Sicherheitslücke bei Modern Solution GmbH & Co. KG
Nach Hinweis auf Datenleck: Hausdurchsuchung beim Hinweisgeber.
| incidentID | Datum | Betroffene | Land | Sicherheitsvorfall | href | Land | Tags |
|---|
Sicherheitslücke bei Modern Solution GmbH & Co. KG
Der Dienstleister im Online-Handel Modern Solution hatte ein massives Sicherheitsproblem im Zusammenhang mit Kundendaten. Die Firma bietet Händlern die Anbindung ihrer Bestellverfahren an große Marktplätze wie Otto, Check24 oder Idealo an.
Ein Programmierer, welcher für einen Kunden von Modern Solution diese Anbindung im Sommer 2021 überprüfte, erkannte eine signifikante Schwachstelle darin. Da der Datenaustausch bei Modern Solution über eine im Klartext einsehbare SQL-Verbindung lief und die Zugangsdaten fest in der App verankert waren, konnten die Daten von mehr als 700.000 Endkunden leicht eingesehen werden.
Der Programmierer meldete seine Entdeckung an Modern Solution und setzte eine Frist von 3 Tagen für die Behebung der Schwachstelle, wurde jedoch abgewiesen mit der Begründung, dass keine Sicherheitslücke bestehe. Auch einen bekannten IT-Experten und Blogger, den der Programmierer hinzugezogen hatte, wies die Firma ab. Modern Solution hatte inzwischen das Problem allerdings doch aufgegriffen und abgestellt. Gefahr bestand für die Kundendaten damit nicht mehr.
Die beiden Whistleblower meldeten den Vorfall an die zuständigen Datenschutzbehörden. Nachdem die Sicherheit für die Kundendaten sichergestellt war, gingen sie mit ihren Erkenntnissen an die Öffentlichkeit. Kurz darauf fand eine Hausdurchsuchung bei dem Programmierer statt, in deren Verlauf die IT-Ausrüstung des Programmierers beschlagnahmt wurde. Vorgeworfen wird ihm u.a. das Ausspähen von Daten, Datenhehlerei und Verstoß gegen das Bundesdateschutzgesetz. Auch gegen den Blogger erging eine Anzeige. Mittlerweile wurde bekannt, dass die Anzeigen von Modern Solution erstattet wurde.
Von Modern Solution liegt keine Stellungnahme vor.
Nachtrag vom 10.06.2023:
Ein beantragtes Verfahren der Firma, einen Whistleblower anzuklagen, wurde von Dem Amtsgericht Jülich mit der Begründung abgelehnt, dass der Mitarbeiter eine Sicherheitslücke aufdeckte, die jedoch lediglich Daten betraf, die nicht ausreichend geschützt wurden.
Nachtrag vom 07.11.2024:
Ein noch nicht rechtskräftiges Urteil verpflichtete den Whistleblower zu einer Zahlung von 3.000 EUR Strafe. Ein Versuch, in Berufung zu gehen, wurde abgewiesen; der Forscher will jedoch in Revision gehen.
