Corona-Kontaktlisten: Cloud-Software mit schweren Sicherheitslücken

(1 Bewertung, 5.00 von 5)

Als Mitglieder des Chaos Computer Club (CCC) ein Restaurant besuchen, sollen sie sich in eine digitale Corona-Kontaktliste eintragen. Um zu überprüfen, wie sicher die dabei verwendete Cloud-Software Gastronovi die Kundendaten aufbewahrt, testete der CCC diese auf Sicherheitslücken. Das Ergebnis: Sie fanden gravierende Schwachstellen. Welche Daten konnten die Hacker einsehen? Und wie hat der Software-Anbieter auf die Sicherheitslücken reagiert?

Wie konnte der CCC auf die Daten zugreifen?

Der CCC fand heraus: Die Web-App von Gastronovi prüfte die Zugriffsrechte der Benutzer im System nicht effektiv. Auf diese Weise konnten sich die Hacker vollen Administrator-Zugriff auf die App verschaffen. Das heißt: Sie konnten alle in dem System gespeicherten Daten einsehen und kopieren.
Zudem war die API, mit der die Restaurants mit dem System interagieren, fehlerhaft programmiert. So konnten Restaurantbetreiber auf die Daten von anderen Gastronomen zugreifen. Und: Die API der Web-App war so offen, dass unangemeldete User auf der ganzen Welt die Speisekarten aller eingetragenen Restaurants einsehen konnten. Sie konnten Bestellungen auslösen und stornieren.

Diese Daten konnte der CCC einsehen

Der CCC konnte 87.000 Corona-Daten, 4,8 Millionen Personen-Datensätze und 5,4 Millionen gespeicherte Reservierungen einsehen. Insgesamt waren 180 Restaurants betroffen. Unter den Daten waren auch Passwort-Hashes und bei älteren Userkonten Klartext-Passwörter. Der CCC konnte Daten einsehen, die bis zu 10 Jahre alt waren. Damit könnte die Löschfrist der Datenschutz-Grundverordnung (DSGVO) nicht eingehalten worden sein.

So reagierte der Cloud-Betreiber auf die Sicherheitslücken

Der Software-Anbieter Gastronovi gab an, sich als Auftragsverarbeiter zu sehen. Er sei daher nicht dafür verantwortlich, die Daten in dem System zu löschen. Dem müssten die Restaurants selbst nachkommen.

Gastronovi reagierte schnell auf die Schwachstellen. Es hat die Sicherheitslücken beseitigt. Auf Anraten des CCC ließ der Anbieter zudem einen professionellen Sicherheitscheck der Software durch Experten vornehmen. Gastronovi erklärte, dass es keinen unautorisierten Zugriff auf die Daten gab.

Fazit

Ulrich Kelber, Bundesbeauftragter für Datenschutz, kritisierte, dass in der Datenbank Informationen lagen, die längst hätten gelöscht sein müssen. Viele Betriebe würden sich für die Aufbewahrungsfristen nicht interessieren. Sie hätten keine Löschkonzepte und würden sich nicht um die Daten kümmern. Kelber hofft, dass hohe Bußgelder hier eine abschreckende Wirkung haben können.

Anzeige
Sagen Sie uns Ihre Meinung zum Thema.
Captcha Aktualisieren
Diese Beiträge könnten Sie ebenfalls interessieren:
Weiterlesen...
Cyber-Angriffe: Jeder dritte Betrieb in Deutschland betroffen Es ist der Bereich der Wirtschaftskriminalität, den Unternehmer derzeit am meisten fürchten. Kein Wunder: In einer repräsentativen Untersuchung des Wirtschaftsp...
Weiterlesen...
Mangelhaft: Fast alle Router fallen bei Sicherheitstest durch 127 sogenannte Home-Router hat das renommierte Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie FKIE auf Schwachstellen untersucht....
Weiterlesen...
Google AdSense: Erpressermasche fordert 5.000 Dollar Erpressermaschen sind derzeit vor allem in Verbindung mit dem Trojaner-Virus Emotet bekannt. Dabei verschlüsseln Angreifer Dateien eines Systems und fordern ein...
Weiterlesen...
NetzDG: Internetdienste sollen Passwörter herausgeben müssen Reine Sicherheitsmaßnahme oder tatsächliche Gefährdung der IT-Sicherheit? Die Bundesregierung möchte künftig den Zugriff auf Nutzerdaten bei Internetdiensten ei...
Weiterlesen...
Datenschutz: Schul-Cloud gehackt Zahlreiche Schulen in Deutschland nutzen eine Cloud des Hasso-Plattner-Instituts (HPI). Sie wird vom Bundesbildungsministerium finanziell gefördert. Aktuell ver...
Anzeige DSGVO

Der eRecht24 Newsletter

Immer bestens informiert

Bleiben Sie mit unseren regelmäßigen und kostenlosen Updates zum Internetrecht auf dem neuesten Stand. Infos, Urteile, Checklisten, Sonderangebote.

Hinweis: Sie können den Newsletter von eRecht24  jederzeit und kostenfrei abbestellen. Ihre Daten werden nur zum Versand des Newsletters genutzt. Wir geben Ihre Daten nicht weiter. Mehr Informationen zum Umgang mit Nutzer-Daten finden Sie in unserer Datenschutz-Erklärung.

loading...
Jetzt Premium-Mitglied werden

Ab Heute gestalten Sie Ihre Website ohne Angst vor Abmahnwellen und ohne teuren Anwalt abmahnsicher.

Alle Videos, Live-Webinare, E-Books, Tools und zahlreiche Rabatte.

Jetzt Mitglied werden

Mehr Informationen zu eRecht24 Premium

Impressum-Generator

Keine Chance für Abmahner

Erstellen Sie kostenlos ein rechtssicheres Impressum für Ihre Website.

Jetzt Kostenlos Impressum generieren

Rechtsberatung vom Anwalt

Haben Sie ein konkretes rechtliches Problem? Dann wenden Sie sich bitte einen Anwalt. Auf unseren Seiten finden Sie zahlreiche allgemeine Informationen zum Internetrecht. Fundierte Rechtsberatung im Einzelfall kann allerdings nur ein spezialisierter Rechtsanwalt leisten.

Inhalte kostenlos übernehmen

Der eRecht24 Newsticker

kostenfreie aktuelle Inhalte zum Internetrecht

Individuell für Ihre Website angepasst!

 

SSL-Zertifikate

Steigern Sie das Vertrauen Ihrer Kunden. Für Betreiber von Onlineshops und kommerziellen Webseiten unabdingbar:

SSL-Verschlüsselung, SSL-Zertifikate und Trust-Logos

Rechnungen online erstellen

Erstellen Sie Ihre Rechnungen gemäß den Anforderungen des Finanzamts doch einfach online!

Mit easybill bequem ordnungsgemäße Rechnungen schreiben inkl. digitaler Signatur und Datenexport zum Steuerberater. Anforderungen an korrekte Rechnungen mit Mustern und Beispielen.

IT-Recht endlich verständlich

Autor Sören SiebertSören Siebert ist Rechtsanwalt mit Kanzleien in Berlin und Potsdam.

Er berät Unternehmer, Shops und Seitenbetreiber in allen Fragen des Rechts der neuen Medien.
www.kanzlei-siebert.de

Als Betreiber von eRecht24 ist er seit mehr als 15 Jahren auch als Internet-Unternehmer tätig. Deshalb finden Sie auf eRecht24 Tipps und Tricks eines spezialisierten Rechtsanwalts, aber verständlich und praxisnah erklärt.

SSL-Zertifikate, Code-Signing, S/MIMESuchmaschienoptimierung & OnlinemarketingDatenschutzRechtliche OnlineShop-Prüfung
Anzeige
eRecht24 - Unsere praktischen Tools und hilfreichen Tutorials

mitgliederbereich teaser

Exklusiv für unsere Mitglieder

Alles was Webseitenbetreiber, Agenturen und Selbständige wirklich brauchen: Videos und E-Books, Musterverträge und Erstberatung, Tools und Live-Webinare.

Mehr Informationen

dsgvo teaser

DSGVO Schnellstarter-Paket

Das Datenschutzrecht ändert sich ab Mai 2018 vollständig. Sind Sie bereit für die DSGVO? Mit unserem Schnellstarter-Paket sichern Sie Ihre Webseite ab.

Jetzt absichern

webinar teaser

Online Schulung mit Rechtsanwalt Siebert

Die 7 häufigsten Abmahnfallen auf Webseiten und wie Sie diese schnell, einfach und ohne teuren Anwalt vermeiden. So haben Abmahner bei Ihnen keine Chance!

Mehr Details
Support