Zeigt her eure Daten! Bei Helpling klafft monatelang eine Lücke in der Datensicherheit
Bei der Reinigungskräftevermittlung Helpling wurde der Alptraum jedes Unternehmers zur bitteren Realität: Monatelang waren die privaten Daten von Kunden und Reinigungskräften online abrufbar. Eine Sicherheitslücke im System, die viel zu einfach eine viel zu große Angriffsfläche für Kriminelle bot und so hunderttausende sensible Daten in die undurchsichtigen Weiten des World Wide Web geschleust hat.
Eine einfache Zahlenspielerei genügte für uneingeschränkte Dateneinsicht
Eigentlich wollten die Samwer-Brüder mit der Gründung ihres Unternehmens Helpling – das Privatpersonen gegen eine Provision eine Reinigungskraft vermittelt – dem Treiben auf dem Putz-Schwarzmarkt ein Schnippchen schlagen. Jetzt hat das Unternehmen selbst einen schmerzlichen Schlag abbekommen; und das auch noch im empfindlichen Bereich der Datensicherheit.
Rechnungen, Kunden-Adressen und zum Teil sogar Sozialversicherungsnummern von Reinigungskräften – all diese Daten waren laut des Online-Magazins Netzpolitik.org wohl mehrere Monate für jeden eingeloggten Nutzer abrufbar. Das schlimmste daran: um diese enorme Sicherheitslücke auszunutzen, war keinerlei Hacking-Wissen vonnöten. In der Adresszeile des Browsers musste lediglich die Nummer hinter der eigenen Rechnung verändert werden und schon wurde der Zugang zu den Daten anderer Nutzer zum Kinderspiel.
Obwohl das Startup von Rocket Internet nur wenige Minuten nach Bekanntmachung des Datenlecks den Fehler behoben hatte, bleibt ungewiss, wie viele und vor allem welche Daten schon jetzt im Netz kursieren. Putzportal-Gründer Benedikt Frank versicherte zwar, dass keinerlei Zahlungsinformationen in falsche Hände gelangt sind, gesichert ist diese Aussage jedoch nicht. Rein theoretisch werden Einbrüche und Diebstähle für Kriminelle als “Helpling in Spe“ zum leichten Spiel, wenn sie durch die geklauten Daten einfach einsehen können, wann und wo geputzt werden soll. Dass es sich dabei leider nicht um rein theoretisches Wissen handelt, beweist, dass die Netzpolitik-Redaktion Rechnungen von Monaten einfach abrufen oder auch als PDF hätten runterladen können.
Vorsicht ist besser als Nachsicht
Laut dem Unternehmen habe es Anfang Juni 2016 bei Helpling eine Systemumstellung gegeben, die das Datenleck zu verantworten habe. Die Redaktion von Netzpolitik hatte jedoch auf die Rechnungsdaten mehrerer Monate Zugriff, was auf ein länger bestehendes Problem hinweist. Mittlerweile ist die Datenlücke geschlossen, die deutschen Nutzer sind informiert und das Unternehmen versichert, dass ein solch gravierender Fehler ein Einzelfall bleiben wird. Als Konsequenz aus dem Daten-Fiasko will Helpling jetzt zusammen mit externen Datenschutzbeauftragten die bisherigen internen Sicherheitsmaßnahmen ausweiten – besser spät als nie.
Kriminellen keine Angriffsfläche bieten
Weiterführende Informationen:
- Verschlüsselung, Erpressung, mobile Ransomware? Interview mit Kaspersky Lab über aktuelle Gefahren und Trends am Cybercrime-Himmel
- Hack oder fahrlässiges Datenleck? Tausende Kundendaten der DuMont Mediengruppe im Web
- Sicherheitsvorfälle bereits bei ¾ aller Unternehmen – für Freelancer ist die Gefahr besonders groß
© Vanessa Materla – exali AG