Sprung zum Inhalt / Skip to main content
Alle Datenpannen von October 2009 mit dem Suchbegriff »3«
29.10.2009
Bei einer Unterbehörde des britischen Umwelministeriums sind 39 Backup-Bänder mit sensiblen Daten verschwunden. Bis auf zwei sollen diese mittlerweile wieder aufgetaucht sein.
Die Behörde, Rural Payment Agency, ist für die Auszahlung von EU-Subventionen an die britischen Landwirte zuständig. Die Bänder enthielten Bankdaten, Adressen, Passwörter und sogenannte „Security Questions” zum Widerherstellen der Passwörter von mehr als 100.000 Bauern.
Die Umweltbehörde behauptet, dass die Backups bei einem Transfer zwischen IBM und Accenture, welche im Auftrag der Behörde arbeiten, bereits im Frühjahr abhanden gekommen seien.
29.10.2009
Ein Steuerprüfer des Münchener Finanzamts veröffentlichte versehentlich die Gehaltsabrechnungen von 39 Aufsichtsratsmitgliedern der Münchener Stadtwerke.
Der Prüfer beabsichtigte einige Dokumente per E-Mail zu versenden. Durch ein Missgeschick ging die Mail allerdings nicht an seine Kollegen, sondern an einen firmeninternen Verteiler der Stadtwerke. Die Abrechungen wurden dadurch einem großen Teil der Mitarbeiter der Stadtwerke zugänglich.
Die Steuerbehörde hat sich inzwischen für die unbeabsichtigte Transparenz entschuldigt.
28.10.2009
Offensichtlich gab es im SchülerVZ einige Sicherheitsprobleme, die mehrfach zum Abgreifen größerer Datenmengen geführt haben. Markus Beckedahl von netzpolitik.org wurde nun erneut eine Datenbank zugespielt. Sie enthält Namen und Geburtsdaten von 118.000 Berliner Schülern. Die Datenfelder Name und Geburtsdatum wurden nur exemplarisch gewählt, um zu zeigen, dass der Angriff auch als „privat“ eingestellte Daten enthüllt. Theoretisch hätten auch Datenfelder wie Schule, Wohnort, Beziehungsstatus, politische Einstellung, Geschlecht oder das Foto ausgelesen werden können, obwohl VZnet weiter behauptet, es wäre nicht möglich private (nur für Freunde sichtbare) Daten auszulesen.
Das Crawling erfolgte über die Suche des Netzwerks. Hier können verschiedene Profildaten eingegeben werden. Als Suchergebnis werden auch Profile von Nutzern angezeigt, welche die jeweiligen Daten auf „privat“ eingestellt haben. Die Datensätze wurden zur Beweissicherung dem Bundesverband der Verbraucherzentralen (vzbv) und dem Berliner Datenschutzbeauftragten, Alexander Dix, übergeben. Dix sprach im Zusammenhang mit dieser Datenpanne von einer „völlig neuen Qualität“. Da alle drei Plattformen der VZnet-Gruppe auf dem selben System basieren ist zu befürchten, dass „private” Daten auch schon bei MeinVZ und StudiVZ ausgelesen wurden.
Der Cracker, der die Daten ausgelesen hatte, betonte indes, dass er diese nicht für kriminelle Zwecke nutzen oder veröffentlichen möchte, es gehe ihm lediglich darum auf die bestehenden Sicherheitslücken aufmerksam zu machen. Bereits vor zwei Wochen waren mehrere Datenbanken mit persönlichen Daten aus den drei VZs aufgetaucht.
19.10.2009
Die Benutzerdaten der Veranstaltungsplattform bsmparty sind vermutlich komplett ausgelesen worden. Dem Blog netzpolitik.org wurde eine Datenbank mit 130.000 Benutzerdatensätzen zugesandt.
Die Daten enthalten eine User-ID, den Nickname, die Mailadresse, das Geburtsdatum, das Geschlecht, und den Wohnort. Außerdem sind auch das Datum des letzten Logins und der MD5-Hash des Passwortes enthalten. Das MD5-Verfahren gilt bereits seit einiger Zeit als unsicher, da sich aus den Hashes insbesondere zu einfachen Passwörtern in sehr kurzer Zeit die Klartexte ermitteln lassen.
Es besteht nicht nur die Gefahr, dass Accounts dieses Portals geknackt werden. Viele Benutzer verwenden den gleichen Nick und das gleiche Passwort auch auf anderen Internetseiten.
17.10.2009
Wie sich herausstellte sind zuletzt die Zugriffsrechte bei Google Docs ein wenig durcheinander geraten. Google Docs bietet die Möglichkeit Dokumente mit anderen Google-Nutzern zu teilen.
Nach dem letzten Update war es jedoch auch für nicht freigeschaltene Benutzer möglich gewesen Dokumente einzusehen. Da manche diesem Service sehr vertrauen sind auf diese Weise auch Dokumente mit Kontodaten in die Hände Unberechtigter gelangt.
„Der Nutzer verliert vollständig die Kontrolle über seine Daten”, warnte jüngst das Bundesamt für Sicherheit in der Informationstechnik. Die Nutzung von Google-Diensten sei daher „sowohl aus IT-sicherheitstechnischen Gründen als auch aus Sicht des Datenschutzes aktuell nicht zu empfehlen.” (heute.de)
17.10.2009
Der Finanzdienstleister AWD räumte nun noch ein anderes Datenleck ein. Bereits zu einem früheren Zeitpunkt sollen Daten von 1500 Mitarbeitern an die Öffentlichkeit gelangt sein.
Laut Neue Westfälische Zeitung sind die Daten bereits 2003 und 2004 im Internet aufgetaucht. Es handelt sich dabei um eine Liste mit Kontoständen und dem Umsatz einzelner Angestellter von AWD. Enthalten sind unter anderem auch die Personalnummern, Namen, Beginn des Arbeitsverhältnisses, Vergütungsstufe, Darlehen, Vorschüsse und monatliche Einnahmen.
AWD vermutet hinter dieser Veröffentlichung einen Rachefeldzug.