Sicherheitsforscher des Chaos Computer Clubs (CCC) sind in der letzten Woche bei einer „freiwilligen Netzpatrouille“ auf die Suche nach Datenlecks gegangen und haben dabei 6,4 Millionen Datensätze aus insgesamt über 50 Leaks gefunden. Wie der CCC mitteilt, waren sowohl staatliche Institutionen als auch Unternehmen aus verschiedenen Branchen betroffen.
Die Daten bezogen sich demnach auf Kund:innen, Fluggäste, Bewerber:innen, Patient:innen, Versicherte und Social Media Nutzer:innen. Neben persönlichen Daten fanden die Forschenden auch Log-Daten und Quellcode.
Personenbezogene Daten in offenen Repositories
Alle Daten waren frei verfügbar – die Forschenden haben nach eigenen Angaben keine technischen Hürden überwinden müssen. In über der Hälfte der Fälle lagen die Daten in offenen Git-Repositories. Teils handelte es sich dabei um unabsichtlich mit versionierte Daten, teils lagen Tabellen oder Backups mit personenbezogenen Daten im Repository.
Ein Viertel der Daten wurde über ungesicherte Elasticsearch-Instanzen gefunden. Darüber hinaus lagen Daten in Nutzer-Interfaces von Symfony Profilern und anderen ungeschützt erreichbaren Datenbank-Servern gefunden. Teilweise lagen private Schlüssel in frei zugänglichen Konfigurationsdateien.
Alle Lecks hat der CCC an die jeweiligen Verantwortlichen gemeldet. In fast allen Fällen wurden die Schwachstellen dann auch behoben. Ob die Verantwortlichen in allen Fällen auch die Betroffenen informiert haben, bleibt offen.
Sorgloser Umgang mit Daten als Sicherheitsrisiko
„Es ist ernüchternd, wie sorglos manche Unternehmen mit ihren Daten oder, schlimmer, den Daten ihrer Kundinnen umgehen“, sagt Matthias Marx, Sprecher des Chaos Computer Clubs, laut Pressemitteilung. „Immerhin wurde in den meisten Fällen schnell und professionell reagiert. Für die anderen hoffen wir, dass unsere Meldung der letzte notwendige Weckruf war.“
Der CCC weist angesichts der Funde wiederholt darauf hin, Passwörter verschlüsselt zu speichern, Access Tokens besonders zu sichern, für Tests keine echten Nutzer:innendaten zu nutzen, keine Backups, Logs und sensible Konfigurationsdateien zu veröffentlichen. In Zukunft soll es weitere solcher Kontrollen geben.
