Mit einem Klick zur Straftat? (Update 4)
Über ein PHP-Script, dem elementare Sicherheits-Checks fehlten, war es möglich, auf beliebige Dateien auf dem Server von dialersiegel.de zuzugreifen. Über einen Blick in die Bash-History stolperte man über Backups von MySQL-Datenbanken, die Kundendaten samt Kreditkartennummern enthielten. Entsprechende Links machten schnell über Chatforen die Runde.
Mittlerweile ermittelt die Staatsanwaltschaft Berlin in diesem Fall und zwar gegen Nutzer, die über die entsprechenden Links auf die öffentlich zugänglichen, da ungeschützten Daten zugegriffen haben. Im Schreiben der Staatsanwaltschaft Berlin, das Golem.de vorliegt, heißt es, die Betreffenden hätten unbefugt auf geschützte Daten zugegriffen.
Nach Ansicht von Huth waren die Daten allerdings nicht öffentlich zugänglich, diese seien nur nach systematischer Suche zu finden gewesen. Zudem sei der Link weiterverbreitet worden, ohne ihn zu informieren, so Huth gegenüber Golem.de. Er habe daher "Anzeige gegen Unbekannt" erstattet und die Logfiles zur Auswertung durch das LKA übergeben.
Nachtrag:
Das Sicherheitsproblem auf Dialersiegel.de wurde bereits am 1. März 2004 veröffentlicht. Huth wurde dies nach dessen Aussage aber entgegen allgemeinen Gepflogenheiten nicht mitgeteilt.
Nachtrag vom 30. August 2004 um 16:40 Uhr:
Auch ein Mitarbeiter des Heise Zeitschriften Verlages griff im Rahmen einer Recherche auf die Daten zu und erhielt nun ein entsprechendes Schreiben der Staatsanwaltschaft. Der Verlag prüft nun selbst, Anzeige gegen Huth wegen falscher Verdächtigung nach § 164 des Strafgesetzbuches zu erstatten.
Nachtrag vom 9. September 2004 um 12:25 Uhr:
Wie Huth gegenüber Golem.de mitteilte hat er bei seiner Anzeige gegen unbekannt den Heise Zeitschriften Verlag explizit ausgenommen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.