Online-Shop von Quelle mit schwerer Sicherheitslücke

Bestellung auf Kosten anderer mit einfachsten Mitteln. Über Wochen wies der Online-Shop Quelle.de eine Sicherheitslücke auf, durch die man auf Kosten anderer Kunden oder der Quelle-Agenturen Waren bestellen konnte. Das Unternehmen hat das Loch inzwischen gestopft und Strafanzeige gestellt.

11. September 2006 um 11:14 Uhr / Nico Ernst

Der Fehler bestand aus einer technischen Lücke, die sich ohne Programmierkenntnisse ausnutzen ließ, wie die Wirtschaftswoche berichtet . Ein von dem Blatt als "Hacker" bezeichneter Mann hatte sich bei dem Magazin gemeldet, nachdem er bei Quelle abgeblitzt war: Er wollte dem Unternehmen die von ihm entdeckte Lücke nur gegen Honorar zeigen. Der Trick ist erschreckend simpel. Wenn man bereits Kunde bei Quelle war, aber sein Passwort für die Webseite vergessen hatte, konnte man auch über die Eingabe von Name, Adresse und Geburtsdatum Bestellungen tätigen.

Gab man an dieser Stelle aber die Daten einer Quelle-Agentur ein, erhielt man direkten Zugang zum internen System für die Agenturen. Von dort, so die Wirtschaftswoche, konnte man die Daten der Kunden eines Quelle-Shops einsehen und ändern. Vermutlich durch eine Änderung der Lieferadresse waren so kostenlose Bestellungen möglich. Erleichtert wurde dieses Verfahren noch dadurch, dass die Adressen der Quelle-Agenturen auf der Webseite gelistet waren. Einzig das Geburtsdatum des Inhabers musste man noch in Erfahrung bringen.

Wie Quelle inzwischen durch eine Pressemitteilung bekannt gab, soll die Verknüpfung zwischen der Passwort-Abfrage und dem internen System inzwischen abgestellt sein, der Fehler sei durch ein Software-Update zustande gekommen und nur eine "kurzzeitige Lücke" gewesen. Laut der Wirtschaftswoche ließ sich die Lücke aber über mehrere Wochen nutzen.

Deshalb hat die KarstadtQuelle AG eigenen Angaben zufolge bereits am 7. August 2006 Strafanzeige wegen eines Schadens von 20.000,- Euro durch fingierte Bestellungen gestellt. Ebenso hoch soll der Wert anderer Bestellungen mit dem Passwort-Trick gewesen sein, die man nicht mehr ausgeliefert hatte. Das Unternehmen will die Kosten selbst tragen, Kunden seien nicht zu Schaden gekommen. Quelle hält an dem Verfahren der Identifizierung durch Adresse und Geburtsdatum fest, bemüht sich aber laut der Wirtschaftswoche auch um ein TÜV-Prüfsiegel für seinen Online-Shop.