Datenleck: Flink die Kundendaten abgefragt

Der Lieferdienst Flink will Einkäufe in 10 Minuten ausliefern - bei den Kundendaten war er noch schneller.

Artikel veröffentlicht am 11. März 2021, 15:35 Uhr, Moritz Tremmel

Datenleck und Smoothi, aber Flink. (Bild: Flink)

"Ein Einkauf geliefert in 10 Min.", wirbt das Startup Flink für seine gleichnamige App, mit der in mehreren Großstädten Lebensmittel bestellt werden können. Die Projektgruppe Zerforschung hat einen Smoothie bestellt und die App untersucht. Dabei konnte die Gruppe problemlos die Bestellungen und Adressdaten anderer Kunden einsehen. Eine Sicherheitslücke.

Mit einem Machine-in-the-Middle-Proxy (MitM) liest die Projektgruppe die Kommunikation der App mit. Dabei handelt es sich vor allem um Datenbankabfragen. Über einen in der App hinterlegten Autorisierungs-Token konnten sie sich direkt mit dem Flink-Server verbinden und die Datenbank abfragen - zum Beispiel die Anzahl aller Bestellungen (3.953) oder die Bestellungen selbst.

Auch der bestellte Smoothie taucht in der Datenbank auf: "Zu sehen sind Name, Adresse, Telefonnummer, E-Mail, letzte 4 Stellen der Kreditkarte und was bestellt wurde", schreibt die Projektgruppe. Über die offene API von Flink hätten auch die Details von allen 4.000 Bestellungen der letzten Monate samt Kundendaten abgefragt werden können.

Flink meldet Datenleck an Datenschutzbeauftragte

Die Projektgruppe meldete ihren Fund an Flink. Daraufhin wurde die Sicherheitslücke innerhalb eines Tages geschlossen und die Kundschaft sowie die Berliner Landesdatenschutzbeauftragte über das Datenleck informiert. Dabei wurde allerdings nicht erwähnt, dass neben den Bestandsdaten auch die Bestellungen abgerufen werden konnten.

"Wir finden: Wer mit personenbezogenen Daten arbeitet, muss diese ausreichend sichern. Startups können dabei keinen Welpenschutz für sich reklamieren. Wenn das Produkt marktreif genug ist, um Kundendaten zu speichern, muss es auch reif genug sein, diese für sich zu behalten", schreibt Zerforschung.