Daten von 3,5 Mio. Kunden frei im Netz:
Massives Leck bei Brillen.de

Ein gravierender Konfigurationsfehler bei Brillen.de führte zu einem massiven Datenleck. Rund 3,5 Millionen Daten, darunter Name, Anschrift, E-Mail und Mobilnummer von Kunden aus dem deutschsprachigen Raum sowie Spanien, waren frei im Internet zugänglich.

Datenschutz-GAU bei Online-Brillenhändler

Bei Brillen.de, einem bekannten Online-Händler für Sehhilfen, kam es zu einem schwerwiegenden Datenschutzvorfall. Durch einen Konfigurationsfehler waren die persönlichen Daten von über 3,5 Millionen europäischen Kunden frei im Internet zugänglich. Laut Cybernews entdeckten Sicherheitsforscher bereits im August dieses Jahres einen ungeschützten Elasticsearch-Cluster von Brillen.de (via Born City). Elasticsearch ist eine leistungsstarke Suchmaschine zur Verarbeitung großer Datenmengen. In diesem Fall fehlte jedoch jegliche Authentifizierung, wodurch die gespeicherten Informationen für jeden Internetnutzer einsehbar waren.

Die Cybersecurity-Experten stießen bei ihrer Untersuchung auf ein regelrecht erschreckendes Ausmaß an exponierten Daten. Insgesamt waren knapp 2,5 Millionen Datensätze aus Deutschland, fast eine Million aus Spanien und 90.000 aus Österreich betroffen. Die zugänglichen Informationen umfassten sensible persönliche Daten wie vollständige Namen, Anschriften, E-Mail-Adressen, Mobilfunknummern, Geschlecht und Geburtsdaten der Kunden. Mehr als das: Auch detaillierte Bestellinformationen inklusive Rechnungsbeträgen, -daten und -nummern waren einsehbar.

Das Unternehmen schweigt

Nach der Benachrichtigung durch die Sicherheitsforscher reagierte Brillen.de umgehend und sperrte den Zugang zu den exponierten Daten. Der betroffene Cluster wurde nach zwei Tagen offline genommen. Allerdings blieb eine öffentliche Stellungnahme des Unternehmens zu dem Vorfall bislang aus.


Durchaus besorgniserregend ist die Tatsache, dass selbst der Datenschutzbeauftragte von Brillen.de zum Zeitpunkt der Meldung keine Kenntnis von dem Vorfall hatte. Auch die zuständige Landesdatenschutzbeauftragte von Brandenburg erhielt bislang keine offizielle Meldung über einen Datenschutzvorfall.

Risiken für betroffene Kunden

Das Ausmaß des Schadens bleibt unklar, da nicht bekannt ist, wie lange die Daten ungeschützt im Netz standen. Öffentliche Suchmaschinen können solche ungeschützten Datenbanken aber indizieren, wodurch die Informationen auch nach der Schließung des Lecks weiterhin auffindbar bleiben könnten.

Für betroffene Kunden besteht in Folge des Vorfalls ein erhöhtes Risiko für Identitätsdiebstahl und gezielte Phishing-Attacken. Die Kombination aus persönlichen Daten und detaillierten Bestellinformationen ermöglicht es Cyberkriminellen, maßgeschneiderte und deshalb glaubwürdige Betrugsversuche zu starten.


Siehe auch: