Abo
  • Services:
Anzeige
Die Daten von 200.000 Kunden der Deutschen Post waren aufgrund eines Fehlers im Internet abrufbar.
Die Daten von 200.000 Kunden der Deutschen Post waren aufgrund eines Fehlers im Internet abrufbar. (Bild: Deutsche Post/Screenshot: Golem.de)

Kundendaten: Datenleck bei der Deutschen Post

Die Daten von 200.000 Kunden der Deutschen Post waren aufgrund eines Fehlers im Internet abrufbar.
Die Daten von 200.000 Kunden der Deutschen Post waren aufgrund eines Fehlers im Internet abrufbar. (Bild: Deutsche Post/Screenshot: Golem.de)

Eine Datenbank mit 200.000 Umzugsmitteilungen der Post lag ungeschützt im Netz. Tausende andere Firmen aus aller Welt haben exakt den gleichen Fehler gemacht.
Von Hanno Böck

Die Deutsche Post betreibt ein Portal, auf dem Menschen nach einem Umzug ihre neue Anschrift hinterlassen können: umziehen.de lautet die Adresse der Website. Mittels einer sogenannten Umzugsmitteilung informiert die Post dann automatisch diverse Dienstleister wie Banken oder Versicherungen über die neue Adresse. Fraglos ein nützlicher Service. Bei der Sicherheit ihres Portals hat die Post jedoch gewaltig geschlampt. Aufgrund eines simplen Fehlers waren die Adressdaten von etwa 200.000 Kunden problemlos im Internet abrufbar.

Anzeige

Die Post bestätigt auf Anfrage den Vorfall: "Im Rahmen eines Sicherheitsupdates unseres Umzugsportals umziehen.de ist eine Kopie der Datenbankeinträge erstellt worden, die im Anschluss des Updates entgegen unserer Sicherheitsstandards aufgrund menschlichen Versagens nicht gelöscht wurde und anschließend für Nutzer mit Expertenwissen zugänglich war." Tatsächlich war wirkliches Expertenwissen nicht nötig. Die Datenbank ließ sich einfach herunterladen. Dafür musste man nur ihren Dateinamen kennen, er lautete "dump.sql".

Abgeschrieben aus der MySQL-Dokumentation

Warum dieser Dateiname verwendet wird, ist leicht zu erklären: In der Dokumentation der weit verbreiteten Datenbanksoftware MySQL wird er in einem Beispiel verwendet. Bei der Post hat jemand genau nach diesem Beispiel eine Kopie der Datenbank angelegt und offenbar versehentlich direkt auf dem Webserver abgelegt. Herunterladen konnte man sie einfach, indem man die Webadresse https://www.umziehen.de/dump.sql aufrief.

Die Post hat die Datenbankkopie nach einem entsprechenden Hinweis von mir schnell entfernt. Doch das Problem betrifft auch viele andere Websites. Durch schlichtes Ausprobieren von typischen Dateinamen konnte ich nicht nur auf die Datenbank der Post, sondern auf mehr als 2.000 weitere Datenbanken zugreifen. Soweit möglich, habe ich versucht, die Webhoster der entsprechenden Seiten zu informieren.

Offen im Netz: Wer bestellte welche Medikamente?

Einen besonders großen Datensatz hatte Pharmacy Online Australia auf seinem Server liegen. In der Datenbank der australischen Onlineapotheke fanden sich nicht nur 600.000 Kundenadressen, sondern auch Details über Bestellungen von Medikamenten. Extrem sensible Daten, die auf keinen Fall in falsche Hände geraten sollten.

Weitere große Datenbanken entdeckte ich bei Beckertime, einem Verkäufer von Rolex-Uhren, bei einem US-Spielwarenhändler, beim deutschen Elektronik-Versandhandel IT-Market sowie bei Revell-shop.de, einem Versandhandel für Modellbau (der aber nicht von der Revell GmbH betrieben wird). Kundenadressen und teilweise auch Kontodaten von Hunderttausenden Menschen hätte jeder abrufen können, der nach Dateien mit dem Namen dump.sql sucht. Inzwischen haben die Firmen reagiert und die Datenbankkopien abgesichert.

Es ist davon auszugehen, dass die Datenbanken in vielen Fällen zuvor von jemand anderem heruntergeladen wurden. Dafür spricht zumindest meine Erfahrung. Zur Erklärung: Auf Webservern werden üblicherweise alle Zugriffsversuche zumindest für einige Tage in Logdateien gespeichert. Jeder, der selbst eine Webseite betreibt, kann so feststellen, ob es entsprechende Versuche mit nicht öffentlichen Dateinamen gab. Eine Suche in meinen eigenen Serverlogs ergab, dass in der Vergangenheit immer mal wieder jemand nach entsprechenden Dateien gesucht hat. Ob es sich dabei um IT-Sicherheitsforscher oder Kriminelle handelte, ist schwer zu sagen.

Die Deutsche Post hat bereits damit begonnen, die betroffenen Kunden über den Vorfall zu informieren. In der Mitteilung heißt es: "Jemandem mit entsprechender Fachkenntnis wäre es für kurze Zeit möglich gewesen, Kenntnis von Ihren Angaben (Name, alte und neue Adresse, Umzugsdatum, E-Mail-Adresse) zu erlangen. Der Fehler wurde innerhalb weniger Minuten nach Bekanntwerden behoben. Wir können nicht ausschließen, dass in dieser Zeit unbefugt Einblick in Ihre Daten genommen wurde."

Auch Revell-shop.de teilte mit, umgehend alle Kunden informieren zu wollen. Der Sprecher des Versandhändlers IT-Market hingegen sagte, er gehe anhand seiner Logdateien davon aus, dass es keine anderen Versuche gegeben hat, die Datenbank herunterzuladen: "Wir sehen aus diesem Grund davon ab, unsere Kunden zu informieren." Der Spielwarenhändler aus den USA hat auch nach mehreren Tagen meine Anfragen nicht beantwortet und die Datenbank bisher auch nicht entfernt. Die anderen Firmen haben bislang keine Stellungnahme abgegeben.


eye home zur Startseite
DarkXTC 20. Jul 2017

Und wenn du für die Verbindung vom Webserver zur DB wieder n Loch in deine Firewall...

Füchslein 13. Jul 2017

Ich gebe der Post recht: das ist Expertenwissen. Das sich auf diesem Portal hier die...

derdiedas 10. Jul 2017

Noch nicht :-) Aber GDPR kommt am 25. Mai nächsten Jahres. Und dann sind Strafen von 20...

RipClaw 07. Jul 2017

Das wurde nichts falsch konfiguriert. Das ist normal so und auch alle anderen Webserver...

LSB_im_T 06. Jul 2017

Der arme Tropf hat das mit "Backup in der Cloud sichern " einfach falsch interpretiert...



Anzeige

Stellenmarkt
  1. BASF Business Services GmbH, Ludwigshafen
  2. Landesbetrieb IT.Niedersachsen, Hannover
  3. Trescal GmbH, Neustadt in Sachsen
  4. Evangelischer Oberkirchenrat Stuttgart, Stuttgart


Anzeige
Spiele-Angebote
  1. 12,99€
  2. (u. a. BioShock: The Collection 16,99€, Borderlands 2 GOTY 7,99€, Civilization VI 35,99€ und...
  3. (-20%) 35,99€

Folgen Sie uns
       


  1. GPD Pocket im Test

    Winziger Laptop für Wenigtipper

  2. Neue WLAN-Treiber

    Intel muss WLAN und AMT-Management gegen Krack patchen

  3. Kabel-Radio

    Sachsen will auch schnelle UKW-Abschaltung im Kabel

  4. To Be Honest

    Facebook kauft Wahrheits-App

  5. Lüfter

    Noctua kann auch in Schwarz

  6. Microsoft

    Supreme Court entscheidet über die Zukunft der Cloud

  7. Windows 10

    Microsoft zeigt Fluent Design im Detailvideo

  8. Bungie

    Letzte Infos vor dem Start der PC-Fassung von Destiny 2

  9. Ubiquiti Amplifi und Unifi

    Erster Consumer-WLAN-Router wird gegen Krack gepatcht

  10. Samyang

    Lichtstarkes Weitwinkelobjektiv für Sonys FE-Kameras



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Dokumentarfilm Pre-Crime: Wenn Computer Verbrechen vorhersagen
Dokumentarfilm Pre-Crime
Wenn Computer Verbrechen vorhersagen

Science-Fiction wird real: Kampf der Robotergiganten
Science-Fiction wird real
Kampf der Robotergiganten
  1. Roboter Megabots kündigt Video vom Roboterkampf an
  2. IFR Zahl der verkauften Haushaltsroboter steigt stark an
  3. Automatisierung Südkorea erwägt eine Robotersteuer

Core i7-8700K und Core i5-8400 im Test: Ein Sechser von Intel
Core i7-8700K und Core i5-8400 im Test
Ein Sechser von Intel
  1. Core i7-8700K Ultra Edition Overclocking-CPU mit Silber-IHS und Flüssigmetall
  2. Intel Coffee Lake Von Boost-Betteln und Turbo-Tricks
  3. Coffee Lake Intel verkauft sechs Kerne für unter 200 Euro

  1. Re: Dann hat VW offensichtlich schon immer...

    David64Bit | 11:45

  2. Re: Netgear hat gestern bereits gepatched

    as (Golem.de) | 11:45

  3. Re: Probleme sehe ich nicht bei Win, Mac...

    mgra | 11:45

  4. Re: AVM haelt sich bedeckt?

    bombinho | 11:45

  5. Re: Im Vergleich zum Fernsehen

    most | 11:44


  1. 11:59

  2. 11:54

  3. 11:50

  4. 11:41

  5. 11:10

  6. 10:42

  7. 10:39

  8. 10:26


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel