Online-Buchhändler libri.de: Datenleck größer als angenommen

Hamburg. Das Datenleck beim Online-Buchhändler libri.de war weitaus größer als ursprünglich angenommen.

Nicht nur die Daten von über 500 000 Rechnungen der Kunden, sondern auch umfangreiche Details aus den über tausend Shops des Marktplatzes waren mit einem kleinen Zahlentrick ohne weiteres einsehbar.

"Die neuerlichen Weiterungen des Falles dokumentieren ein erschreckendes Ausmaß an Unkenntnis und Nachlässigkeit im Umgang mit Daten und der Datensicherheit", kommentierte der Hamburger Datenschutzbeauftragte Johannes Caspar die neuen Entdeckungen. Libri.de hat nach eigenen Angaben direkt nach Bekanntwerden die Sicherheitslücke noch am Donnerstagabend geschlossen.

Einzelne Shops hätten komplett übernommen werden können

Theoretisch sei es möglich gewesen, auch einzelne Shops komplett zu übernehmen, berichtet das Internet-Blog netzpolitik.org am Freitag. Die Betreiber hatten nach der ersten, am Donnerstag bekannt gewordenen Panne einen weiteren Hinweis erhalten. Mit leicht veränderten Login-Daten konnte sich netzpolitik.org mit immer dem gleichen Passwort in immer weitere Shops einloggen.

"Wir hatten Zugriff auf die kompletten Bestellstatistiken, die Bestellhistorie, Beleghistorie und Kundenliste mit Mail- und Postadresse", berichtet das Blog. Erst ein Tag zuvor war es den Mitarbeitern gelungen, sich Zugang zu über 500 000 Rechnungen von Kunden inklusive Anschrift, Rechnungsnummer und den bestellten Artikeln.

Caspar kritisiert vor allem die Nachlässigkeit bei der Vergabe der simplen Passwörter. Diese hätten die Shop-Betreiber geradezu eingeladen zu testen, "was die Konkurrenz so treibt". Nach Angaben von libri.de seien die Passwörter nach Bekanntwerden des Lecks unmittelbar neu gesetzt worden. Ursache der Panne sei es, dass die Betreiber der drei Shops, in die sich die Mitarbeiter von netzpolitik.org einloggen konnten, das Passwort nicht sofort geändert hätten. Libri.de will künftig "durch technische Mittel die Wahl eines sicheren Passworts" erzwingen. (dpa)