Fintech: Massives Datenleck bei Klarna

Nach einem Login bekommen Nutzer des Zahlungsdienstleisters Klarna die Profile anderer Nutzer zu sehen - bis hin zu den Bankdaten.

Artikel veröffentlicht am 27. Mai 2021, 15:48 Uhr, Moritz Tremmel

Klarne loggt Nutzer in falsche Konten ein. (Bild: DealDrop.com Images/CC-BY 2.0)

"Aufgrund eines technischen Fehlers kommt es derzeit zu Störungen in unserem System", schreibt der Zahlungsdienstleister Klarna auf seiner Webseite. Nutzer berichten auf Twitter, dass sie sich nach den Einloggen in fremden Konten befänden und all deren Informationen einsehen könnten - inklusive getätigter Zahlungen und Bankdaten.

"Jedes Mal, wenn ich heute Morgen versucht habe, mich in mein Klarna-Konto einzuloggen, fand ich mich im Konto eines anderen wieder? Bedeutet das auch, dass jemand anderes derzeit in meinem Account sein könnte?", fragte die Twitter-Nutzerin Esra Efe Laborde und veröffentlichte Screenshots von verschiedenen Klarna-Profilen.

Dabei habe sie alle Kontoinformationen einsehen können, bis hin zu den Namen, Adressen, Telefonnummern, Bankdaten und Einkäufen der jeweiligen Nutzerkonten. Sie habe daraufhin versucht, ihre Kreditkartendaten über die Webseite von Klarna zu löschen, doch auch das habe nicht geklappt. Auf Twitter bestätigen mehrere Nutzer die Probleme.

Klarna entschuldigt sich für die Unannehmlichkeiten

"Wir arbeiten schnellstmöglich daran, die volle Kapazität unseres Systems und unserer Dienste wiederherzustellen und entschuldigen uns für alle entstandenen Unannehmlichkeiten", schreibt Klarna auf der Webseite und in etlichen Tweets. Man bitte um Verständnis, dass die Anmeldung in der App nicht möglich sei, während an einer Lösung gearbeitet werde.

"Dass andere die persönlichen Daten und Zahlungsdaten eines Kunden sehen können, ist nicht nur 'eine Unannehmlichkeit'", kritisiert ein Twitter-Nutzer die Mitteilung von Klarna. Der Dienst wird von rund 87 Millionen Menschen genutzt.

Nachtrag vom 27. Mai 2021, 17:30 Uhr

In einer Stellungnahme gegenüber Golem.de bestätigte der Zahlungsdienstleister die Vorkommnisse. Man sei "traurig und frustriert" über den "selbstverschuldeten Vorfall". Dieser sei durch ein um 10:50 Uhr eingespieltes Update verursacht worden und habe 31 Minuten angedauert. Rund 0,1 Prozent der Konten seien von dem Vorfall betroffen - insgesamt rund 90.000 Personen.

"Der Fehler führte dazu, dass zufällige Benutzerdaten beim Zugriff auf unsere Benutzeroberfläche für falsche Nutzer*innen sichtbar wurden. Es ist uns äußerst wichtig zu betonen, dass der Zugriff auf die Daten vollkommen willkürlich war und keinerlei Karten- oder Bankdaten angezeigt wurden (verschlüsselte Daten waren sichtbar)", schreibt Klarna. Das bedeute, dass es nicht möglich gewesen sei, auf die Daten eines bestimmten Nutzers zuzugreifen.

"Gemäß den DSGVO-Standards wurden nur nicht-sensible Daten offengelegt. Wir erkennen jedoch an, dass das, was als nicht sensibel gilt, sehr individuell empfunden wird, und wir setzen unsere eigenen Standards stets höher als die gesetzlicher Regelungen wie der DSGVO", betont Klarna.

Bei dem Vorfall habe es sich um einen menschlichen Fehler und nicht um einen externen Eingriff in die Systeme des Unternehmens gehandelt, heißt es in der Stellungnahme. Zahlungsdienste, Händlerschnittstelle und Klarna Card seien nicht betroffen gewesen.

Nachtrag vom 28. Mai 2021, 12:30 Uhr

Klarna teilte Golem.de mit, dass der Vorfall seit Donnerstagabend behoben sei und die App wieder verwendet werden könne. Insgesamt seien 9.500 Nutzer betroffen. Die entsprechenden Datenschutzbehörden seien informiert und es werde aktuell daran gearbeitet die Betroffenen zu identifizieren, erklärte Klarna auf Nachfrage von Golem.de.