Sicherheitslücke entdeckt "Corona-Listen" von Restaurantbesuchern einsehbar
News folgenOffenbar wies ein Cloud-Dienst für Restaurant-Reservierungen eklatante Sicherheitslücken auf. Laut Chaos Computer Club war deshalb der Zugriff auf Kontaktdaten möglich, die Gäste hinterlassen hatten.
Wer dieser Tage ein Restaurant besucht, muss dort in der Regel seine Kontaktdaten hinterlassen. Diese Vorschrift soll sicherstellen, dass bei einem später festgestellten Corona-Fall eine Ermittlung der Kontaktpersonen möglich ist.
Oftmals werden Name und Adresse der Gäste mittels Stift und Papier festgehalten. Einige Restaurants setzen aber auch auf digitale Lösungen. Das kann ein Sicherheitsrisiko bergen, wie nun die IT-Experten vom Chaos Computer Club (CCC) demonstrierten.
Nachdem CCC-Mitglieder bei einem Restaurantbesuch gebeten worden waren, sich in eine digitale "Corola-Liste" einzutragen, testeten diese den Dienst auf Schwachstellen – und fanden auch prompt welche.
Insgesamt war es so möglich, auf insgesamt rund 87.000 Datensätze von Personen zuzugreifen, die im Rahmen der Corona-Kontakterhebungen von 180 Restaurants in dieses System eingespeist wurden, schreibt der CCC in einem Blogeintrag.
Insgesamt Zugriff auf 4,8 Millionen Datensätze
Darüber hinaus konnten die IT-Experten dabei auf insgesamt 4,8 Millionen Personendatensätze zugreifen, die im Laufe der vergangenen Jahre bei mehr als 5,4 Millionen Reservierungen über diesen Dienstleister angefallen waren. Teilweise sollen die Datensätze bereits seit zehn Jahren dort gespeichert sein.
Die gefundenen Schwachstellen wurden laut CCC gründlich dokumentiert und dem Betreiber gastronovi mitgeteilt. Dieser habe nach eigener Aussage die Lücke bereits geschlossen. Ähnliche Probleme könnten aber auch bei vergleichbaren Dienstleistern bestehen, warnen die CCC-Experten.
Besuchern raten sie deshalb, die Daten nur auf Papier und nicht digital bei Restaurantbesuchen zu hinterlassen – und generell eine gesonderte, pseudonyme E-Mail-Adresse zu hinterlassen, die dann auf die eigene Adresse weitergeleitet wird.
