Datenleck bei Schlecker: Drogerie mit offenem Tresor
150.000 Kundeprofile, über 7 Millionen Email-Adressen: Daten von Onlinekunden der Schlecker-Kette waren wochenlang im Netz abrufbar. Die Firma spricht von einem "Angriff".
BERLIN taz | Datensätze von über 150.000 Schlecker-Online-Kunden waren bis Donnerstag über das Internet zugänglich; zudem seien dort 7,1 Millionen E-Mail-Adressen von Newsletter-Kunden abrufbar gewesen. Das sagte der Medienunternehmer Tobias Huch, der das Leck entdeckte, am Freitag der taz. Zu den betroffenen Daten gehörten Vor- und Nachname, Adresse, Geschlecht, E-Mail-Adresse und Kundenprofil.
Schlecker bestätigte das Datenleck, betonte aber, dass "keine sensiblen Kundendaten" wie etwa Passwörter, Kontonummern oder andere Zahlungsdaten sowie Kaufinformationen in den Datensätzen enthalten gewesen seien. Die Panne trat nicht im Online-Shop selbst auf, sondern bei einem externen Dienstleister.
"Man musste kein Hacker sein, um an diese Daten zu kommen. Mit Grundkenntnissen über den Aufbau von Webseiten und Datenbanken waren die leicht zu finden", sagte Tobias Huch, der schon 2008 einen Datenskandal bei T-Mobile aufdeckte.
Schlecker erklärte dagegen, dass die Daten nicht öffentlich im Internet einsehbar gewesen seien, sondern nur von technisch versierten Personen mit genauer Kenntnis der Quelle hätten erreicht werden können. Der illegale Zugriff auf die Daten sei offenbar durch einen "internen Angriff" möglich geworden. Schlecker habe Anzeige gegen unbekannt erstattet. Das Leck sei nach der Entdeckung umgehend geschlossen worden; die betroffenen Kunden würden schnellstmöglich informiert.
Es sei fest davon auszugehen, dass sich Unbefugte Zugang zu den Daten verschafft haben, sagt Huch. "Das war wie ein Tresor, bei dem die Tür offen steht - und zwar seit mehr als vier Wochen." Zu den betroffenen Daten gehörten auch Kundenprofile. Damit könnten zum Beispiel Online-Apotheken gezielt Schlecker-Kunden, die sich für Medikamente interessieren, mit Namen und Adresse anschreiben. Schuld an der Sicherheitslücke sei zwar in erster Linie der Online-Dienstleister, meint Tobias Huch. Schlecker hätte aber besser prüfen müssen.
"Wir werden die Daten, die der Finder heruntergeladen hat, prüfen und dann löschen", sagte Helmut Eiermann, Mitarbeiter vom Landesbeauftragten für den Datenschutz in Rheinland-Pfalz, der taz. "Solche Datenpannen häufen sich", so Eiermann. Grund: Firmen setzten verstärkt externe Dienstleister ein. "Wenn Sie zum Beispiel ein anderes Unternehmen beauftragen, ein Callcenter für Sie zu unterhalten, geben Sie denen auch Zugang zu Ihren Kundendaten." Dadurch erhöhe sich auch das Risiko, dass sie nach draußen gelangen, so Eiermann.
40.000 mal Danke!
40.000 Menschen beteiligen sich bei taz zahl ich – weil unabhängiger, kritischer Journalismus in diesen Zeiten gebraucht wird. Weil es die taz braucht. Dafür möchten wir uns herzlich bedanken! Ihre Solidarität sorgt dafür, dass taz.de für alle frei zugänglich bleibt. Denn wir verstehen Journalismus nicht nur als Ware, sondern als öffentliches Gut. Was uns besonders macht? Sie, unsere Leser*innen. Sie wissen: Zahlen muss niemand, aber guter Journalismus hat seinen Preis. Und immer mehr machen mit und entscheiden sich für eine freiwillige Unterstützung der taz! Dieser Schub trägt uns gemeinsam in die Zukunft. Wir suchen auch weiterhin Unterstützung: suchen wir auch weiterhin Ihre Unterstützung. Setzen auch Sie jetzt ein Zeichen für kritischen Journalismus – schon mit 5 Euro im Monat! Jetzt unterstützen
meistkommentiert
Werben um Wechselwähler*innen
Grüne entdecken Gefahr von Links
Wahlverhalten junger Menschen
Misstrauensvotum gegen die Alten
Kanzler Olaf Scholz über Bundestagswahl
„Es darf keine Mehrheit von Union und AfD geben“
Donald Trump zu Ukraine
Trump bezeichnet Selenskyj als Diktator
Berlinale-Rückblick
Verleugnung der Gegenwart
Wahlarena und TV-Quadrell
Sind Bürger die besseren Journalisten?