Datenleck bei Schlecker: „Richtig schlampig gearbeitet“

Der Internetshop der Drogerie Schlecker ist gut sortiert: Parfüm, Katzenfutter und Babywindeln sind genauso frei zugänglich wie die Daten von 150.000 Kunden. Doch Schlecker selbst ist auch Opfer des Datenlecks.

Schleckers Onlineshop kämpft mit einem Datenleck.
Foto: ddp

Der Internetshop der Drogeriekette Schlecker ist gut sortiert. Der Kunde findet dort alles von Parfüm über Katzenfutter bis hin zu Baby-Windeln. Und wer etwas aufwendiger suchte, der konnte bislang sogar die Daten von 150.000 Kunden des Shops finden. Namen, Adressen, Geschlecht und Einkaufsgewohnheiten seien im Netz frei verfügbar gewesen, sagte der Entdecker des Lecks, IT-Experte Tobias Huch, der Frankfurter Rundschau. Zudem lagen 7,1 Millionen E-Mail-Adressen von Kunden des Schlecker-Newsletters offen. „Hier wurde richtig schlampig gearbeitet.“

Allerdings hat nicht Schlecker das Leck zu verantworten, sondern ein von Schlecker beauftragter IT-Dienstleister. „Schlecker ist auch Opfer“, sagte Huch. Nennen wollte er den Namen des Dienstleisters nicht, um Ermittlungen der Staatsanwaltschaft und der Datenschutzbeauftragten nicht zu gefährden. Allerdings soll der Dienstleister auch Bundesbehörden und weitere Unternehmen betreuen.

Die Kundendaten hat Huch bezeichnenderweise in einem Ordner mit dem Namen „public“ (engl.: öffentlich) gefunden. Ein böser Scherz? Schlecker erklärte gestern, dass möglicherweise ein Hackerangriff Ursache des Lecks sei. Das Unternehmen habe das „bedauerliche“ Datenleck umgehend geschlossen. In den öffentlich zugänglichen Datensätzen seien keine Passwörter, Kontonummern oder andere Zahlungsdaten enthalten. Schlecker musste allerdings einräumen, dass neben Huch noch weitere unbefugte Personen auf die Datensätze zugegriffen haben. Wie viele Daten eingesehen und möglicherweise kopiert wurden, wollte Schlecker nicht bekanntgeben.

Die Datenbank ist für Adresshändler so wertvoll, weil sie Interessens-Profile enthält“, sagte Huch. Daraus geht hervor, ob sich jemand für Kosmetik interessiert, oder doch eher für Babynahrung. So kann gezielt geworben werden. Betrüger können mittels der E-Mail-Adressen Millionen Menschen versuchen hinters Licht zu führen. Schlecker hat deshalb nach eigenen Angaben Anzeige gegen unbekannt erstattet.

Huch informierte den Datenschutzbeauftragten von Rheinland-Pfalz, Edgar Walter, der die Kundendaten inzwischen in Verwahrung genommen hat. Angesichts der Reihe schwerer Datenpannen in den vergangenen Jahren unter anderem bei der Deutschen Telekom, Lidl und dem Finanzdienstleister AWD mahnte Walter die Unternehmen zu mehr Vorsicht im Umgang mit Kundendaten: „Datenschutz im Unternehmen ist keine lästige Pflicht, sondern Voraussetzung für ein erfolgreiches Agieren im Netz.“