Corona-Kontaktlisten: Cloud-Software mit schweren Sicherheitslücken

(2 Bewertungen, 3.00 von 5)

Als Mitglieder des Chaos Computer Club (CCC) ein Restaurant besuchen, sollen sie sich in eine digitale Corona-Kontaktliste eintragen. Um zu überprüfen, wie sicher die dabei verwendete Cloud-Software Gastronovi die Kundendaten aufbewahrt, testete der CCC diese auf Sicherheitslücken. Das Ergebnis: Sie fanden gravierende Schwachstellen. Welche Daten konnten die Hacker einsehen? Und wie hat der Software-Anbieter auf die Sicherheitslücken reagiert?

Wie konnte der CCC auf die Daten zugreifen?

Der CCC fand heraus: Die Web-App von Gastronovi prüfte die Zugriffsrechte der Benutzer im System nicht effektiv. Auf diese Weise konnten sich die Hacker vollen Administrator-Zugriff auf die App verschaffen. Das heißt: Sie konnten alle in dem System gespeicherten Daten einsehen und kopieren.
Zudem war die API, mit der die Restaurants mit dem System interagieren, fehlerhaft programmiert. So konnten Restaurantbetreiber auf die Daten von anderen Gastronomen zugreifen. Und: Die API der Web-App war so offen, dass unangemeldete User auf der ganzen Welt die Speisekarten aller eingetragenen Restaurants einsehen konnten. Sie konnten Bestellungen auslösen und stornieren.

Diese Daten konnte der CCC einsehen

Der CCC konnte 87.000 Corona-Daten, 4,8 Millionen Personen-Datensätze und 5,4 Millionen gespeicherte Reservierungen einsehen. Insgesamt waren 180 Restaurants betroffen. Unter den Daten waren auch Passwort-Hashes und bei älteren Userkonten Klartext-Passwörter. Der CCC konnte Daten einsehen, die bis zu 10 Jahre alt waren. Damit könnte die Löschfrist der Datenschutz-Grundverordnung (DSGVO) nicht eingehalten worden sein.

So reagierte der Cloud-Betreiber auf die Sicherheitslücken

Der Software-Anbieter Gastronovi gab an, sich als Auftragsverarbeiter zu sehen. Er sei daher nicht dafür verantwortlich, die Daten in dem System zu löschen. Dem müssten die Restaurants selbst nachkommen.

Gastronovi reagierte schnell auf die Schwachstellen. Es hat die Sicherheitslücken beseitigt. Auf Anraten des CCC ließ der Anbieter zudem einen professionellen Sicherheitscheck der Software durch Experten vornehmen. Gastronovi erklärte, dass es keinen unautorisierten Zugriff auf die Daten gab.

Fazit

Ulrich Kelber, Bundesbeauftragter für Datenschutz, kritisierte, dass in der Datenbank Informationen lagen, die längst hätten gelöscht sein müssen. Viele Betriebe würden sich für die Aufbewahrungsfristen nicht interessieren. Sie hätten keine Löschkonzepte und würden sich nicht um die Daten kümmern. Kelber hofft, dass hohe Bußgelder hier eine abschreckende Wirkung haben können.

Anzeige

Diese Beiträge könnten Sie ebenfalls interessieren:
Weiterlesen...
Sky: Diese Strafen haben die Pay-TV-Hacker bekommen
Weiterlesen...
Cybercrime: Betrugsmasche mit Video-Ident-Verfahren
Weiterlesen...
Angriffswelle auf Fritzbox-Nutzer
Weiterlesen...
IT-Security: Hackerangriff auf Save.TV und UseNeXT
Weiterlesen...
Passwort-Klau: Riesige Datensammlung in Hackerforum veröffentlicht
Weiterlesen...
Achtung Datenleck: So prüfen Sie, ob Sie betroffen sind
Weiterlesen...
Verpackungsregister: IHK warnt vor falschen Rechnungen
Weiterlesen...
WordPress: Hacker greifen 900.000 Seiten an
Weiterlesen...
Emotet: Deutsche Ermittler machen gefürchtete Malware unschädlich
Weiterlesen...
Cyber-Angriffe: Jeder dritte Betrieb in Deutschland betroffen
Anzeige DSGVO

Der eRecht24 Newsletter

Immer bestens informiert

Bleiben Sie mit unseren regelmäßigen und kostenlosen Updates zum Internetrecht auf dem neuesten Stand. Infos, Urteile, Checklisten, Sonderangebote.

Hinweis: Sie können den Newsletter von eRecht24  jederzeit und kostenfrei abbestellen. Ihre Daten werden nur zum Versand des Newsletters genutzt. Wir geben Ihre Daten nicht weiter. Mehr Informationen zum Umgang mit Nutzer-Daten finden Sie in unserer Datenschutz-Erklärung.

loading...
Jetzt Premium-Mitglied werden

Ab Heute gestalten Sie Ihre Website ohne Angst vor Abmahnwellen und ohne teuren Anwalt abmahnsicher.

Alle Videos, Live-Webinare, E-Books, Tools und zahlreiche Rabatte.

Jetzt Mitglied werden

Mehr Informationen zu eRecht24 Premium

Impressum-Generator

Keine Chance für Abmahner

Erstellen Sie kostenlos ein rechtssicheres Impressum für Ihre Website.

Jetzt Kostenlos Impressum generieren

Rechtsberatung vom Anwalt

Haben Sie ein konkretes rechtliches Problem? Dann wenden Sie sich bitte einen Anwalt. Auf unseren Seiten finden Sie zahlreiche allgemeine Informationen zum Internetrecht. Fundierte Rechtsberatung im Einzelfall kann allerdings nur ein spezialisierter Rechtsanwalt leisten.

SSL-Zertifikate

Steigern Sie das Vertrauen Ihrer Kunden. Für Betreiber von Onlineshops und kommerziellen Webseiten unabdingbar:

SSL-Verschlüsselung, SSL-Zertifikate und Trust-Logos

IT-Recht endlich verständlich

Autor Sören SiebertSören Siebert ist Rechtsanwalt mit Kanzleien in Berlin und Potsdam.

Er berät Unternehmer, Shops und Seitenbetreiber in allen Fragen des Rechts der neuen Medien.
www.kanzlei-siebert.de

Als Betreiber von eRecht24 ist er seit mehr als 15 Jahren auch als Internet-Unternehmer tätig. Deshalb finden Sie auf eRecht24 Tipps und Tricks eines spezialisierten Rechtsanwalts, aber verständlich und praxisnah erklärt.

SSL-Zertifikate, Code-Signing, S/MIMESuchmaschienoptimierung & OnlinemarketingRechtliche OnlineShop-Prüfung
Anzeige
eRecht24 - Unsere praktischen Tools und hilfreichen Tutorials

mitgliederbereich teaser

Exklusiv für unsere Mitglieder

Alles was Webseitenbetreiber, Agenturen und Selbständige wirklich brauchen: Tools, Wissen, Musterverträge, Erstberatung und Live-Webinare.

Mehr Informationen

dsgvo teaser

DSGVO Schnellstarter-Paket

Das Datenschutzrecht hat sich 2018 vollständig geändert. Haben Sie die DSGVO umgesetzt? Sichern Sie jetzt Ihre Webseite ab.

Jetzt absichern

webinar teaser

Online Schulung mit RA Siebert

Die 7 häufigsten Abmahnfallen auf Webseiten und wie Sie diese einfach und ohne teuren Anwalt vermeiden. So haben Abmahner keine Chance!

Mehr Details