Corona-Kontaktlisten: Cloud-Software mit schweren Sicherheitslücken

(2 Bewertungen, 3.00 von 5)

Als Mitglieder des Chaos Computer Club (CCC) ein Restaurant besuchen, sollen sie sich in eine digitale Corona-Kontaktliste eintragen. Um zu überprüfen, wie sicher die dabei verwendete Cloud-Software Gastronovi die Kundendaten aufbewahrt, testete der CCC diese auf Sicherheitslücken. Das Ergebnis: Sie fanden gravierende Schwachstellen. Welche Daten konnten die Hacker einsehen? Und wie hat der Software-Anbieter auf die Sicherheitslücken reagiert?

Wie konnte der CCC auf die Daten zugreifen?

Der CCC fand heraus: Die Web-App von Gastronovi prüfte die Zugriffsrechte der Benutzer im System nicht effektiv. Auf diese Weise konnten sich die Hacker vollen Administrator-Zugriff auf die App verschaffen. Das heißt: Sie konnten alle in dem System gespeicherten Daten einsehen und kopieren.
Zudem war die API, mit der die Restaurants mit dem System interagieren, fehlerhaft programmiert. So konnten Restaurantbetreiber auf die Daten von anderen Gastronomen zugreifen. Und: Die API der Web-App war so offen, dass unangemeldete User auf der ganzen Welt die Speisekarten aller eingetragenen Restaurants einsehen konnten. Sie konnten Bestellungen auslösen und stornieren.

Diese Daten konnte der CCC einsehen

Der CCC konnte 87.000 Corona-Daten, 4,8 Millionen Personen-Datensätze und 5,4 Millionen gespeicherte Reservierungen einsehen. Insgesamt waren 180 Restaurants betroffen. Unter den Daten waren auch Passwort-Hashes und bei älteren Userkonten Klartext-Passwörter. Der CCC konnte Daten einsehen, die bis zu 10 Jahre alt waren. Damit könnte die Löschfrist der Datenschutz-Grundverordnung (DSGVO) nicht eingehalten worden sein.

So reagierte der Cloud-Betreiber auf die Sicherheitslücken

Der Software-Anbieter Gastronovi gab an, sich als Auftragsverarbeiter zu sehen. Er sei daher nicht dafür verantwortlich, die Daten in dem System zu löschen. Dem müssten die Restaurants selbst nachkommen.

Gastronovi reagierte schnell auf die Schwachstellen. Es hat die Sicherheitslücken beseitigt. Auf Anraten des CCC ließ der Anbieter zudem einen professionellen Sicherheitscheck der Software durch Experten vornehmen. Gastronovi erklärte, dass es keinen unautorisierten Zugriff auf die Daten gab.

Fazit

Ulrich Kelber, Bundesbeauftragter für Datenschutz, kritisierte, dass in der Datenbank Informationen lagen, die längst hätten gelöscht sein müssen. Viele Betriebe würden sich für die Aufbewahrungsfristen nicht interessieren. Sie hätten keine Löschkonzepte und würden sich nicht um die Daten kümmern. Kelber hofft, dass hohe Bußgelder hier eine abschreckende Wirkung haben können.

Anzeige
Sagen Sie uns Ihre Meinung zum Thema.
Captcha Aktualisieren
Diese Beiträge könnten Sie ebenfalls interessieren:
Weiterlesen...
Lösegeld verweigert: Hacker veröffentlichen Kundendaten von Energieversorger Rund 100.000 Haushalte in ganz Deutschland könnten in diesen Tagen Mails von Cyber-Erpressern erhalten. Wie die Technischen Werke Ludwigshafen TWL mitteilten, i...
Weiterlesen...
Verpackungsregister: IHK warnt vor falschen Rechnungen Das Verpackungsregister LUCID verunsichert nach wie vor viele Hersteller und Händler. Sie wissen nicht, wann sie sich im Register anmelden müssen und ob sie das...
Weiterlesen...
Cybercrime: Betrugsmasche mit Video-Ident-Verfahren Die ahnungslosen Verbraucher wollten eigentlich nur ein paar Euro dazuverdienen, indem sie sich als Tester für Apps und Computerprogramme zur Verfügung stellten...
Weiterlesen...
Betrug: BaFin warnt vor Fake-Mails In der Regel verschicken Kriminelle Fake-Mails im Namen bekannter Unternehmen, um an das Geld von Verbrauchern zu kommen. Dabei erhalten User vor allem immer wi...
Weiterlesen...
Cyberattacke: Verwaltung in Potsdam lahmgelegt Die Verwaltung der Stadt Potsdam ist offenbar Opfer eines Cyberangriffs geworden. Auffälligkeiten im IT-Verwaltungssystem legen den Verdacht nahe – und haben da...
Anzeige DSGVO

Der eRecht24 Newsletter

Immer bestens informiert

Bleiben Sie mit unseren regelmäßigen und kostenlosen Updates zum Internetrecht auf dem neuesten Stand. Infos, Urteile, Checklisten, Sonderangebote.

Hinweis: Sie können den Newsletter von eRecht24  jederzeit und kostenfrei abbestellen. Ihre Daten werden nur zum Versand des Newsletters genutzt. Wir geben Ihre Daten nicht weiter. Mehr Informationen zum Umgang mit Nutzer-Daten finden Sie in unserer Datenschutz-Erklärung.

loading...
Jetzt Premium-Mitglied werden

Ab Heute gestalten Sie Ihre Website ohne Angst vor Abmahnwellen und ohne teuren Anwalt abmahnsicher.

Alle Videos, Live-Webinare, E-Books, Tools und zahlreiche Rabatte.

Jetzt Mitglied werden

Mehr Informationen zu eRecht24 Premium

Impressum-Generator

Keine Chance für Abmahner

Erstellen Sie kostenlos ein rechtssicheres Impressum für Ihre Website.

Jetzt Kostenlos Impressum generieren

Rechtsberatung vom Anwalt

Haben Sie ein konkretes rechtliches Problem? Dann wenden Sie sich bitte einen Anwalt. Auf unseren Seiten finden Sie zahlreiche allgemeine Informationen zum Internetrecht. Fundierte Rechtsberatung im Einzelfall kann allerdings nur ein spezialisierter Rechtsanwalt leisten.

SSL-Zertifikate

Steigern Sie das Vertrauen Ihrer Kunden. Für Betreiber von Onlineshops und kommerziellen Webseiten unabdingbar:

SSL-Verschlüsselung, SSL-Zertifikate und Trust-Logos

Rechnungen online erstellen

Erstellen Sie Ihre Rechnungen gemäß den Anforderungen des Finanzamts doch einfach online!

Mit easybill bequem ordnungsgemäße Rechnungen schreiben inkl. digitaler Signatur und Datenexport zum Steuerberater. Anforderungen an korrekte Rechnungen mit Mustern und Beispielen.

IT-Recht endlich verständlich

Autor Sören SiebertSören Siebert ist Rechtsanwalt mit Kanzleien in Berlin und Potsdam.

Er berät Unternehmer, Shops und Seitenbetreiber in allen Fragen des Rechts der neuen Medien.
www.kanzlei-siebert.de

Als Betreiber von eRecht24 ist er seit mehr als 15 Jahren auch als Internet-Unternehmer tätig. Deshalb finden Sie auf eRecht24 Tipps und Tricks eines spezialisierten Rechtsanwalts, aber verständlich und praxisnah erklärt.

SSL-Zertifikate, Code-Signing, S/MIMESuchmaschienoptimierung & OnlinemarketingRechtliche OnlineShop-Prüfung
Anzeige
eRecht24 - Unsere praktischen Tools und hilfreichen Tutorials

mitgliederbereich teaser

Exklusiv für unsere Mitglieder

Alles was Webseitenbetreiber, Agenturen und Selbständige wirklich brauchen: Videos und E-Books, Musterverträge und Erstberatung, Tools und Live-Webinare.

Mehr Informationen

dsgvo teaser

DSGVO Schnellstarter-Paket

Das Datenschutzrecht ändert sich ab Mai 2018 vollständig. Sind Sie bereit für die DSGVO? Mit unserem Schnellstarter-Paket sichern Sie Ihre Webseite ab.

Jetzt absichern

webinar teaser

Online Schulung mit Rechtsanwalt Siebert

Die 7 häufigsten Abmahnfallen auf Webseiten und wie Sie diese schnell, einfach und ohne teuren Anwalt vermeiden. So haben Abmahner bei Ihnen keine Chance!

Mehr Details
Support