Datenpanne bei der Deutschen Post AG

Durch einfaches Editieren einer Internetadresse waren Unbefugte in der Lage, die Bestellhistorie anderer Kunden des Internetshops ohne eigene Anmeldung einzusehen. Ähnlich wie bei anderen kürzlich bekannt gewordenen Fällen war auch hier lediglich die Veränderung einer ID-Nummer in der Adresszeile des Browsers notwendig. Der Parameter orderID ließ sich durch den Austausch einiger Ziffern so manipulieren, dass persönliche Daten anderer Käufer abrufbar waren. Angezeigt wurden sowohl Rechnungs- und Lieferadresse, die bestellten Waren inklusive Preisen als auch die gewählte Zahlungsart und das Versanddatum. Nicht ausgelesen werden konnten hingegen Firmen- oder Kundenname sowie Konto- oder Kreditkartendaten.

Nach einem Hinweis von onlinekosten.de am Montag (9. November) reagierte die Deutsche Post AG umgehend und behob die Sicherheitslücke innerhalb von 24 Stunden. Seit Dienstagmittag ist der PostOffice-Shop wieder uneingeschränkt nutzbar. Zum Umfang der Datenpanne äußerte die Deutsche Post AG, es habe sich um einige tausend Bestellübersichten von Firmen- und Geschäftskunden gehandelt. Rückschlüsse auf Personen oder die Personalisierung von Daten seien daher nicht ohne Weiteres möglich gewesen.

„Nur durch Zufall ist ein Mitarbeiter unserer Technik-Abteilung am vergangenen Wochenende auf die Datenschutz-Lücke aufmerksam geworden. In einer gemeinsamen Analyse waren wir überrascht, dass wir ohne Umwege oder technische Hürden auf die Rechnungen dutzender Post-Kunden zugreifen konnten“, sagt Hayo Lücke, Redaktionsleiter von onlinekosten.de. „Der unverzügliche Eingriff der Deutschen Post ist ein positives Signal, dass der Datenschutz auch im Internet immer größer geschrieben wird.“

  datenschutz, online-shop, post, sicherheitsluecke