fest, wie die Informationen gelöscht werden müssen, sobald die Plattform nicht mehr genutzt wird. Dabei werde zugesichert, dass der Entwickler anschließend nicht mehr darauf zugreifen könne. Es erfolgt jedoch keine automatische Benachrichtigung, wenn der Entwickler die Daten einsieht. Er fügte hinzu, dass ein bevollmächtigter ODPEM-Mitarbeiter die Website überprüfen können sollte, um festzustellen, wer bestimmte Datensätze eingesehen hat.