Eine Untersuchung von CORRECTIV hat kritische Datenlecks bei den Kreditvermittlungsplattformen Check24 und Verivox aufgedeckt. Diese Schwachstellen ermöglichten den unautorisierten Zugriff auf sensible Kundendaten.
Bei den Datenlecks sollen laut CORRECTIV unter den geleakten Daten persönliche Informationen sein, wie Namen, Telefonnummern, Geburtsdaten und sogar finanzielle Details wie das Haushaltsnettoeinkommen oder laufende Kredite. Die Sicherheitslücken sollen so gravierend, sein dass Angreifer ohne tiefere technische Kenntnisse auf die Daten zugreifen konnten.
Fehler legten die Daten offen
Bei Check24 wurde eine unsichere Implementierung der WebSocket-Technologie entdeckt, die es potenziellen Angreifern erlaubte, die Kreditangebote anderer Kunden in Echtzeit abzurufen, indem sie eine Platzhalterkennung (Wildcard) verwendeten. Dadurch konnten PDF-Dateien mit detaillierten Kreditinformationen abgerufen werden.
Noch problematischer war anscheinend die Situation bei Verivox, wo sogar ohne Passwort auf die Kundendaten zugegriffen werden konnte. Laut einem anonymen IT-Experten waren die Daten „einfach offen über das Internet abrufbar“.
Chaos Computer Club meldete die Entdeckung
Der Chaos Computer Club (CCC) meldete diese Lecks nach Entdeckung im Juli 2024 an die betroffenen Unternehmen. Check24 reagierte schnell und bedankte sich sogar mit einer Spende, die letztlich an eine gemeinnützige Organisation weitergeleitet wurde. Verivox hingegen reagierte verhalten und lehnte zunächst die Verantwortung ab, bevor rechtliche Drohungen gegenüber den Hinweisgebern geäußert wurden.
CCC spricht gegenüber CORRECTIV von einem „Supergau“, da nicht nur relativ harmlose Angaben wie E-Mailadressen, sondern umfangreiche Datensätze mit finanziellen und persönlichen Informationen auf den Portalen so gut wie offen zugänglich waren: „Jeder konnte sehen, wo die Nutzer leben, wie viele Kinder sie haben, wo sie arbeiten, was sie verdienen, und wie viel Geld sie im Moment für Kredite ausgeben”, sagt CCC-Sprecher Matthias Marx.
Mehr bei Correctiv.org