Durch einen Einrichtungsfehler in einem Server sollen persönliche Daten von drei Millionen Kunden der Autovermietung Buchbinder offen im Netz gestanden haben. Darunter etwa auch die Adresse von Grünen-Chef Robert Habeck.
Es ist wohl eines der bislang größten Datenlecks in der deutschen Geschichte, das das IT-Magazin "c't" gemeinsam mit der Wochenzeitung "Die Zeit" recherchiert und nun veröffentlicht hat: Rund drei Millionen Kundendaten des Autovermieters Buchbinder, darunter auch Adressen und Telefonnummern von Prominenten, waren über Wochen ungeschützt auf einem Server verfügbar.
Alles, was ein Angreifer tun musste, war die passende IP-Adresse in den Browser einzugeben. Anschließend konnten rund zehn Terabyte Daten heruntergeladen werden. Ein Passwort benötigte man dafür nicht.
Laut der Recherche von "c't" und "Zeit" war ein Konfigurationsfehler eines Backup-Servers Schuld an dieser eklatanten Lücke – also schlicht menschliches Versagen.
Buchbinder ist laut eigener Aussage "Marktführer im Privatkundensegment PKW und LKW in Deutschland und Österreich" und betreibt über 150 Mietstationen in Europa.
Bei den ungeschützten Daten soll es sich um Firmenkorrespondenz sowie eingescannte "Rechnungen, Verträge, Mails und Schadensbilder von Autos" handeln, schreibt die "c't". Unter anderem waren in den Daten neun Millionen Mietverträge einsehbar – und damit auch Name, Adresse, Geburtsdatum, Führerscheinnummer. Vielfach hatten Kunden auch ihre Handynummer und ihre E-Mail-Adresse angegeben.
Für Kriminelle wäre dieser Datenschatz Gold wert, da es sich in den allermeisten Fällen um korrekte, vielfach auch noch gültige Daten handeln dürfte. Laut "c't" und "Zeit" fanden sich in den Datensätzen auch etliche Kontaktdaten von Prominenten, Spitzenpolitikern, Botschaftsangehörigen und Mitarbeitern von Bundesministerien. Namentlich wurden in der Recherche aber nur Grünen-Chef Robert Habeck und Arne Schönbohm genannt. Letzterer ist Chef des Bundesamts für Sicherheit in der Informationstechnik und damit der oberste Cyberwächter in der Republik.
Wer wissen will, ob auch er oder sie vom Datenleck betroffen ist, könne das direkt bei Buchbinder erfragen. Die "c't" stellt in ihrem Artikel eine Druckvorlage sowie die entsprechende Adresse bereit.
