Sicherheitsforscher des Chaos Computer Clubs (CCC) sind in der letzten Woche bei einer „freiwilligen Netzpatrouille“ auf die Suche nach Datenlecks gegangen und haben dabei 6,4 Millionen Datensätze aus insgesamt über 50 Leaks gefunden. Wie der CCC mitteilt, waren sowohl staatliche Institutionen als auch Unternehmen aus verschiedenen Branchen betroffen.
Die Daten bezogen sich demnach auf Kund:innen, Fluggäste, Bewerber:innen, Patient:innen, Versicherte und Social Media Nutzer:innen. Neben persönlichen Daten fanden die Forschenden auch Log-Daten und Quellcode.
Personenbezogene Daten in offenen Repositories
Alle Daten waren frei verfügbar – die Forschenden haben nach eigenen Angaben keine technischen Hürden überwinden müssen. In über der Hälfte der Fälle lagen die Daten in offenen Git-Repositories. Teils handelte es sich dabei um unabsichtlich mit versionierte Daten, teils lagen Tabellen oder Backups mit personenbezogenen Daten im Repository.
Ein Viertel der Daten wurde über ungesicherte Elasticsearch-Instanzen gefunden. Darüber hinaus lagen Daten in Nutzer-Interfaces von Symfony Profilern und anderen ungeschützt erreichbaren Datenbank-Servern gefunden. Teilweise lagen private Schlüssel in frei zugänglichen Konfigurationsdateien.
Alle Lecks hat der CCC an die jeweiligen Verantwortlichen gemeldet. In fast allen Fällen wurden die Schwachstellen dann auch behoben. Ob die Verantwortlichen in allen Fällen auch die Betroffenen informiert haben, bleibt offen.
Sorgloser Umgang mit Daten als Sicherheitsrisiko
„Es ist ernüchternd, wie sorglos manche Unternehmen mit ihren Daten oder, schlimmer, den Daten ihrer Kundinnen umgehen“, sagt Matthias Marx, Sprecher des Chaos Computer Clubs, laut Pressemitteilung. „Immerhin wurde in den meisten Fällen schnell und professionell reagiert. Für die anderen hoffen wir, dass unsere Meldung der letzte notwendige Weckruf war.“
Der CCC weist angesichts der Funde wiederholt darauf hin, Passwörter verschlüsselt zu speichern, Access Tokens besonders zu sichern, für Tests keine echten Nutzer:innendaten zu nutzen, keine Backups, Logs und sensible Konfigurationsdateien zu veröffentlichen. In Zukunft soll es weitere solcher Kontrollen geben.
Bitte beachte unsere Community-Richtlinien
Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.
Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.
Dein t3n-Team