Updates sind schwer: Otto muss sich für grobes Datenleck entschuldigen

Das Problem soll beseitigt worden sein, trotzdem musste Otto eine Mel­dung an Datenschutzbehörden vornehmen. Wie der Versandhändler eingesteht, hatte ein Update der Shop-Systeme Kunden Einblick auf die Bestellungen und persönlichen Daten anderer Kunden gewährt.

Im Shop nicht nur die eigenen, sondern auch fremde Bestellungen sehen

Die Datenschutzverordnung DSGVO regelt sehr genau, welche Daten wann abgegriffen und eingesehen werden dürfen. In dieser Hinsicht sieht sich jetzt Otto dazu veranlasst, nach groben Problemen mit dem Shopsystem eine genaue Untersuchung eines Vorfalls durchzu­führen. Wie heise berichtet, konnten in Kunden-Konten die Bestellungen anderer Kunden eingesehen werden. Dabei wurden offenbar auch Name, Lieferadresse und Zahlungsmetho­den für Fremde offengelegt. Infografik: Viele Deutsche Unternehmen waren vor Inkrafttreten nicht DSGVO-Ready Ein glücklicher Umstand: Zahlungsdaten, Geburtstage und Zugangsdaten waren bei dem Datenleck nicht einsehbar, außerdem war es bei dem Fremdzugriff nicht möglich, Anpas­sungen an den Daten vorzunehmen. Otto gibt an, dass der Fehler nach einem Update der Shopsysteme aufgetreten war, man das zugrundeliegende Problem aber innerhalb von rund 30 Minuten beseitigt habe. Nach aktuellen Erkenntnissen liegt die Zahl der betroffenen Nutzer bei "mehreren Hundert".

Meldung erfolgt, Untersuchung läuft

"Es handelte sich dabei um keine bekannte Fehlfunktion der App oder des Shops, sondern um ein einmalig auftretendes Ereignis", wird ein Sprecher des Unternehmens von heise zitiert. Nach einer ersten Analyse ist sich der Kon­zern sicher, dass der Fehler in dieser Form auch nicht mehr auftreten kann. "Ein solcher Fehler darf nicht passieren und wir entschuldigen uns in aller Form für diese Unannehmlichkeit."

Aktuell ist Otto jetzt mit der Nachsorge beschäftigt und hat im ersten Schritt die betroffenen Nutzer über das Datenleck in Kenntnis gesetzt. Jetzt muss der Konzern überprü­fen, ob man mit dem Vorfall eventuell Regeln der DSGVO verletzt hat. Die verantwortlichen Datenschutzbehörden will man bereits informiert haben.