Eine triviale Sicherheitslücke führt zum Datenleck

Einer der zentralen Kritikpunkte von Modern Solution an Heinle ist, dass dessen Firma Fluxel ähnliche Dienstleistungen wie Modern Solution selbst anbietet. Er sei weniger ein Programmierer oder ein ethischer Hacker, sondern ein Konkurrent, heißt es in der Stellungnahme von Modern Solution.

Auch in den Gerichtsakten betont Modern Solution das Konkurrenzverhältnis. Durch eine Ausbildung zum Fachinformatiker bei JTL, für dessen Warenwirtschaftssystem beide Unternehmen Erweiterungen und Anbindungen anbieten, sei es Heinle möglich gewesen, die Sicherheitslücke bei Modern Solution und damit das Datenleck zu entdecken. Die Sicherheitslücke sei derart trivial gewesen, dass keine besonderen Kenntnisse für ihre Entdeckung notwendig gewesen seien.

Laut Heinle hat die Software von Modern Solution eine unverschlüsselte Verbindung zum Datenbankserver des Unternehmens aufgebaut. Dabei seien auch die Login-Daten unverschlüsselt übertragen worden. Aufgefallen sei ihm das Verhalten, sagt Heinle, weil seine Firewall den Zugriff unterbunden und mitgeloggt habe.

Obendrein seien die Zugangsdaten in einer .exe-Datei der .Net-Anwendung von Modern Solution enthalten gewesen. Ein einfacher Aufruf der Datei mit einem Texteditor habe so die Zugangsdaten offenbart. Wohlgemerkt nicht nur für die Datenbanken und Daten des jeweiligen Händlers, der die Software von Modern Solution genutzt hatte, sondern auch zu hunderttausenden Bestellvorgängen bei anderen Händlern.

Mit den Zugangsdaten sei sogar ein Zugriff auf die Groupware und das Ticketsystem von Modern Solution möglich gewesen, sagt Heinle. In einem Satz: Modern Solution hat die Zugangsdaten für seine Datenbankserver mit seiner Software frei Haus verteilt und unverschlüsselt über das Internet übertragen.

Auf Basis des vermeintlichen Insiderwissens und des Konkurrenzverhältnisses unterstellt Modern Solution Heinle eine geschäftsschädigende Intention. Denn nur deshalb habe er sich an Steier mit seinem Blog Wortfilter wenden können und nicht etwa an Behörden oder ausschließlich direkt an Modern Solution.

Andere mögliche Erklärungen zieht Modern Solution offenbar nicht in Betracht. Beispielsweise, dass Heinle nach seinem Fund schnell Unternehmen und Kunden über die Presse informieren wollte und sich selbst durch eine pseudonyme E-Mail-Adresse, mit der er Modern Solution über den Vorfall informierte, aus dem Fadenkreuz nehmen wollte. Im Gegenteil: Modern Solution wirft Heinle explizit seine Pressekontakte vor.

Keine Antwort unter diesen Unternehmen

Dabei habe "Modern Solution nie auf eine meiner E-Mails geantwortet", sagt Heinle zu Golem.de. Weder auf die Mail, mit der er das Unternehmen initial über das Datenleck informierte, noch über eine E-Mail, in der er nach einer weiteren Lücke anbot, über den Fix von Modern Solution zu schauen.

Auch auf Fragen von Golem.de wollte Modern Solution explizit nicht antworten. Da nicht zugesichert worden sei, die bisherige Berichterstattung mit der Stellungnahme von Modern Solution zu überarbeiten und die gestellten Fragen die Richtung, in die sich der Beitrag entwickeln solle, deutlich erkennen ließen, beantworte man keine Presseanfragen von Golem.de, heißt es von Modern Solution. Heinle und Steier beantworteten unsere Fragen und räumten dabei auch eigene Fehler ein.

Auf die Frage, ob sein Pseudonym Moki11so, wie von Steier und von Modern Solution berichtet, für Kill Modern Solution steht, gesteht Heinle ein, dass dies im Nachhinein wohl keine so gute Idee gewesen sei. Es sei spät in der Nacht gewesen, als er ein Pseudonym für die E-Mail-Adresse und seine Meldung gesucht habe, im Hintergrund sei der Kill Bill Soundtrack gelaufen, so habe er sich spontan für das Pseudonym entschieden, erklärt Heinle.

Steier sagt, er habe beim Schwärzen eines Screenshots einen Fehler gemacht. Zwar habe er alle Spalten geschwärzt, aber eine darüberliegende Zeile mit einem Firmennamen übersehen. Ein Fehler, den Modern Solution auch in seiner Stellungnahme erwähnt hat. Nach einem Hinweis habe er das Bild sofort gelöscht und durch eine vollständig geschwärzte Version ersetzt, betont Steier. Da sei ihm ein Fehler passiert, wofür er sich nur entschuldigen könne.

Im Gegensatz dazu möchte sich Modern Solution weder zu dem Datenleck selbst noch zu dessen Behebung äußern. Auch, warum nie auf Heinles E-Mails geantwortet wurde, geschweige denn auf Steiers Anfragen vor der Veröffentlichung, sagt das Unternehmen nicht. Technische Fragen, beispielsweise, warum die Datenbanken nicht voneinander abgeschottet wurden und eine verschlüsselte Verbindung zum Datenbankserver aufgebaut wurde, will Modern Solution ebenfalls nicht beantworten. Doch wie reagieren die Betreiber der Plattformen auf das Datenleck? Immerhin geben diese die Kundendaten an eine Software weiter, die sie nicht schützt.