Bei dem Vergleichsportalanbietern CHECK24 und VERIVOX hat es laut Berichten des Recherchenetzwerks CORRECTIV gab es eine erhebliche Sicherheitslücke, über die mit einfachsten technischen Mitteln sensible Kreditdaten der Kunden eingesehen werden konnten. 

Welches Datenleck gab es?

Wie ein anonymer IT-Experte über den Chaos Computer Club (CCC) berichtete, konnten die Kreditangebote, die Check24 und Verivox ihren Kunden anbot, über den Weblink eingesehen werden. 

Das bei Check24 vergebene Passwort zum Abruf dieser Kreditangebote sei mit einem globalen Passwort geschützt gewesen, sodass mit einem Passwort sämtliche verlinkte Angebote eingesehen werden konnte. 

Die Links seien dabei mit einer Zahl versehen, die händisch abgeändert werden kann. So kann dann ein Kreditangebot eines völlig anderen Kunden eingesehen werden

Beispielhafte Darstellung zum besseren Verständnis. Kein realer Link.

Laut des CORRECTIV-Berichts haben beide Unternehmen reagiert und die Sicherheitslücke inzwischen geschlossen. Wie viele Kunden in welchem Zeitraum von dieser sehr leicht ausnutzbaren Lücke betroffen sind, ist bisher noch unklar.

Neben der leicht einsehbaren Web-URL habe es auch Probleme mit einer „offenen Verbindung“ über einen s.g. WebSocket gegeben. 

Im Check24 Protokoll, das CORRECTIV vorliegt, heißt es hierzu: 

„Die Implementierung war nicht ausreichend abgesichert, sodass es einem Angreifer durch technische Manipulation möglich war, auch die Ergebnisse anderer Kunden zu sehen.“

Ausschnitt der Check24 API

Reaktionen auf die Datenlecks 

Die Unternehmen reagierten eigenen Darstellungen zufolge unmittelbar nach Bekanntwerden auf die Sicherheitslücken und schlossen diesen unverzüglich. 

Die IT-Sicherheitsmaßnahmen werden jedoch sehr kritisch gesehen. Der unabhängige CCC sprach im Rahmen der CORRECTIV-Berichterstattung von einem „Supergau“. 

Zudem gab es nach Bekanntwerden Meldungen bei den Landesdatenschutzbeauftragten durch den CCC als auch durch die betroffenen Unternehmen selbst.

Welche Daten sind betroffen ?

Laut Bericht sollen nicht nur die Kontaktdaten der Kunden betroffen sein, sondern auch die kreditsensiblen Daten betroffen sein, so z.B.

• wie viele Kinder sie haben
• wo sie arbeiten
• was sie verdienen
• wie viel Geld sie im Moment für Kredite ausgeben

Diese Daten begründen eine hohe Missbrauchsgefahr.

Ob diese Daten bereits an unbefugte Dritte abgeflossen sind, müssen Check24 und Verivox anhand von Zugriffsprotokollen nachweisen. Der Bayerische Landesbeauftragte für Datenschutz betonte dabei, dass die Unternehmen insoweit widerlegen müssen, dass Dritte diese Daten auch tatsächlich abgerufen haben. 

Was sollten Kunden von Check24 und Verivox jetzt tun?

Kunden der Portale, die Sorge haben, ebenfalls von der Sicherheitslücke betroffen zu sein, sollten im ersten Schritt Auskunft verlangen. 

Hierbei können Sie folgendes Musterschreiben verwenden: