Abo
  • Services:

TNS-Infratest-Datenleck größer als gedacht

Fehler erlaubte auch die Manipulation fremder Accounts

Ein Programmierfehler, der zu einem schwerwiegenden Datenschutzproblem beim Marktforschungsinstitut TNS Infratest/Emnid geführt hat, hatte offenbar weiterreichende Folgen als bislang bekannt. So konnten die 40.000 Testkäufer nicht nur die persönlichen Angaben anderer einsehen, sondern auch manipulieren.

Artikel veröffentlicht am ,

Durch den Fehler waren vertrauliche Daten über das Mystery-Shopper-Portal des Unternehmens, wo die Testkäufer ihre Eingaben machen, für Unbefugte einsehbar. Wenn diese sich mit Nutzername und Passwort in die TNS-Datenbank einloggten, erhielten sie eine Session-ID, die Teil der URL war. Tauschte einer der Testkäufer diese gegen die fünfstellige ID eines anderen Nutzers aus, bekam er Schreib- und Leserechte für dessen Account.

Stellenmarkt
  1. Hays AG, Affalterbach
  2. Lehmann&Voss&Co. KG, Hamburg

Zu den Angaben gehören nicht nur Name, Adresse, Geburtsdatum, Handynummer und Bankverbindung. Das Profil umfasst auch Angaben über den Beruf, das Einkommen, die Wohnsituation, Versicherungen, Auto und sogar über Wertgegenstände im Haushalt. Wie Spiegel Online berichtete, waren die Angaben der Mystery-Shopper nicht nur von anderen Testkäufern einsehbar, sie waren auch beliebig manipulierbar. Die Redaktion beruft sich dabei auf David Ehlers, Geschäftsleiter der Forschungs-GmbH Infratest im Bereich Datenbeschaffung.

Laut dessen Angaben habe TNS Infratest/Emnid aber festgestellt, "dass niemand dieses Sicherheitsleck ausgenutzt hat - außer dem Chaos Computer Club (CCC)". Die Hacker hatten das Meinungsforschungsinstitut über den Fehler informiert, woraufhin die Site vom Netz genommen und die Betroffenen gewarnt wurden.

Unklar ist laut dem Bericht auch, ob nur die über 40.000 Testkäufer von TNS Infratest betroffen waren. So seien auch Personen, die im Onlineportal MySurvey (früher: MyTNS) registriert sind und dort Marktforschungsfragebögen ausgefüllt haben, in der Mystery-Shopper-Datenbank aufgetaucht.

Bis zum Redaktionsschluss dieses Beitrages war von TNS Infratest/Emnid keine Stellungnahme zu erhalten.

Der Bundesdatenschutzbeauftragte Peter Schaar beklagte, diese Vorgängen seien kein Einzelfall. Es gebe viele Fälle, bei denen die Session-ID fortlaufend vergeben werde, sagte er Spiegel Online. So sei das Problem bereits bei Webshops und E-Government-Portalen aufgetreten. "Wenn ein Unternehmen ein Sicherheitsleck entdeckt, sollte es per Gesetz dazu verpflichtet sein, die betroffenen Personen selbstständig aufzuklären", sagte er. Gegenwärtig klärten Firmen diesen Fehler nur dann auf, wenn Journalisten ihn öffentlich machten.



Anzeige
Hardware-Angebote
  1. und 25€ Steam-Gutschein erhalten
  2. und The Crew 2 gratis erhalten
  3. bei Caseking kaufen

marcel83 14. Jul 2008

Session-ID + Forlaufend? Wo ist sowas denn möglich bzw. wer macht sowas? Ich denke unser...

johnmcwho 14. Jul 2008

Es gibt noch viele andere Unternehmen bei denen das Zutrifft. Ist schon erschreckend wie...

adlerweb2 14. Jul 2008

Gegenfrage: Was kann denn Gutes damit "gemacht werden"? Welche Vorteile hat es die Daten...

Diedaa 14. Jul 2008

wie LimeSurvey oder Inquery auf nem eigenen Server... dann gibbet auch keine Probleme...


Folgen Sie uns
       


Nokia 3 und 5 (2018) - Hands on

HMD Global hat die Nachfolger des Nokia 3 und Nokia 5 vorgestellt. Beide Smartphones haben ein Display im 2:1-Format und laufen mit Android One. Das Nokia 3.1 soll Ende Juni 2018 erscheinen, das Nokia 5.1 soll im Juli 2018 folgen.

Nokia 3 und 5 (2018) - Hands on Video aufrufen
3D-Druck on Demand: Wenn der Baumarkt Actionfiguren aus Stahl druckt
3D-Druck on Demand
Wenn der Baumarkt Actionfiguren aus Stahl druckt

Es gibt viele Anbieter für 3D-Druck on Demand und die Preise fallen. Golem.de hat die 3D-Druckdienste von Toom, Conrad Electronic, Sculpteo und Media Markt getestet, um neue Figuren der Big-Jim-Reihe zu erschaffen.
Ein Praxistest von Achim Sawall


    Jurassic World Evolution im Test: Das Leben findet einen Weg
    Jurassic World Evolution im Test
    Das Leben findet einen Weg

    Ian Malcolm hatte recht: Das Leben wird ausgegraben und gebrütet, es frisst und stirbt oder es bricht aus und macht Jagd auf die Besucher. Nur leider haben die Entwickler von Jurassic World Evolution ein paar kleine Design-Fehler begangen, so wie Henry Wu bei der Dino-DNA.
    Ein Test von Marc Sauter

    1. Vampyr im Test Zwischen Dracula und Doktor
    2. Fe im Test Fuchs im Farbenrausch
    3. Thaumistry: In Charm's Way im Test Text-Adventure der ganz alten Schule

    Volocopter 2X: Das Flugtaxi, das noch nicht abheben darf
    Volocopter 2X
    Das Flugtaxi, das noch nicht abheben darf

    Cebit 2018 Der Volocopter ist fertig - bleibt in Hannover aber noch am Boden. Im zweisitzigen Fluggerät stecken jede Menge Ideen, die autonomes Fliegen als Ergänzung zu anderen Nahverkehrsmitteln möglich machen soll. Golem.de hat Platz genommen und mit den Entwicklern gesprochen.
    Von Nico Ernst

    1. Urban Air Mobility Airbus gründet neuen Geschäftsbereich für Lufttaxis
    2. Cityairbus Mit Siemens soll das Lufttaxi abheben
    3. Verkehr Porsche entwickelt Lufttaxi

      •  /