Wie eine weit offene Eingangstür: Bei einer millionenfach verbreiteten Internet-Datenbank gibt ein einfacher Fehler bei der Installation praktisch jedermann uneingeschränkten Zugang. Eindringlinge könnten die enthaltenen Daten nicht nur lesen, sondern sogar ändern, warnen deutsche Informatiker. Mehrere Millionen Adressen und Kreditkartendaten könnten betroffen sein.
Unsere Daten im Internet sind nicht so sicher, wie wir es gern hätten – das zeigen immer neue Berichte von Abhörskandalen über gehackte E-Mail-Server bis hin zu massenhaft online gestellten Privatfotos von Prominenten. Auch Kreditkarteninformationen sind offenbar alles andere als anonym.
„Jeder kann dort rein.“
Eine wahrhaft beängstigende Sicherheitslücke haben drei Informatikstudenten der Universität des Saarlandes in Saarbrücken nun entdeckt. Sie hatten testweise im Netz nach Servern und Diensten gesucht, die Datenbanken vom Typ MongoDB verwenden und mit dem Internet verbunden sind. Dabei fanden die Informatiker insgesamt 39.890 Adressen, bei denen gewissermaßen die Türen sperrangelweit offen standen: Durch eine falsche Konfiguration der Datenbanken erhielten sie mühelos Zugang zu allen darin enthaltenen Informationen, darunter Kundendaten wie Adressen, E-Mails und Kreditkartennummern.
„Eine so ungesicherte Datenbank im Internet gleicht einer öffentlichen Bibliothek ohne Bibliothekar mit weit offen stehender Eingangstür“, erklärt Michael Backes vom Saarbrücker Kompetenzzentrum für IT-Sicherheit (CISPA). „Jeder kann dort rein.“ Die Studenten hatten Backes nach ihrem Fund kontaktiert. Weltweit verwenden Millionen von Online-Shops die frei verfügbare Datenbank. Halten sich die Betreiber bei der Installation blind an die Leitfäden und bedenken nicht entscheidende Details, stehen die Daten schutzlos im Internet.
