Corona-Kontaktlisten: Cloud-Software mit schweren Sicherheitslücken

(2 Bewertungen, 3.00 von 5)

Worum geht's?

Als Mitglieder des Chaos Computer Club (CCC) ein Restaurant besuchen, sollen sie sich in eine digitale Corona-Kontaktliste eintragen. Um zu überprüfen, wie sicher die dabei verwendete Cloud-Software Gastronovi die Kundendaten aufbewahrt, testete der CCC diese auf Sicherheitslücken. Das Ergebnis: Sie fanden gravierende Schwachstellen. Welche Daten konnten die Hacker einsehen? Und wie hat der Software-Anbieter auf die Sicherheitslücken reagiert?

Wie konnte der CCC auf die Daten zugreifen?

Der CCC fand heraus: Die Web-App von Gastronovi prüfte die Zugriffsrechte der Benutzer im System nicht effektiv. Auf diese Weise konnten sich die Hacker vollen Administrator-Zugriff auf die App verschaffen. Das heißt: Sie konnten alle in dem System gespeicherten Daten einsehen und kopieren.
Zudem war die API, mit der die Restaurants mit dem System interagieren, fehlerhaft programmiert. So konnten Restaurantbetreiber auf die Daten von anderen Gastronomen zugreifen. Und: Die API der Web-App war so offen, dass unangemeldete User auf der ganzen Welt die Speisekarten aller eingetragenen Restaurants einsehen konnten. Sie konnten Bestellungen auslösen und stornieren.

Diese Daten konnte der CCC einsehen

Der CCC konnte 87.000 Corona-Daten, 4,8 Millionen Personen-Datensätze und 5,4 Millionen gespeicherte Reservierungen einsehen. Insgesamt waren 180 Restaurants betroffen. Unter den Daten waren auch Passwort-Hashes und bei älteren Userkonten Klartext-Passwörter. Der CCC konnte Daten einsehen, die bis zu 10 Jahre alt waren. Damit könnte die Löschfrist der Datenschutz-Grundverordnung (DSGVO) nicht eingehalten worden sein.

So reagierte der Cloud-Betreiber auf die Sicherheitslücken

Der Software-Anbieter Gastronovi gab an, sich als Auftragsverarbeiter zu sehen. Er sei daher nicht dafür verantwortlich, die Daten in dem System zu löschen. Dem müssten die Restaurants selbst nachkommen.

Gastronovi reagierte schnell auf die Schwachstellen. Es hat die Sicherheitslücken beseitigt. Auf Anraten des CCC ließ der Anbieter zudem einen professionellen Sicherheitscheck der Software durch Experten vornehmen. Gastronovi erklärte, dass es keinen unautorisierten Zugriff auf die Daten gab.

Fazit

Ulrich Kelber, Bundesbeauftragter für Datenschutz, kritisierte, dass in der Datenbank Informationen lagen, die längst hätten gelöscht sein müssen. Viele Betriebe würden sich für die Aufbewahrungsfristen nicht interessieren. Sie hätten keine Löschkonzepte und würden sich nicht um die Daten kümmern. Kelber hofft, dass hohe Bußgelder hier eine abschreckende Wirkung haben können.

Anzeige

Diese Beiträge könnten Sie ebenfalls interessieren:
Weiterlesen...
Achtung Datenleck: So prüfen Sie, ob Sie betroffen sind
Weiterlesen...
Passwort-Klau: Riesige Datensammlung in Hackerforum veröffentlicht
Weiterlesen...
Emotet: Deutsche Ermittler machen gefürchtete Malware unschädlich
Weiterlesen...
Cyber-Angriffe: Jeder dritte Betrieb in Deutschland betroffen
Weiterlesen...
Cybercrime: Betrugsmasche mit Video-Ident-Verfahren
Weiterlesen...
Angriffswelle auf Fritzbox-Nutzer
Weiterlesen...
Sky: Diese Strafen haben die Pay-TV-Hacker bekommen
Weiterlesen...
Sicherheitslücke bei Apple: BSI warnt vor Hackerangriff
Weiterlesen...
IT-Security: Hackerangriff auf Save.TV und UseNeXT
Weiterlesen...
Verpackungsregister: IHK warnt vor falschen Rechnungen
eRecht24 - Unsere praktischen Tools und hilfreichen Tutorials

mitgliederbereich teaser

Exklusiv für unsere Mitglieder

Alles was Webseitenbetreiber, Agenturen und Selbständige wirklich brauchen: Tools, Wissen, Musterverträge, Erstberatung und Live-Webinare.

Mehr Informationen

dsgvo teaser

Jetzt eRecht24 Premium Affiliate werden

Als eRecht24 Premium Affiliate Partner empfehlen Sie eine Lösung, mit der bereits mehr als 370.000 Webseiten erfolgreich rechtlich abgesichert wurden und erhalten dafür eine 25% Lifetime Provision!

Jetzt Affiliate werden

webinar teaser

Online Schulung mit RA Siebert

Die 7 häufigsten Abmahnfallen auf Webseiten und wie Sie diese einfach und ohne teuren Anwalt vermeiden. So haben Abmahner keine Chance!

Mehr Details
Support