Offene Kontodaten: Große Sicherheits-Lücke bei eBay

Das gläserne Konto – die eBay-Datenbank macht’s möglich. Wie ein findiger eBay-Experte ein Programm entwickelte. Mit nur einem Klick die kompletten Bankdaten eines eBay-Kunden auf den Bildschirm gezaubert, die Sicherheits-Vorschriften des Auktionshauses zu lasch.

	Anzeige

„Anhand Ihres eBay-Mitgliedsnamens kann ich Ihre Kontoverbindung herausfinden!“ – die Mail von Axel Gronen ließ zuerst an einen schlechten Scherz glauben. eBay – der Auktions-Moloch schlechthin im Internet: hunderte von gut bezahlten Systemtechnikern und Programmierern, Überwachungssoftware und Sicherheit – und dann höchstpersönliche Kontodaten abrufbar als Allgemeingut für jedermann?

Onlinekosten.de macht den Test und ruft bei Axel Gronen (36) an. Bevor wir großartig nach der Hintergrundgeschichte fragen, wollen wir Fakten sehen. Wir geben ihm den Account-Namen von einem unserer Redakteure. Seine persönlichen Daten (Alex Leinhos, Kto.: 3024XXX, BLZ: 37070024, Deutsche Bank) halten wir natürlich geheim. „Bitte schön, da machen Sie mal…“ Und Gronen macht! Wir hören ihn tippen. Nach kaum zehn Sekunden antwortet er – und zählt exakt die bei eBay hinterlegten geheimen Daten auf. Wohlgemerkt: Alex Leinhos hat im Moment keine einzige Auktion bei eBay laufen und anderswo im Netz sind die Daten auch nicht publiziert.

Gronen erklärt: „Das System funktioniert natürlich nur bei Kunden, die bei eBay auch Ware verkaufen. Denn nur die müssen auch Ihre Bankdaten angeben – reine Käufer nicht. Will ein Käufer nun die Bankdaten seines Verkäufers haben, muss er sich durch mindestens sieben oder acht Seiten klicken - erst dann ist er am Ziel. eBay teilte mir auf Anfrage, warum sie das Verfahren eigentlich so umständlich gestalten, mit, dass dies nötig sei - zum Schutz eben dieser hochsensiblen Daten. Na, wenn die so gut geschützt werden, warum kostet es mich dann nur knapp zehn Sekunden, diesen Schutz auszuhebeln?“