VTech bestätigt Hack der Lernplattform, Daten waren schwach gesichert

Hack, Kundendaten, Datenbank, VTech Bildquelle: VTech

Unbekannte haben auf die Kundendatenbank des chinesischen Herstellers von Kinder-Lerncomputern VTech zugegriffen. Dabei ist die Datenbank kompromittiert worden, die hinter dem Learning Lodge App Store steht. Die Hacker erhielten Zugriff auf rund fünf Millionen Kunden-Datensätze.

VTech gehört mit zu den bekanntesten Anbietern von Lern-Angeboten für Kinder. Sie operieren weltweit - und haben auch zahlreiche Kunden in Deutschland, deren Daten nun auch von der Sicherheitslücke betroffen sind. Der Vorfall hat sich demnach bereits am 14. November ereignet. Das Unternehmen hat davon aber erst zehn Tage später, am 24. November, Kenntnis erhalten. Wenige Tage später, ab dem 27. November, hat VTech dann begonnen, die betroffeneren Kunden über dem Datendiebstahl zu benachrichtigen.

VTech-Hack

Das Onlinemagazin Motherboard hatte über den Hack bereits Ende der vergangenen Woche berichtet, nun bestätigt das Unternehmen die gemachten Vorwürfe.

SQL-Injection

Die Datendiebe kamen demnach per SQL-Injection an die Nutzerinformationen. VTech habe zudem nur eine als schwach geltende MD5-Verschlüsselung genutzt, um Accountdaten und Passwörter zu sichern. Einige Daten seien in Klartext auf dem Server von VTech abgelegt worden, heißt es zudem. Kreditkartendaten seien bei dem Hack nicht offengelegt worden.

Nicht genügend abgesichert

Insgesamt seien die Daten nicht genügend vor Fremdeingriff abgesichert worden. Schließlich habe Motherboard die Daten gemeinsam mit dem Sicherheitsforscher Troy Hunt, der die Website "Have I Been Pwned" betreibt, gesichtet. Hunt fand über 4,8 Millionen Emailadressen mit den dazugehörigen Passwörtern und über 200.000 Datensätze mit Vornamen und Geburtstagen von Kindern. Die Sicherheitsfragen für die Wiederherstellung von Passwörtern waren zudem gemeinsam mit den Antworten in Klartext abgelegt. Nutzer können auch über die Webseite "Have I Been Pwned" prüfen, ob ihre Accounts offengelegt wurden.

VTech hat mittlerweile in mehrfacher Hinsicht reagiert. Man habe aktuell einige Webseiten stillgelegt, solang die Sicherheitslücken in der Datenbank von Learning Lodge nicht geschlossen werden können. Zudem wurden die Nutzer benachrichtigt, eine FAQ zum Hack online gestellt und eine gesonderte Support-Email (downloadmanager@vtech.de) eingerichtet, um Kunden alle Fragen zum Hack zu beantworten.

Mehr dazu: "Hello Barbie" gehackt: das Spielzeug als Überwachungsmarionette