"Ungültige" Mailadressen sorgen für Sicherheitslücken im eBusiness
"Liebe Frau Angelika Berger [Name geändert], anbei erhalten Sie Ihre persönliche Geheimzahl (PIN)." - Solche Emails verschickte vor kurzem der Rabattkartenanbieter PAYBACK. Jedoch nicht immer an die gewünschten Empfänger. Anscheinend sorgte eine ungenügende Sorgfalt bei der Einstellung des elektronischen DV-Systems des Unternehmens dafür, dass dieses gleich mengenweise Zugangsnummern von Kunden an fremde Empfänger schickte.
Solche peinlichen und manchmal auch sehr kritischen Fehler entstehen, wenn Email-Adressen, die nicht existieren, von den Erstellern in das automatisierte System eingefügt werden. Genauer: Email-Adressen, von denen die Entwickler glauben, sie würden nicht existieren, mit denen sie dann - ohne ihre simple Vermutung zu überprüfen - ein produktives Computersystem betreiben. Auf diese Weise kann sich ein einfacher Internetbenutzer, der sich eine ungewöhnlich klingende Domain für seine Emails eingerichtet hat, auf einmal vor unangeforderten persönlichen Daten anderer gar nicht mehr retten.
Darunter fallen beispielsweise der komplette Name eines arglosen Bestellers, seine Adresse, Telefonnummer, sowie sensitivere Dinge wie PINs, Passwörter oder gar Auftragsbestätigungen mit Preisen. Gerade letzteres ist nicht nur bei privaten Bestellern fatal: Man stelle sich einen Geschäftskunden vor, dessen Onlinebestellung auf einmal durch schlecht durchgeführte Qualitätskontrollen des Anbieters bei einem Angestellten der Konkurrenz landet.
Wer wäre schon davon begeistert, wenn ohne sein Wissen die Liste seiner letzten Bestellungen bei einem Onlineversand plötzlich in Kopie dem ungeliebten Nachbarn zugesandt würde? Insbesondere das aufblühende eBusiness im Internet, das die Bestellung von Waren gleich online ermöglicht, stellt an die Anbieter hohe, aber keinesfalls zu schwierige Anforderungen an den Datenschutz.
Ein Bestellsystem, das nach einem Probebetrieb für Kunden in Deutschland freigegeben wird, sollte keine Mails mehr an Email-Adressen verschicken, die nur zum Testen eingetragen wurden. Denn im abgeschotteten Labor scheint dann alles wunderbar zu funktionieren, während im echten Einsatz datenschutzrelevantes Material sehr leicht den falschen Empfänger erreichen kann.
Ein weiteres Beispiel lieferte kürzlich der Mobilfunkanbieter O2. In diesem Fall waren es Bestellbestätigungen mit kompletter Anschrift der Kunden, Bestelliste und Bearbeitungsnummer.
Fehler dieser Art fallen bei der Entwicklung von Online- Bestellsystemen oft dadurch lange nicht auf, dass die Emails an falsche Adressen nur zusätzlich in Kopie zur selbst angegebenen verschickt werden. Dadurch beklagt sich kein Kunde über ausstehende Antworten.
Beide genannten Anbieter wurden übrigens per Email auf das jeweilige Problem hingewiesen und verschicken die genannten Emails jetzt nicht mehr. Eine Antwort auf die Informationen gab es bislang allerdings nicht.