Abstract

Berlin/Hamburg (rb) – Das Blog netzpolitik.org wartete gestern mit einer Exklusivmeldung auf: Auf Grund einer Sicherheitslücke im Shop-System von Libri.de war es möglich, Rechnungen anderer Kunden einzusehen. Heute schob das Blog die Meldung nach, dass auch ein Zugriff auf die Shops anderer Händler bei Libri möglich gewesen sei. Der Fall ist besonders brisant, da die Plattform mit dem „Safer-Shopping Zertifikat“ des TÜV ausgezeichnet wurde.

Einem Leser des Blogs netzpolitik.org war nach deren Angaben die URI aufgefallen, unter der man die Rechnung seiner Bestellung herunterladen konnte. Warum in der Bestätigungsemail nach einem Kauf dieser Link angegeben wurde, anstatt die Rechnung anzuhängen, wurde bislang noch nicht geklärt. Über die Manipulation dieses URI war es aber möglich, an beliebige Kundenrechungen der letzten 16 Monate zu gelangen, wie es bei netzpolitik.org heißt. Nachdem die Blogbetreiber den Hamburger Datenschutzbeauftagten sowie Libri.de selbst über das Datenleck informierten, soll die Sicherheitslücke jetzt geschlossen sein.

Zugriff auf Shops möglich: Übernahme und Manipulation

Nach einem weiteren Hinweis gelang es netzpolitik.org auch, eine weitere Schwachstelle im Shop-System von Libri.de ausfindig zu machen, mit der ein Zugriff auf Kunden- sowie Händlerdaten möglich gewesen sein soll: Beim Registrieren eines eigenen Shops bekommt der Händler eine Nutzerkennung sowie ein Passwort mitgeteilt, wobei bislang beide Phrasen gleich waren. Hatte nun ein Händler sein Passwort nicht geändert, konnte man über dessen Nutzerkennung das Passwort erhalten und sich bei Libri.de anmelden. Dort habe man laut netzpolitik.org Zugriff auf Bestellungen, Kundendaten sowie Händlerdaten gehabt; es soll sogar möglich gewesen zu sein, durch Ändern der Anschrift und Bankverbindung Shops zu übernehmen.

Fragen an den TÜV und Libri.de

Dieser Fall wirft einige Fragen sowohl an Libri.de als auch an den TÜV auf, der die Plattform mit dem „Safer-Shopping Zertifikat“ ausgezeichnet hatte. Das beginnt bereits damit, dass Rechnungen anscheinend über ein Jahr lang bei Libri.de gespeichert worden sind – Grundgedanke des Datenschutzes ist allerdings die Datenvermeidung und Datenarmut, sprich man hebt Dinge nicht länger auf, als man sie benötigt. Weiterhin ist es fragwürdig, wie ein „TÜV-geprüftes“ Angebot solch eklatante Sicherheits- und Datenschutzlücken enthalten kann. Wenn die Lücke schon vorher bestand, dürfte sich der TÜV unangenehmen Fragen stellen müssen, ansonsten ist die Frage erlaubt, warum nach einer Änderung am Shop-System kein neuer Sicherheits-Audit stattgefunden hat.

Und an die unbedarften Nutzer (in diesem Fall: Händler) ist auch die Frage gerichtet, warum diese häufig Standardpassworte oder leicht zu erratende verwenden.