![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Der Chaos Computer Club (CCC) hat sich eine Cloud-L\u00f6sung f\u00fcr Gastronomen, u.a. auch zur digitalen F\u00fchrung von Kontaktlisten (Corona-Listen der Gastst\u00e4ttenbesucher), angesehen, Schwachstellen gefunden und das Ganze gleich mal gehackt.<\/p>\n
<\/p>\n
Gastst\u00e4tten und Restaurants m\u00fcssen in Zeiten des Coronavirus die Kontaktdaten der Besucher f\u00fcr eine ggf. sp\u00e4ter notwendige Nachverfolgung erfassen und f\u00fcr 14 Tage speichern. In der Regel erfolgt dies \u00fcber per Kugelschreiber auszuf\u00fcllende Zettel. Inzwischen setzen gastronomische Betriebe aber auch auf eine digitale Erfassung der Kontakte mit Speicherung der Kontaktlisten in der Cloud (Cloud-L\u00f6sung). Ich hatte hier diverse Pressemitteilungen zu solchen L\u00f6sungen, habe mich aber gegen eine\u00a0 Ver\u00f6ffentlichung hier im Blog entschieden.<\/p>\n
Ich bin \u00fcber einen Tweet<\/a> auf den Sachverhalt, der in diesem CCC-Beitrag<\/a> offen gelegt wird, aufmerksam geworden. Zum Sachverhalt an sich, ist die Geschichte schnell erz\u00e4hlt. Ein Betrieb aus dem Gastgewerbe wollte besonders modern sein und hat alles digitalisiert. Mitglieder des Chaos Emergency Response Teams (C.E.R.T.) des CCC wurden bei einem Restaurantbesuch in diesem Betrieb gebeten, sich in eine \"Corona-Liste\" einzutragen. Diese war nat\u00fcrlich, ganz modern, als digitale \"Corona-Liste\" per Cloud-L\u00f6sung realisiert.<\/p>\n Der Anbieter wirbt damit, einzigartig zu sein, alles zu automatisieren und das sicher in der Cloud zu speichern. Eine Herausforderung an den CCC, diese Versprechungen in Bezug auf Datenschutz und Datensicherheit abzuklopfen. Das CERT-Team fand dann auch schnell Schwachstellen, \u00fcber die sich sehr fix auf den in der Cloud gespeicherten Datenbestand zugreifen lie\u00df.<\/p>\n Durch eine fehlerhafte Pr\u00fcfung der Zugriffsrechte, so der CCC, konnten die Hacker im Handumdrehen administrativer Vollzugriff auf s\u00e4mtliche im System gespeicherten Daten erlangen. Andere Fehler in der API erm\u00f6glichten Nutzerinnen auch ohne besondere Rechte den Zugriff auf sch\u00fctzenswerte Daten, die nicht f\u00fcr Ihre Augen bestimmt waren. So konnte zum Beispiel Restaurant A auf die Corona-Daten von Restaurant B zugreifen.<\/p>\n Weiterhin waren auch unzureichend gesch\u00fctzte Passw\u00f6rter mittels einfachem API-Request abrufbar. Dabei fielen den Leuten des CCC nicht nur Hashes, sondern auch Passw\u00f6rter im Klartext in die Finger. Mit dabei auch so triviale Passw\u00f6rter wie \"1234\", was auf das Fehlen einer angemessenen Passwortrichtlinie hindeutet.<\/p>\n Da die Cloud-L\u00f6sung von Gastronovi nicht nur die \"Corona-Liste\" abbildete, sondern alle Vorg\u00e4nge in den gastronomischen Betrieben digitalisierte, lag ein umfassender Datenschatz offen. Die Hacker schreiben, dass verschiedene Schwachstellen den Zugriff auf insgesamt 87.313 Corona-Kontakterhebungen von 180 Restaurants, die das System aktiv nutzten, erm\u00f6glichten.<\/p>\n Im betroffenen System wurden jedoch nicht nur Corona-Listen, sondern auch Reservierungen, Bestellungen und Kassenums\u00e4tze gespeichert. Der Cloud-Service wirbt damit, monatlich \u00fcber 96 Mio. Euro Umsatz von 7,7 Mio. Kundinnen sowie 600.000 Reservierungen \u00fcber das System abzuwickeln*. Pers\u00f6nliche Daten von Besucherinnen werden vor allem bei Reservierungen und Corona-Registrierungen erfasst.<\/p>\n Insgesamt war der Zugriff auf 4,8 Mio. Personendatens\u00e4tze aus \u00fcber 5,4 Mio. Reservierungen m\u00f6glich, wie der Cloud-Service best\u00e4tigt. Im System waren personenbezogene Daten gespeichert, die teilweise ein ganzes Jahrzehnt zur\u00fcckreichen. Und dort spiegelte sich wiederum der alte Konflikt: Der Cloud-Service versteht sich als \"Auftragsverarbeiter\", d.h. die Verantwortung zur L\u00f6schung liegt bei den Benutzer. Die Gastronominnen schienen sich dessen oft nicht bewusst zu sein und vertrauten verst\u00e4ndlicherweise auf die Full-Service-Cloud.<\/p>\n Alles in allem ein Fundsplitter, der zeigt, wie es wirklich da drau\u00dfen in Handel, Dienstleistungen und Industrie in Sachen Datenschutz und Sicherheit zugeht. Die Schwachstellen wurden an den Cloud-Anbieter gemeldet. Details lassen sich beimCCC nachlesen<\/a>. Gastronovi hat ebenfalls eine Stellungnahme ver\u00f6ffentlicht<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":" Der Chaos Computer Club (CCC) hat sich eine Cloud-L\u00f6sung f\u00fcr Gastronomen, u.a. auch zur digitalen F\u00fchrung von Kontaktlisten (Corona-Listen der Gastst\u00e4ttenbesucher), angesehen, Schwachstellen gefunden und das Ganze gleich mal gehackt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[2564,4328],"class_list":["post-234965","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-hack","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/234965","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=234965"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/234965\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=234965"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=234965"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=234965"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Riesiger Datenschutz, DSGVO mangelhaft<\/h2>\n