Datenpanne bei der Deutschen Post AG

Zugriff auf tausende Rechnungen inklusive Adressdaten im PostOffice-Shop möglich
- Datenschutz-Lücke nach Hinweis von onlinekosten.de umgehend behoben

Hürth bei Köln, 11. November 2009 – Eine Datenschutz-Lücke hat bis zum 9. November 2009 den Zugriff auf tausende Rechnungen und Adressdaten von Kunden des PostOffice-Shops im Internet ermöglicht. Nach einem Hinweis von onlinekosten.de wurde der Fehler durch die Deutsche Post AG als zuständiger Betreiber innerhalb von 24 Stunden behoben. Der PostOffice-Shop bietet neben Porto für den Brief- sowie Paketversand hauptsächlich Büromaterial und Computerzubehör für Geschäftskunden.

Durch einfaches Editieren einer Internetadresse waren Unbefugte in der Lage, die Bestellhistorie anderer Kunden des Internetshops ohne eigene Anmeldung einzusehen. Ähnlich wie bei anderen kürzlich bekannt gewordenen Fällen war auch hier lediglich die Veränderung einer ID-Nummer in der Adresszeile des Browsers notwendig. Der Parameter orderID ließ sich durch den Austausch einiger Ziffern so manipulieren, dass persönliche Daten anderer Käufer abrufbar waren. Angezeigt wurden sowohl Rechnungs- und Lieferadresse, die bestellten Waren inklusive Preisen als auch die gewählte Zahlungsart und das Versanddatum. Nicht ausgelesen werden konnten hingegen Firmen- oder Kundenname sowie Konto- oder Kreditkartendaten.

Nach einem Hinweis von onlinekosten.de am Montag (9. November) reagierte die Deutsche Post AG umgehend und behob die Sicherheitslücke innerhalb von 24 Stunden. Seit Dienstagmittag ist der PostOffice-Shop wieder uneingeschränkt nutzbar. Zum Umfang der Datenpanne äußerte die Deutsche Post AG, es habe sich um einige tausend Bestellübersichten von Firmen- und Geschäftskunden gehandelt. Rückschlüsse auf Personen oder die Personalisierung von Daten seien daher nicht ohne Weiteres möglich gewesen.

"Nur durch Zufall ist ein Mitarbeiter unserer Technik-Abteilung am vergangenen Wochenende auf die Datenschutz-Lücke aufmerksam geworden. In einer gemeinsamen Analyse waren wir überrascht, dass wir ohne Umwege oder technische Hürden auf die Rechnungen dutzender Post-Kunden zugreifen konnten", sagt Hayo Lücke, Redaktionsleiter von onlinekosten.de. "Der unverzügliche Eingriff der Deutschen Post ist ein positives Signal, dass der Datenschutz auch im Internet immer größer geschrieben wird."