• IT-Karriere:
  • Services:

Panera Bread: Café-Kette exponiert Millionen Kundendaten im Netz

Sicherheitsexperten zufolge sollen die persönlichen Daten von bis zu 37 Millionen Kunden einer großen Kette von Bäckerei-Cafés in den USA frei zugänglich gewesen sein - und das seit mindestens acht Monaten. Bei seiner Reaktion macht das Unternehmen offenbar fast alles falsch.

Artikel veröffentlicht am ,
Die US-Bäckereikette Panera Bread hat offenbar persönliche Daten von bis zu 37 Millionen Kunden ungeschützt im Netz gehabt.
Die US-Bäckereikette Panera Bread hat offenbar persönliche Daten von bis zu 37 Millionen Kunden ungeschützt im Netz gehabt. (Bild: Pxhere/Golem.de/CC0 1.0)

Die amerikanische Bäckerei-Café-Kette Panera Bred hat offenbar monatelang persönliche Daten von Millionen Kunden offen im Netz stehen lassen. Von dem Leak betroffen sein sollen neben den Namen und Postadressen der Kunden auch E-Mail-Adressen, Geburtsdaten sowie die jeweils letzten vier Ziffern der Kreditkartennummern. Diese Informationen reichen in vielen Fällen aus, um sich gegenüber anderen Kundendiensten am Telefon als jemand Fremdes auszugeben und so beispielsweise einen Passwort-Reset oder das Zusenden einer neue Kundenkarte zu erreichen.

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Stellenmarkt
  1. Deutsche Rentenversicherung Bund, Berlin
  2. Hannoversche Informationstechnologien AöR (hannIT), Hannover

Bereits im August 2017 hat der Forscher Dylan Houlihan, der die Schwachstelle eher zufällig entdeckte, eigenen Angaben zufolge Panera Bread über das Problem informiert. Obwohl das Unternehmen das Datenleck bestätigte, blieb es trotz wiederholter Nachfrage durch Houlihan offenbar monatelang ungepatcht. Bis sich Houlihan an den Sicherheitsexperten Brian Krebs wandte, der die Sache am Montag publik machte.

Gepatcht und doch nicht gepatcht

Nach der Veröffentlichung durch Krebs sei die Webseite panerabread.com schnell komplett offline gegangen. Es dauerte aber demnach nur wenige Stunden bis das Unternehmen meldete: "Problem behoben", und die Seite wieder online ging. Gleichzeitig ging Panera mit der Behauptung an die amerikanische Presse, das Unternehmen nehme "Datenschutz sehr ernst" und habe das Problem gelöst. Es seien lediglich 10.000 Kundenkonten betroffen gewesen.

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)

Dass das augenscheinlich nicht der Fall war, bestätigten kurz darauf weitere Experten. Offenbar hatte Panera versucht, das Problem dadurch zu lösen, die offenen Angriffsvektoren mit einer Loginseite zu schützen, die einen gültigen Kundenkonto voraussetzt. Hinter dem Login sei der Zugriff auf die Gänze der Kundendaten aber weiterhin möglich. Seit dieser neuerlichen Veröffentlichung ging Paneras Onlineshop wieder komplett offline.

Fehlende Kanäle, unangemessene Reaktion

Fast schockierender als das Datenleck selbst erscheint jedoch die Art und Weise, wie Panera Bread auf die Meldung der Lücke durch Houlihan reagierte. Seinem Blogpost zufolge war es nicht leicht, bei Panera überhaupt mit einem Verantwortlichen in Kontakt zu treten. Die generische E-Mail-Adresse security[æt]panerabread.com habe mit einem Bounce geantwortet.

Als der Kontakt über Dritte schließlich gelang, habe ihm Paneras IT-Sicherheitschef zuerst nicht glauben wollen, dass es sich um ein echtes Sicherheitsproblem handelt. In seiner ersten Antwort habe er Houlihan stattdessen beschuldigt ein Scammer zu sein oder einen versteckten Salespitch zu versuchen: "Mein Team hat Ihre E-Mails erhalten, sie wirkten aber sehr verdächtig und wurden daher ignoriert. Wenn das eine Verkaufstaktik sein soll, empfehle ich dringend einen besseren Ansatz, denn nach einem PGP-Schlüssel zu fragen, wäre kein guter Start für einen Pitch."

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).

Der gesamte E-Mail-Austausch zwischen Houlihan und Panera Bread (auf Englisch) ist durchaus lesenswert und an sich schon skandalträchtig. Trotz der Schwierigkeiten, der erfolglosen Patches, des fehlenden Dankeschöns und des rüden Umgangstons durch Paneras IT-Sicherheitschef betont Houlihan jedoch, dass Panera nicht das einzige Unternehmen mit einer so problematischen Datensicherheitskultur sei.

"Dieses Problem besteht nicht nur bei einer einzelnen Art von Firma. So etwas ist schon früher passiert und es wird auch wieder passieren", schreibt Houlihan. "Es ist einfach, mit dem Finger auf eine einzelne Person zu zeigen, aber solche Leute kommen nur in ihre Position (des IT-Sicherheitschefs, Anm.d.R.), weil ihr Verhalten grundsätzlich mit der Kultur und den Prioritäten eines Unternehmens kompatibel ist."

Der wichtigste Schritt für Unternehmen sei es, einen einfachen Prozess zu entwickeln, mit dem Sicherheitslücken gemeldet werden könnten, ohne dass die Entdecker sich vor den Konsequenzen fürchten müssen. Dass Paneras IT-Sicherheitschef laut seinem Linkedin-Profil zwischen 2009 und 2013 als Senior Director für Security Operations bei Equifax tätig war, zeigt aber dann doch irgendwie wieder mit dem Finger in Richtung einer Person.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 2,99€
  2. 22,99€
  3. (-82%) 11,00€

amagol 05. Apr 2018

Mit Kreditkate zahlen ist ja nicht das Problem. Aber warum muss Panera das ueberhaupt...

Pornstar 04. Apr 2018

Wie bitte? Fox news ist der Sender der die meisten Amerikaner erreicht.

telecaster 04. Apr 2018

Hab ich mir auch gerade gedacht. Wie schnell Millionen von Menschen bereit sind für ein...

mars96 03. Apr 2018

John Oliver hatte die vor rund einem Halben Jahr wegen des letzten Sicherheitsproblems im...

bolzen 03. Apr 2018

So ist es. Man sollte sich auch mal angucken was das Backend ausspuckt wenn man den...


Folgen Sie uns
       


Command and Conquer Remastered - Test

Nach Desastern wie Warcraft 3: Reforged ist die gelungene Remastered-Version von C&C eine echte Erfrischung.

Command and Conquer Remastered - Test Video aufrufen
Ryzen 7 Mobile 4700U im Test: Der bessere Ultrabook-i7
Ryzen 7 Mobile 4700U im Test
Der bessere Ultrabook-i7

Wir testen AMDs Ryzen-Renoir mit 10 bis 35 Watt sowie mit DDR4-3200 und LPDDR4X-4266. Die Benchmark-Resultate sind beeindruckend.
Ein Test von Marc Sauter

  1. Ryzen 4000G (Renoir) AMD bringt achtkernige Desktop-APUs mit Grafikeinheit
  2. AMD Ryzen Threadripper Pro unterstützen 2 TByte RAM
  3. Ryzen 3000XT im Test Schneller dank Xtra Transistoren

MS Flight Simulator angespielt: Airbus 320neo mit Tastatur gesteuert
MS Flight Simulator angespielt
Airbus 320neo mit Tastatur gesteuert

Wie fliegt sich der Airbus 320neo? Golem.de hat es am PC ausprobiert - und von den Entwicklern mehr über den Flight Simulator erfahren.
Von Peter Steinlechner

  1. Microsoft Flight Simulator startet auf Steam und fliegt mit Valve-VR
  2. Microsoft Flight Simulator enthält eigenen Marktplatz
  3. Aerosoft MS Flight Simulator kommt auf 10 DVDs in den Handel

Mars 2020: Was ist neu am Marsrover Perseverance?
Mars 2020
Was ist neu am Marsrover Perseverance?

Er hat 2,5 Milliarden US-Dollar gekostet und sieht genauso aus wie Curiosity. Einiges ist dennoch neu, manches auch nur Spielzeug.
Von Frank Wunderlich-Pfeiffer


      •  /