Freizeitpark: Datenleck bei Legoland

Tausende Gäste des Legolandes im bayrischen Günzburg sind von einem Datenleck betroffen. Die Daten wurden mit einem simplen Trick abgerufen.

Artikel veröffentlicht am 14. April 2022, 11:45 Uhr, Moritz Tremmel

Freizeitpark Legoland (Bild: Legoland)

Die persönlichen Daten von Übernachtungsgästen des Freizeitparks Legoland im bayrischen Günzburg waren über das Internet abrufbar. Während eine Sprecherin von Legoland Deutschland betonte, dass die Daten "zu keiner Zeit öffentlich einsehbar" gewesen seien, erklärte das Onlinemagazin Heise, dass die Daten auch ohne einen Login im Kundenbereich abrufbar waren. Dazu wurde ausschließlich eine URL benötigt, in der eine Zahl abgeändert werden musste, um die persönlichen Daten von Legoland-Kunden einzusehen.

Demnach hatte Legoland vor rund einem halben Jahr ein neues Buchungssystem eingeführt, durch das die Datenpanne entstand. Dieses stellte "Gästen innerhalb des neuen Kundenportals ihre historischen Buchungsdaten zur Verfügung", so Legoland. Über diese Funktion konnten mehrere tausend PDF-Dateien mit persönlichen Buchungsdaten abgerufen werden.

In den Dokumenten seien die Namen, Anschriften und der Reisezeitraum sowie die Namen aller Mitreisenden aufgelistet gewesen, heißt es in dem Bericht. "Zu keinem Zeitpunkt wurde auf Bank- oder Kreditkartendaten zugegriffen oder diese entwendet", erklärte die Sprecherin des Legolandes.

Aufgefallen war das Datenleck einem Heise-Leser, der die URL seiner Buchungsbestätigung auffällig fand und die enthaltene ID hochzählte. Dadurch konnte er die Daten von anderen Legoland-Kunden einsehen. Das IDs zu Rechnungen, Corona-Schnelltestergebnissen oder anderen persönlichen Daten in URLs aufsteigend durchnummeriert werden, ist ein simples, aber immer wieder auftretendes Problem, das zu massiven Datenlecks führt.

Legoland deaktiviert Buchungssystem, will Betroffene jedoch nicht informieren

Nachdem Heise Legoland Günzburg beziehungsweise die dahinterstehende Merlin Entertainments Group auf das Datenleck aufmerksam gemacht hatte, wurde das Buchungssystem deaktiviert und der bayrische Datenschutzbeauftragte informiert. Legoland geht davon aus, dass das Datenleck nur im Rahmen der Recherche genutzt wurde. Deshalb sehe man für die Betroffenen nur ein geringes Risiko und werde sie nicht informieren, erklärte die Legoland-Sprecherin.

Das Bayerische Landesamt für Datenschutzaufsicht in Ansbach bestätigte der DPA, dass der Vorfall untersucht werde. "Unsere Aufklärungsmaßnahmen zielen derzeit vor allem auf die Frage, ob und in welchem Umfang Zugriffe auf personenbezogene Daten mit dem Ziel einer missbräuchlichen Verwendung stattgefunden haben", erklärte Präsident Michael Will. Die Untersuchung laufe noch, so dass derzeit keine weiteren Informationen gegeben werden könnten.