Der Ticketcounter-Datenleck: Auch Zoo und Tierpark Berlin betroffen

Unschöne Geschichte: Beim niederländischen Anbieter Ticketcounter wurde gehackt eine große Datenbank mit Nutzerdaten von einem ungesicherten Server abgezogen. Diese Datenbank wurde nun durch die Cyberkriminellen verkauft, die Daten der Ticket-Käufer sind in Untergrund-Foren erhältlich. Das trifft auch deutsche Nutzer.

Ticketcounter ist eine niederländische Plattform, die es Kunden wie Zoos, Parks, Museen und Veranstaltungen ermöglicht, Online-Tickets für Besuche und Veranstaltungen anzubieten. Endnutzer buchen das Ticket auf der Plattform, der Anbieter kümmert sich um alles weitere. Die Plattform wird auch von deutschen Kunden wie dem Zoo und dem Tierpark Berlin genutzt.

Datenleck bei Ticketcounter

Nun wurde Ticketcounter Opfer eines Datenlecks: Cyber-Kriminelle gelang es, die Kundendatenbank mit 1,9 Millionen E-Mail-Adressen von einem ungesicherten Staging-Server zu stehlen. Am 21. Februar 2021 erstellte ein Cyber-Krimineller einen Eintrag in einem Hackerforum, um die gestohlene Ticketcounter-Datenbank zu verkaufen. Der Beitrag wurde aber schnell wieder gelöscht, weil der Betreffende die Datenbank bereits außerhalb des Forums verhökern konnte.

Ich bin die Tage bei Bleeping Computer erstmals auf die Information gestoßen. Aus den von BleepingComputer eingesehenen Beispielen der Datenbank geht hervor, dass die offengelegten Daten vollständige Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen und gehashte Kennwörter enthalten können. Ticketcounter hat den Vorfall sowohl gegenüber BleepingComputer als auch gegenüber Troy Hunt von Have I Been Pwned bestätigt. Hunt hatte eine Kopie der Datenbank zugespielt bekommen und Ticketcounter kontaktiert.

Dumme Zufälle

Es war kein wirklicher Hack, der da bei Ticketcounter passierte. Ticketcounter-CEO Sjoerd Bakker erklärte gegenüber BleepingComputer, dass sie eine Datenbank auf einen Microsoft Azure-Server kopiert haben, um einen "Anonymisierungsprozess" zu testen, der persönliche Daten durch gefälschte Daten ersetzt. Leider war die Datenbank nach dem Kopieren nicht ordnungsgemäß gegen unbefugte Zugriff gesichert, so dass der Hacker die Datenbank schlicht kopieren und herunterladen konnte.

Der oder die Hacker kontaktierten Ticketcounter, und forderten sieben Bitcoins (337.000 US-Dollar) als Lösegeld, um die Datenbank nicht weiter zu geben. Der Hacker drohte damit, dass er alle Partner von Ticketcounter kontaktieren würde, um sie über den Verstoß zu informieren, falls Ticketcounter die Zahlung nicht leisten würde. War aber zu spät, denn Ticketcounter hatte bereits alle seine Kunden kontaktiert und mitgeteilt, welche Informationen gestohlen wurden. Diese waren bereits angewiesen, betroffene Kunden zu informieren. Jedenfalls hat Ticketcounter nicht gezahlt. Darauf hin veröffentlichte der Hacker die Datenbank kostenlos in einem Hackerforum.

Zoo und Tierpark Berlin betroffen

Inzwischen ist bekannt, dass der Zoo Berlin seine rund 400.000 Kunden (Zoo und Tierpark Berlin), die von dem Datenschutzvorfall betroffen sind,  informiert hat. Die Nachricht ist auf dieser Seite abrufbar.

WEITERE INFORMATIONEN ZU DATENDIEBSTAHL BEI TICKETCOUNTER

Rund 400.000 Gäste von Zoo und Tierpark Berlin betroffen / Daten enthielten keine Passwörter

Zoo und Tierpark Berlin haben heute von ihrem Dienstleister Ticketcounter weitere Informationen zum kürzlich bekanntgewordenen Datendiebstahl erhalten. Die Beurteilung des Vorfalls ist zwar noch nicht final abgeschlossen, nach jetzigem Kenntnisstand sind Daten von rund 400.000 Gästen von Zoo, Tierpark und Aquarium Berlin betroffen, die im Zeitraum zwischen dem 28. April und dem 5. August 2020 Buchungen in den jeweiligen Online-Shops getätigt haben.

Bei den Daten handelt es sich höchstwahrscheinlich um Informationen zu Name, E-Mail-Adresse sowie Details zu den gebuchten Produkten. Die Weitergabe von Passwörter, Telefonnummern, Adress- oder Geburtsdaten kann definitiv ausgeschlossen werden, da diese im Buchungsprozess der derzeitigen Online-Shops der Zoologischen Gärten Berlin nicht abgefragt werden.

„Wir bedauern diesen Vorfall und setzen alles daran, um alle Fragen umfassend zu beantworten und unsere betroffenen Gäste zu informieren", so Zoo- und Tierparkdirektor Dr. Andreas Knieriem. „Wir haben die für uns zuständigen Datenschutzbehörden in Deutschland umgehend über den Vorfall informiert, als uns Ticketcounter über den Datendiebstahl in Kenntnis gesetzt hat."

Die niederländischen Justizbehörden ermitteln inzwischen in diesem Fall. Obwohl keine Passwörter erbeutet worden sein können, raten die Zoologischen Gärten Berlin zur Vorsicht und empfehlen vorsorglich, Passwörter zu ändern, wenn sich diese leicht aus dem Namen und der E-Mail-Adresse herleiten lassen. Informationen und Tipps zum Thema Passwortschutz und der sicheren Vergabe von Passwörtern gibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) unter www.bsi.bund.de.

Hintergrund:
Das niederländische Unternehmen „Ticketcounter" wickelt derzeit als externer Dienstleister den Online-Ticketverkauf von Zoo und Tierpark Berlin ab. Bei einem Systemupdate wurde dabei ein Teil der Kundendaten dieser Online-Shops zeitweise öffentlich zugänglich. Das „Leck" konnte inzwischen geschlossen werden.

Möglicherweise betroffene Gäste werden in den kommenden Tagen ausführlich per E-Mail über den genauen Umfang und das weitere Vorgehen informiert. Allen wird geraten, auf so genannte Spam-Nachrichten im E-Mail-Postfach zu achten und möglichst ungeöffnet zu löschen. Links oder Anhänge von nicht vertrauenswürdigen Absendern sollten keinesfalls geöffnet werden.

Das Leck konnte bereits (nachhaltig) behoben werden, sodass dem weiteren Betrieb der Online-Shops nichts im Weg steht. Darüber hinaus werden Zoo und Tierpark Berlin im Zuge eines gänzlichen Wechsels des Ticketing-Systems noch im April 2021 einen neuen Online-Shop eines anderen Anbieters einführen und somit die Zusammenarbeit mit Ticketcounter beenden.

heise schreibt hier, dass auch der Kölner Zoo Kunde von Ticketcounter ist. Golem gibt hier an, dass Troy Hunt den Adressbestand bereits in seine Datenbank Haveibeenpwned.com eingepflegt habe. Das Ganze ist für die Betroffenen unangenehm, da die Namen und E-Mail-Adressen bekannt sind und für Phishing oder ähnliche Aktionen missbraucht werden können.