Zahlungsdienstleister: Mastercard schließt Bonusprogramm nach Datenleck

Rund 90.000 gekürzte Kreditkarten-Nummern sowie weitere persönliche Daten enthält eine Datenbank, die aus einem Datenleck bei einem Bonusprogramm von Mastercard stammt. Der Zahlungsdienstleister spricht von einem "Problem" und stoppt das Programm.

Artikel veröffentlicht am 20. August 2019, 11:17 Uhr, Moritz Tremmel

Ein Datenleck bei Mastercard? (Bild: TheDigitalWay/Pixabay)

Das Mastercard-Bonusprogramm Priceless Specials ist von einem Datenleck betroffen. Eine Datenbank mit den Daten von rund 90.000 Personen aus Deutschland war am 19. August 2019 kurzzeitig in einem Online-Forum abrufbar. Das Problem ist dem Zahlungsdienstleister bekannt, es werde mit Hochdruck untersucht. "Vorsorglich haben wir die Priceless-Specials-Plattform umgehend geschlossen", erklärte die Sprecherin Juliane Schmitz-Engels. Über das Programm konnten Mastercard-Kunden Bonuspunkte für Transaktionen sammeln und diese gegen Prämien eintauschen.

Durch einen aufmerksamen Leser liegt Golem.de die Datenbank vor. Neben Vor- und Zuname, Wohnort, Geburtsdatum und der E-Mail-Adresse der Betroffenen sind auch die ersten und letzten vier Ziffern der Kreditkartennummer enthalten. Bei einem Teil der Nutzer ist zudem die komplette Anschrift sowie eine Telefon- oder Mobilfunknummer hinterlegt.

Auch wenn mehrere Namen doppelt und dreifach in der Datenbank enthalten sind, darunter Max Mustermann, wirkt sie insgesamt authentisch. Mastercard erklärte auf Nachfrage, derzeit keine weiteren Angaben zu dem Datenleck, der Anzahl der Betroffenen oder den technischen Hintergründen machen zu können. "Dieses Problem hat keinerlei Auswirkungen und steht nicht im Zusammenhang mit dem Zahlungsnetzwerk von Mastercard", betont Schmitz-Engels.

Kein Einzelfall

Sofern die Daten echt sind, können Kriminelle sie für Phishing-Kampagnen verwenden. Beispielsweise können Phishing-Mails im Mastercard-Design mit den richtigen Daten versehen werden und so authentischer wirken.

Erst kürzlich wurden die Daten von über 100 Millionen Kunden der US-Bank Capital One kopiert. Kurz zuvor konnten Angreifer bei der Freenet-Tochter Vitrado die Daten von 67.000 Nutzern auslesen. Anfang Juli verlangte die britische Datenschutzbehörde eine Strafzahlung von 200 Millionen Euro von der Fluggesellschaft British Airways für ein Datenleck. In der Begründung wurde auf die "schwachen Sicherheitsvorkehrungen" bei der Airline verwiesen.

Nachtrag vom 20. August 2019, 14:30 Uhr

Golem.de konnte das Datenleck mittlerweile verifizieren: Die Datenbank enthält die korrekten Daten eines Kollegen, der das Bonusprogramm von Mastercard nutzt. Auch mehrere betroffene Leser haben sich bei Golem.de gemeldet und bestätigt, dass sie ihre persönlichen Daten in dem Datenleck korrekt identifizieren konnten. Mastercard sollte es insofern ein Leichtes sein, die Echtheit der Daten zu überprüfen. Dennoch hat der Zahlungsdienstleister die Echtheit bisher weder bestätigt noch die Betroffenen informiert.