{"id":235546,"date":"2020-09-15T00:14:00","date_gmt":"2020-09-14T22:14:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=235546"},"modified":"2022-11-01T14:14:52","modified_gmt":"2022-11-01T13:14:52","slug":"datenleck-bei-online-anbieter-windeln-de","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/09\/15\/datenleck-bei-online-anbieter-windeln-de\/","title":{"rendered":"Datenleck bei Online-Anbieter windeln.de"},"content":{"rendered":"

[English<\/a>]Unsch\u00f6ne Geschichte, die mir bereits einige Tage vorliegt, zu der ich aber erst jetzt Details erhalten habe. Der deutsche Anbieter windeln.de hat einen unsicheren Server betrieben, so dass die pers\u00f6nlichen Daten von 700.000 Kunden abrufbar waren.<\/p>\n

<\/p>\n

\"\"Den ersten Hinweis gab es f\u00fcr mich, als die Kollegen von Bleeping Computer mich um eine Einsch\u00e4tzung des Anbieters windeln.de baten, ohne jedoch Details zu nennen. Der Anbieter verkauft in seinem Online-Shop so allerlei Sachen f\u00fcr junge Eltern\u00a0 und bietet wohl auch ein Windel-Abo.<\/p>\n

\"windeln.de\"
\nwindeln.de<\/p>\n

Das Startup windeln.de wurde im Jahr 2010 gegr\u00fcndet und hat sich, laut Eigenaussage, zu einem der f\u00fchrenden Onlineh\u00e4ndler f\u00fcr Baby- und Kinderprodukte in Europa entwickelt. Das Unternehmen betreibt dazu ein erfolgreiches Cross-Border E-Commerce Gesch\u00e4ft mit Kunden in China. Das Produktspektrum reicht von Windeln und Babynahrung \u00fcber Kinderm\u00f6bel, Spielzeug und Kleidung bis hin zu Babyphones und Autositzen sowie Kosmetik- und Partnerschaftsprodukte f\u00fcr Eltern.<\/p>\n

Die Muttergesellschaft gibt an, rund 700.000 Kunden mit 40 verschiedenen Marken in 7 L\u00e4ndern zu bedienen. Im Jahr 2019 erzielte windeln.de einen Umsatz von 82 Millionen Euro und ist derzeit an der Frankfurter Wertpapierb\u00f6rse notiert. Auf der Webseite prangt ein Siegel von Trusted Shop und auf der Datenschutzseite erf\u00e4hrt der Besucher, dass die Betreiber den Datenschutz sehr, sehr ernst nehmen.<\/p>\n

Da ziemlich zeitgleich der Sohn mit dem noch fast frisch gebackenen Enkel-P\u00e4rchen zu Besuch war, lie\u00df sich quasi ein Fachgespr\u00e4ch auf dieser Ebene f\u00fchren. Dieser Anbieter ist durchaus bei der Zielgruppe bekannt, wurde aber von der Familie nicht genutzt.<\/p><\/blockquote>\n

Datenleck durch ungesicherten Server<\/h2>\n

Ein Sicherheitsteam von SafetyDetectives<\/a> unter der Leitung von Anurag Sen<\/a> entdeckte k\u00fcrzlich einen\u00a0 anf\u00e4lligen und ungesicherten Server mit mehr als 6 Terabyte Daten, der von der deutschen Firma windeln.de betrieben wird, und frei \u00fcber das Internet erreichbar war. Konkret wurde der offene Server am 13. Juni 2020 entdeckt, man sch\u00e4tzt aber, dass der Server seit dem 11. Juni 2020 frei per Internet erreichbar war.<\/p>\n

Der ElasticSearch-Server und seine Schwachstelle wurden bei einer routinem\u00e4\u00dfigen \u00dcberpr\u00fcfung der IP-Adressen auf bestimmten Ports entdeckt. Das Sicherheitsteam stellte fest, dass der Server v\u00f6llig ungesichert und ohne Passwort \u00f6ffentlich zug\u00e4nglich war. Das bedeutete, dass jeder, der im Besitz der IP-Adresse des Servers war, auf die gesamte Datenbank zugreifen konnte.<\/p>\n

Die Sicherheitsforscher haben versucht, Windeln.de zu erreichen, aber niemand hat sich je bei den Forschern gemeldet. Diese haben dann das deutsche CERT kontaktiert, damit sie das Unternehmen \u00fcber das Datenleck informieren konnten. Einige Tage sp\u00e4ter wurde der Server gesichert.<\/p>\n

Was ist vom Datenleck betroffen?<\/h2>\n

Der ungesicherte ElasticSearch-Server enthielt relevante API-Protokolle von den Web- und Mobil-Sites des Unternehmens, wodurch alle Informationen des Produktions-Servers offengelegt wurden. Insgesamt wurden mehr als 6 Milliarden Datens\u00e4tze (\u00fcber 6,4 TByte Daten) auf einem Server in Frankreich entdeckt. Die Sicherheitsforscher stufen die den Sachverhalt als kritisch (6 von 10 Punkten) ein. Das Team stellte fest, dass verschiedene Ports den Zugriff auf verschiedene Datentranchen erlaubten.<\/p>\n

Insgesamt enthielt die Datenbank eine Gesamtzahl von mehr als 6 Milliarden Datens\u00e4tzen. Bei der Datenbank handelt es sich um einen Produktions-Server, auf dem Daten vom 24. Mai 2020 bis zum heutigen Tag gespeichert waren und der \"Backlog\"-Informationen einschlie\u00dflich API und interne Protokolle mit Benutzer-\/Kundenangaben enthielt. Hier die Informationen, die auf dem Server von windeln.de zu finden waren:<\/p>\n