DSGVO: Proton vergisst Git-Zugang auf Datenschutzwebseite

Die Webseite Gdpr.eu wird von der Firma hinter Protonmail und Protonvpn betrieben und von der EU mitfinanziert.

Artikel veröffentlicht am ,
DSGVO-Webseite mit Git-Leak
DSGVO-Webseite mit Git-Leak (Bild: Pixaline (Pixabay)/Git-Logo: Jason Long (CC BY 3.0)/CC-BY 3.0)

Eine von der EU mitfinanzierte Webseite gibt Tipps rund um den Umgang mit der Datenschutz-Grundverordnung (DSGVO, engl. GDPR) und wie Unternehmen dieser entsprechen können, doch der Schweizer Betreiber Proton Technologies AG hat die Webseite nur unzureichend abgesichert. Die Sicherheitsfirma Pentestpartners entdeckte ein öffentlich abrufbares Git-Verzeichnis auf der Webseite Gdpr.eu, über welche sie den kompletten Code der Webseite einsehen konnte - inklusive der Zugangsdaten zu der MySQL-Datenbank.

Auf der Webseite Gdpr.eu ist der Hinweis auf die Cofinanzierung durch das Horizon-2020-Rahmenprogramm der EU prominent platziert. Noch prominenter weist ein Overlay darauf hin, dass "DSGVO-Konformität einfacher mit verschlüsselten E-Mails ist" und verlinkt auf den Dienst Protonmail, ein verschlüsselter E-Mail-Dienst des Webseitenbetreibers Proton Technologies AG, der mit Datenschutz und Sicherheit wirbt.

Die Sicherheitsfirma Pentestpartners konnte den kompletten Code der Wordpress-Seite Gdpr.eu über das öffentlich abrufbare Verzeichnis des Versionsverwaltungssystems Git herunterladen. In diesem befand sich auch die Wordpress-Konfigurationsdatei wp-config.php, die neben mehreren Sicherheitsschlüsseln für Wordpress auch die Zugangsdaten zur MySQL-Datenbank enthält. Da es sich jedoch um ein internes System handle, sei es keine triviale Angelegenheit, das System von außen zu kompromittieren, sofern das Passwort nicht an anderer Stelle wiederverwendet würde, schreibt Pentestpartners. "Die Ironie einer EU-finanzierten Website über DSGVO mit Sicherheitsproblemen ist uns nicht entgangen", sagte Pentestpartners dem Onlinemagazin The Register.

Den öffentlich zugänglichen Git-Ordner meldete die Sicherheitsfirma an Proton: "Wir wurden am Freitag, dem 24. April, über das Problem informiert und haben es kurz darauf gefixt. Gdpr.eu wird auf einer unabhängigen Infrastruktur von Drittanbietern gehostet, enthält keine Benutzerdaten und die Informationen im exponierten Git-Ordner konnten nicht für ein Defacement der Webseite verwendet werden, da der Zugriff auf die Datenbank nur intern möglich ist. Nichtsdestotrotz ist dies ein legitimer Fund im Rahmen unseres Bug-Bounty-Programms", erklärte ein Proton-Sprecher The Register.

Fälle mit exponierten Git-Verzeichnissen werden immer wieder bekannt. 2015 entdeckte der Sicherheitsexperte Jamie Brown Tausende von Webseiten, bei denen man öffentlich übers Web diese Verzeichnisse abrufen konnte. Testen oder scannen lässt sich dies einfach. In jedem .git-Verzeichnis befindet sich eine Datei config. Wenn eine URL der Form http://www.beispiel.de/.git/config abrufbar ist, dann ist das Git-Repository öffentlich zugänglich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Schattenwerk 01. Mai 2020

Ich musste lachen... danke für den Beitrag

slacki 01. Mai 2020

Ich hoffe das war ironisch ;) Ansonsten: in einer kleinen Frickelbude kann man sowas...

slacki 30. Apr 2020

Dazu braucht es ausgebildete Entwickler. Denn es ist halt viel einfacher, einfach alles...



Aktuell auf der Startseite von Golem.de
Hybride Arbeit
Das neue Normal braucht bessere Ideen!

Nach dem Pandemie-erzwungenen Homeoffice schalten manche Firmen auf Dauerremote um, andere auf Büropflicht, wieder andere auf hybrid. Nichts davon funktioniert gut - weil es an Konzepten fehlt. Ein Appell.
Ein Erfahrungsbericht von Marvin Engel

Hybride Arbeit: Das neue Normal braucht bessere Ideen!
Artikel
  1. Playstation VR2 Vorschau: Virtual-Reality-Ausflug mit finaler Hardware
    Playstation VR2 Vorschau
    Virtual-Reality-Ausflug mit finaler Hardware

    Controller, Bildqualität, Foveated Rendering: In wenigen Wochen erscheint Playstation VR2. Golem.de hat das Gerät vorab ausprobiert.
    Von Peter Steinlechner

  2. Produkte mit Alexa bei Amazon zum Schleuderpreis
     
    Produkte mit Alexa bei Amazon zum Schleuderpreis

    Amazon hat seit heute mal wieder einige Produkte mit Alexa reduziert. Echo, Echo Dot und Echo Show gibt es zum Sonderpreis.
    Ausgewählte Angebote des E-Commerce-Teams

  3. Lieferkettenprobleme: Apple will trotz schlechter Zahlen nicht entlassen
    Lieferkettenprobleme
    Apple will trotz schlechter Zahlen nicht entlassen

    Apple hat enttäuschende Quartalsergebnisse veröffentlicht, doch an Entlassungen denkt Tim Cook entgegen dem allgemeinen Trend nicht.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • HTC Vice 2 Pro Full Kit 899€ • RAM-Tiefstpreise • Amazon-Geräte bis -50% • Samsung TVs bis 1.000€ Cashback • Corsair HS80 7.1-Headset -42% • PCGH Cyber Week • Samsung Curved 27" WQHD 267,89€ • Samsung Galaxy S23 vorbestellbar [Werbung]
    •  /