Kundendaten: Datenleck bei der Deutschen Post

Read the English version of this article here.

Die Deutsche Post betreibt ein Portal, auf dem Menschen nach einem Umzug ihre neue Adresse hinterlassen können: umziehen.de lautet die Adresse der Website. Mittels einer sogenannten Umzugsmitteilung informiert die Post dann automatisch diverse Dienstleister wie Banken oder Versicherungen über die neue Adresse. Fraglos ein nützlicher Service. Bei der Sicherheit ihres Portals schlampte die Post jedoch gewaltig. Aufgrund eines simplen Fehlers waren die Adressdaten von etwa 200.000 Kunden problemlos im Internet abrufbar.

Die Post bestätigt auf Anfrage den Vorfall: “Im Rahmen eines Sicherheitsupdates unseres Umzugsportals umziehen.de ist eine Kopie der Datenbankeinträge erstellt worden, die im Anschluss des Updates entgegen unserer Sicherheitsstandards aufgrund menschlichen Versagens nicht gelöscht wurde und anschließend für Nutzer mit Expertenwissen zugänglich war.”

Tatsächlich war wirkliches Expertenwissen nicht nötig. Die Datenbank ließ sich einfach herunterladen. Dafür musste man nur ihren Dateinamen kennen, er lautete “dump.sql”.

Abgeschrieben aus der MySQL-Dokumentation

Warum dieser Dateiname verwendet wird, ist leicht zu erklären: In der Dokumentation der weit verbreiteten Datenbanksoftware MySQL wird er in einem Beispiel verwendet. Bei der Post hat jemand genau nach diesem Beispiel eine Kopie der Datenbank angelegt und offenbar versehentlich direkt auf dem Webserver abgelegt. Herunterladen konnte man sie einfach, indem man die Webadresse https://www.umziehen.de/dump.sql aufrief.

Die Post hat die Datenbankkopie nach einem entsprechenden Hinweis von mir schnell entfernt. Doch das Problem betrifft auch viele andere Websites. Durch schlichtes Ausprobieren von typischen Dateinamen konnte ich nicht nur auf die Datenbank der Post, sondern auf mehr als 2.000 weitere Datenbanken zugreifen. Soweit möglich, habe ich versucht, die Webhoster der entsprechenden Seiten zu informieren.

Offen im Netz: Wer bestellte welche Medikamente?

Einen besonders großen Datensatz hatte Pharmacy Online Australia auf seinem Server liegen. In der Datenbank der australischen Onlineapotheke fanden sich nicht nur 600.000 Kundenadressen, sondern auch Details über Bestellungen von Medikamenten. Extrem sensible Daten, die auf keinen Fall in falsche Hände geraten sollten.

Weitere große Datenbanken entdeckte ich bei Beckertime, einem Verkäufer von Rolex-Uhren, bei einem US-Spielwarenhändler, beim deutschen Elektronik-Versandhandel IT-Market sowie bei revell-shop.de, einem Versandhandel für Modellbau (der aber nicht von der Revell GmbH betrieben wird). Kundenadressen und teilweise auch Kontodaten von Hunderttausenden Menschen hätte jeder abrufen können, der nach Dateien mit dem Namen dump.sql sucht. Inzwischen haben die Firmen reagiert und die Datenbankkopien abgesichert.

Hanno Böck Journalist mit Schwerpunkt IT-Sicherheit

zur Autorenseite

Es ist davon auszugehen, dass die Datenbanken in vielen Fällen zuvor von jemand anderem heruntergeladen wurden. Dafür spricht zumindest meine Erfahrung. Zur Erklärung: Auf Webservern werden üblicherweise alle Zugriffsversuche zumindest für einige Tage in Logdateien gespeichert. Jeder, der selbst eine Webseite betreibt, kann so feststellen, ob es entsprechende Versuche mit nicht öffentlichen Dateinamen gab. Eine Suche in meinen eigenen Serverlogs ergab, dass in der Vergangenheit immer mal wieder jemand nach entsprechenden Dateien gesucht hat. Ob es sich dabei um IT-Sicherheitsforscher oder Kriminelle handelte, ist schwer zu sagen.

Die Deutsche Post hat bereits damit begonnen, die betroffenen Kunden über den Vorfall informieren. In der Mitteilung heißt es: “Jemandem mit entsprechender Fachkenntnis wäre es für kurze Zeit möglich gewesen, Kenntnis von Ihren Angaben (Name, alte und neue Adresse, Umzugsdatum, E-Mail-Adresse) zu erlangen. Der Fehler wurde innerhalb weniger Minuten nach Bekanntwerden behoben. Wir können nicht ausschließen, dass in dieser Zeit unbefugt Einblick in Ihre Daten genommen wurde.”

Auch revell-shop.de teilte mit, umgehend alle Kunden informieren zu wollen. Der Sprecher des Versandhändlers IT-Market hingegen sagte, er gehe anhand seiner Logdateien davon aus, dass es keine anderen Versuche gegeben hat, die Datenbank herunterzuladen: “Wir sehen aus diesem Grund davon ab, unsere Kunden zu informieren.”

Der Spielwarenhändler aus den USA hat auch nach mehreren Tagen meine Anfragen nicht beantwortet und die Datenbank bisher auch nicht entfernt. Die anderen Firmen haben bislang keine Stellungnahme abgegeben.

Empfohlene Website Besuchen Sie Ihre URL

  • Stromversorgung: Betreiber von Atomkraftwerk wurde gehackt

    Inhalt Seite 1 ? Betreiber von Atomkraftwerk wurde gehackt Seite 2 ? Malware in Kraftwerken ist keine Seltenheit mehr Auf einer Seite lesen Die Betreiber mehrerer Kraftwerke in den USA sind in den vergangenen Monaten gehackt worden. Unter ihnen ist laut Bloomberg auch die Wolf Creek Nuclear Operating Corporation, die in Kansas ein Atomkraftwerk betreibt. […]

  • heise-Angebot: IT-Jobtag 2017 in München und Karlsruhe

    Die Tour der IT-Jobtage geht weiter. Im Juni kommen Bewerber und Arbeitgeber in München und in Karlsruhe zusammen. Am 22. Juni in München und am 27. Juni in Karlsruhe präsentieren sich Arbeitgeber mit ihren aktuellen Stellenangeboten, Aus- und Weiterbildungsplätzen. Dazu kommen berufsbegleitende Studiengänge aus dem ITK-Segment. Als Rahmenprogramm gibt es Fachvorträge, eine Karriereberatung und es […]

  • Dirt 4 im Test: Dreckschleudern auf Hochtouren

    Ein heulender Motor, die Drehzahlen sind im Grenzbereich. Nebelfelder liegen voraus, ein letzter Blick geht zum Beifahrer: Ohne ihn und seine Richtungsweisungen ist diese Wertungsprüfung nicht zu schaffen. Der Rennwart zählt runter und Sie rasen drauf los, hinein in die dichten Wälder von Wales. Loser Schotter und unzählige Bodenwellen machen Ihnen das Leben zusätzlich schwer. […]

  • Was User und Onlinekunden wirklich wollen

    Es ist der heilige Gral des Online-Marketings: Was kann man tun, damit den Besuchern die eigene Site gefällt, der Shop attraktiv ist und sich somit das Konzept maximal lohnt? Utopische Feenstaub-Geheimnisse verraten wir hier keine, dafür aber fünf sinnvolle Realwelt-Antworten. Kein Mensch will Werbung sehen ? glauben zumindest viele. Andere sind der Ansicht, dass es […]

  • Nokia 6, 5 und 3: Make Nokia great again

    Inhalt Seite 1 ? Make Nokia great again Seite 2 ? Mit monatlichen Updates würde Nokia in diesem Preissegment Maßstäbe setzen Auf einer Seite lesen Retro-Katastrophe, “aus der Zeit gefallen”, und selbst die Neuauflage von Snake enttäuscht: Das Nokia 3310, der auf dem Mobile World Congress in Barcelona noch besinnungslos gehypte Klassikeraufguss, kommt in Praxistests […]