Schufa Bonify-App: Sicherheitslücke ermöglicht beliebige Daten abzufragen

Fehlstart der Schufa Bonify-App, mit der registrierte Nutzer eine Bonitätsauskunft erfragen konnten. Eine Sicherheitslücke ermöglichte den Abruf von Bonitätsdaten Dritter.  Sicherheitsforscherin Lilith Wittmann hat sich gleich mal die Daten zur "Mieterauskunft" von Ex-Minister Jens Spahn anzeigen lassen, wie sie orakelt. Das ist der nächste Flop nach der Check Now-Geschichte aus 2021.

Hintergrund zur Schufa

Die Schufa Holding AG (kurz Schufa, Schutzgemeinschaft für allgemeine Kreditsicherung) ist eine privatwirtschaftliche deutsche Wirtschaftsauskunftei in der Rechtsform einer Aktiengesellschaft mit dem Geschäftssitz in Wiesbaden. Zu den Aktionären gehören Kreditinstitute, Handelsunternehmen und sonstige Dienstleister. Ihr Geschäftszweck ist, ihre Vertragspartner mit Informationen zur Bonität (Kreditwürdigkeit) Dritter zu versorgen. Vor einiger Zeit wurden Pläne zum Verkauf an einen Finanzinvestor bekannt.

Die Schufa verfügt über 943 Millionen Einzeldaten zu 67,9 Millionen natürlichen Personen und zu 6 Millionen Unternehmen. Dazu gehören Daten über Bankkonten, Leasing- oder Ratenzahlungsverträge, Anzahl und Nutzung von Kreditkarten, aber auch Mahnungen, Kündigungen von Verträgen oder Privatinsolvenzen. Aus all diesen Daten berechnet die Schufa den sogenannten Score, ein Wert, der darüber Auskunft gibt, wie kreditwürdig jemand ist.

Die Schufa bearbeitet jährlich mehr als 165 Mio. Anfragen zur Kreditwürdigkeit. Davon sind 2,7 Millionen Auskünfte an Verbraucher, die ihre Daten einsehen wollen. Sie beschäftigt rund 900 Mitarbeiter (Stand: 2019). Im Jahr 2019 belief sich der Umsatz auf 212 Mio. €. So die Wikipedia. Die Schufa ist aber auch – das ist die andere Seite der Medaille – höchst umstritten ob ihrer intransparenten Berechnung der Kredit-Scores, teilweise unter Verwendung fehlerhafter Daten.

(Quelle: Pexels CC0 Lizenz)

Der Check Now-Flop

Mit dem Projekt "Schufa Check Now" wollte die Wirtschaftsauskunftei Schufa 2021 die Kontoauszüge von Verbrauchern analysieren. Ziel war es, dass Verbraucher in Zukunft auch anhand ihrer Kontoauszüge bezüglich bestimmter Kriterien in ihrer Bonität bewertet werden sollten. Kunden mit schlechter Bonität könnten durch eine freiwillige Einwilligung zum Zugriff auf ihre Kontoauszüge durch 'Schufa Check Now' eine Neubewertung ihres Schufa-Score vornehmen lassen – so die Idee.

Aber das ging schief, als die Pläne bekannt wurden, Datenschutzbeauftragte einschritten und es viel Gegenwind gab. Die Schufa ist mit dem Ansatz, dass Verbraucher ihrer Kreditwürdigkeit selbst abfragen und bewerten lassen können, auf den Bauch gefallen. Ich hatte im Beitrag Schufa: Aus für Check Now; Verkauf an Finanzinvestor? über das Aus von Check Now berichtet. Jetzt gibt es einen neuen Anlauf.

Neuer Anlauf mit der Schufa Bonify-App

Schufa-Auskünfte sind kostenpflichtig. Mit der Bonify-App soll sich das ändern, denn die Schufa will einen digitalen Dateneinblick über die eigene Kreditwürdigkeit für alle Verbraucherinnen und Verbraucher bereitstellen (siehe diese Schufa FAQ). Wer sich mit der App registriert, soll jederzeit seine Schufa-Score zur Kreditwürdigkeit abrufen können – und dies kostenlos. Ab 2024 sollen Push-Benachrichtigungen bei sinkendem Score per App an die Benutzer gehen. Und registrierte Benutzer sollen die Daten selbst (in gewissem Umfang) pflegen können.

Das ZDF hat in diesem Beitrag dieses Konzept ausgiebig beleuchtet und erklärt, wie sich Nutzer für die App registrieren und diese verwenden können. Aber es gab auch die Warnung, dass dies gut überlegt sein will, da die Schufa dann Zugriff auf eigene Konten mit Kontenbewegungen erhält. Verbraucherschützer warnen vor diesem Ansatz, wie man z.B. beim BR und bei der Tagesschau nachlesen kann.

Die Bonify-App verrät Fremddaten

Die Sicherheitsforscherin Lilith Wittmann hat sich die neue Bonify-App vorgenommen und sich registrieren lassen. Im Anschluss an die Registrierung war es ihr innerhalb einer kurzen Zeitspanne möglich, die Daten von Dritten über die Bonify-App abzufragen. Wittmann hat das Ganze auf Mastodon dokumentiert.

Der obige Screenshot lässt sich auf Mastodon in Einzelbilder auflösen. In einem Folgepost zu obiger Meldung schreibt Wittmann:

Denn nachdem ihr eure Daten über das Bankident verfahren verifiziert habt, könnt ihr diese für etwa eine Sekunde über eine Programmierschnittstelle aktualisieren.
So kam ich im zum Beispiel an Jens Spahns Boniversum-Score. Und konnte mir auch eine Mieterauskunft erstellen lassen.

Merke: Der Nutzer registriert sich und sollte dann die eigenen Daten einsehen können. Auf Grund eines Bugs lassen sich aber für ca. eine Sekunde per API andere Daten vorgeben, so dass die App dann den Kreditscore für eine andere Person herausrückt, wie sie hier dokumentiert.

Die Kollegen von heise haben den Sachverhalt in diesem Beitrag noch etwas detaillierter beschrieben. Aktuell ist die Bonify-Geschichte deaktiviert worden. Die Webseite meldet einen Wartungsmodus. heise hat inzwischen ein Statement der Schufa zum Thema im Artikel nachgetragen.

Die Kurzfassung als Fazit: Die Schufa kann es nicht, nach dem Check Now-Flop nun das Bonify-Desaster. Man darf zwar annehmen, dass die Zahl der Leute, die diese Schwachstelle ausnutzen konnten, bei Null liegt. Aber der Vorfall zeigt, dass die Schufa zwar auf einem massiven Datenpool sitzt, jedoch deren Sicherheit im Geflecht von Tochterunternehmen nicht gewährleisten kann.

Ergänzung: IBM hat gerade eine neue Studie veröffentlicht, nach der Datenlecks eine Firma durchschnittlich 4 Millionen Euro kosten. Die Redaktion von heise hat die Inhalte der Studie in diesem Beitrag aufbereitet.

Ergänzung 2: Die Redaktion von Golem hat im Nachgang mit Wittmann, Schufa und Bonify gesprochen und das Ganze in diesem Beitrag aufbereitet. Die Bonify-App ist jedenfalls abgeschaltet. Wittmann hat zwischenzeitlich das Ganze auf Medium dokumentiert – wurde ja auch nachfolgend in einem Kommentar verlinkt.