Abo
  • Services:

Panera Bread: Café-Kette exponiert Millionen Kundendaten im Netz

Sicherheitsexperten zufolge sollen die persönlichen Daten von bis zu 37 Millionen Kunden einer großen Kette von Bäckerei-Cafés in den USA frei zugänglich gewesen sein - und das seit mindestens acht Monaten. Bei seiner Reaktion macht das Unternehmen offenbar fast alles falsch.

Artikel veröffentlicht am ,
Die US-Bäckereikette Panera Bread hat offenbar persönliche Daten von bis zu 37 Millionen Kunden ungeschützt im Netz gehabt.
Die US-Bäckereikette Panera Bread hat offenbar persönliche Daten von bis zu 37 Millionen Kunden ungeschützt im Netz gehabt. (Bild: Pxhere/Golem.de/CC0 1.0)

Die amerikanische Bäckerei-Café-Kette Panera Bred hat offenbar monatelang persönliche Daten von Millionen Kunden offen im Netz stehen lassen. Von dem Leak betroffen sein sollen neben den Namen und Postadressen der Kunden auch E-Mail-Adressen, Geburtsdaten sowie die jeweils letzten vier Ziffern der Kreditkartennummern. Diese Informationen reichen in vielen Fällen aus, um sich gegenüber anderen Kundendiensten am Telefon als jemand Fremdes auszugeben und so beispielsweise einen Passwort-Reset oder das Zusenden einer neue Kundenkarte zu erreichen.

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Stellenmarkt
  1. Stadtwerke München GmbH, München
  2. diconium digital solutions GmbH, Berlin, Hamburg, Karlsruhe, Stuttgart

Bereits im August 2017 hat der Forscher Dylan Houlihan, der die Schwachstelle eher zufällig entdeckte, eigenen Angaben zufolge Panera Bread über das Problem informiert. Obwohl das Unternehmen das Datenleck bestätigte, blieb es trotz wiederholter Nachfrage durch Houlihan offenbar monatelang ungepatcht. Bis sich Houlihan an den Sicherheitsexperten Brian Krebs wandte, der die Sache am Montag publik machte.

Gepatcht und doch nicht gepatcht

Nach der Veröffentlichung durch Krebs sei die Webseite panerabread.com schnell komplett offline gegangen. Es dauerte aber demnach nur wenige Stunden bis das Unternehmen meldete: "Problem behoben", und die Seite wieder online ging. Gleichzeitig ging Panera mit der Behauptung an die amerikanische Presse, das Unternehmen nehme "Datenschutz sehr ernst" und habe das Problem gelöst. Es seien lediglich 10.000 Kundenkonten betroffen gewesen.

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)

Dass das augenscheinlich nicht der Fall war, bestätigten kurz darauf weitere Experten. Offenbar hatte Panera versucht, das Problem dadurch zu lösen, die offenen Angriffsvektoren mit einer Loginseite zu schützen, die einen gültigen Kundenkonto voraussetzt. Hinter dem Login sei der Zugriff auf die Gänze der Kundendaten aber weiterhin möglich. Seit dieser neuerlichen Veröffentlichung ging Paneras Onlineshop wieder komplett offline.

Fehlende Kanäle, unangemessene Reaktion

Fast schockierender als das Datenleck selbst erscheint jedoch die Art und Weise, wie Panera Bread auf die Meldung der Lücke durch Houlihan reagierte. Seinem Blogpost zufolge war es nicht leicht, bei Panera überhaupt mit einem Verantwortlichen in Kontakt zu treten. Die generische E-Mail-Adresse security[æt]panerabread.com habe mit einem Bounce geantwortet.

Als der Kontakt über Dritte schließlich gelang, habe ihm Paneras IT-Sicherheitschef zuerst nicht glauben wollen, dass es sich um ein echtes Sicherheitsproblem handelt. In seiner ersten Antwort habe er Houlihan stattdessen beschuldigt ein Scammer zu sein oder einen versteckten Salespitch zu versuchen: "Mein Team hat Ihre E-Mails erhalten, sie wirkten aber sehr verdächtig und wurden daher ignoriert. Wenn das eine Verkaufstaktik sein soll, empfehle ich dringend einen besseren Ansatz, denn nach einem PGP-Schlüssel zu fragen, wäre kein guter Start für einen Pitch."

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).

Der gesamte E-Mail-Austausch zwischen Houlihan und Panera Bread (auf Englisch) ist durchaus lesenswert und an sich schon skandalträchtig. Trotz der Schwierigkeiten, der erfolglosen Patches, des fehlenden Dankeschöns und des rüden Umgangstons durch Paneras IT-Sicherheitschef betont Houlihan jedoch, dass Panera nicht das einzige Unternehmen mit einer so problematischen Datensicherheitskultur sei.

"Dieses Problem besteht nicht nur bei einer einzelnen Art von Firma. So etwas ist schon früher passiert und es wird auch wieder passieren", schreibt Houlihan. "Es ist einfach, mit dem Finger auf eine einzelne Person zu zeigen, aber solche Leute kommen nur in ihre Position (des IT-Sicherheitschefs, Anm.d.R.), weil ihr Verhalten grundsätzlich mit der Kultur und den Prioritäten eines Unternehmens kompatibel ist."

Der wichtigste Schritt für Unternehmen sei es, einen einfachen Prozess zu entwickeln, mit dem Sicherheitslücken gemeldet werden könnten, ohne dass die Entdecker sich vor den Konsequenzen fürchten müssen. Dass Paneras IT-Sicherheitschef laut seinem Linkedin-Profil zwischen 2009 und 2013 als Senior Director für Security Operations bei Equifax tätig war, zeigt aber dann doch irgendwie wieder mit dem Finger in Richtung einer Person.



Anzeige
Spiele-Angebote
  1. 5€
  2. 59,99€
  3. (-64%) 17,99€
  4. 19,99€

amagol 05. Apr 2018 / Themenstart

Mit Kreditkate zahlen ist ja nicht das Problem. Aber warum muss Panera das ueberhaupt...

Pornstar 04. Apr 2018 / Themenstart

Wie bitte? Fox news ist der Sender der die meisten Amerikaner erreicht.

telecaster 04. Apr 2018 / Themenstart

Hab ich mir auch gerade gedacht. Wie schnell Millionen von Menschen bereit sind für ein...

mars96 03. Apr 2018 / Themenstart

John Oliver hatte die vor rund einem Halben Jahr wegen des letzten Sicherheitsproblems im...

bolzen 03. Apr 2018 / Themenstart

So ist es. Man sollte sich auch mal angucken was das Backend ausspuckt wenn man den...

Kommentieren


Folgen Sie uns
       


iPad 2018 - Test

Das neue iPad hat vertraute Funktionen, die es teilweise zu diesem Preis aber noch nicht gegeben hat. Wir haben uns Apples neues Tablet im Test angeschaut.

iPad 2018 - Test Video aufrufen
Datenschutz: Der Nutzer ist willig, doch die AGB sind schwach
Datenschutz
Der Nutzer ist willig, doch die AGB sind schwach

Verbraucher verstehen die Texte oft nicht wirklich, in denen Unternehmen erklären, wie ihre Daten verarbeitet werden. Datenschutzexperten und -forscher suchen daher nach praktikablen Lösungen.
Ein Bericht von Christiane Schulzki-Haddouti

  1. Denial of Service Facebook löscht Cybercrime-Gruppen mit 300.000 Mitgliedern
  2. Vor Anhörungen Zuckerberg nimmt alle Schuld auf sich
  3. Facebook Verschärfte Regeln für Politwerbung und beliebte Seiten

Facebook-Anhörung: Zuckerbergs Illusion von der vollen Kontrolle
Facebook-Anhörung
Zuckerbergs Illusion von der vollen Kontrolle

In einer mehrstündigen Anhörung vor dem US-Senat hat Facebook-Chef Mark Zuckerberg sein Unternehmen verteidigt. Doch des Öfteren hinterließ er den Eindruck, als wisse er selbst nicht genau, was er in den vergangenen Jahren da geschaffen hat.
Eine Analyse von Friedhelm Greis

  1. Facebook Messenger Zuckerbergs Nachrichten heimlich auf Nutzerkonten gelöscht
  2. Böswillige Akteure Die meisten der zwei Milliarden Facebook-Profile ausgelesen
  3. DSGVO Zuckerberg will EU-Datenschutz nicht weltweit anwenden

Far Cry 5 im Test: Schöne Welt voller Spinner
Far Cry 5 im Test
Schöne Welt voller Spinner

Der Messias von Montana trägt Pornobrille und hat eine Privatarmee - aber nicht mit uns gerechnet: In Far Cry 5 kämpfen wir auf Bergwiesen und in Bauernhöfen gegen seine Anhänger. Das macht dank einiger Serienänderungen zwar Spaß, dennoch verschenkt das Actionspiel von Ubisoft viel Potenzial.
Von Peter Steinlechner

  1. Far Cry 5 Offenbar Denuvo 5 und zwei weitere Schutzsysteme geknackt
  2. Ubisoft Far Cry 5 schafft Serienrekord und Spieler werfen Schaufeln
  3. Ubisoft Far Cry 5 erlaubt Kartenbau mit Fremdinhalten

    •  /