Geoconnect/Geophone: Kundendaten offen im Netz?

Eine geheimnisvolle E-Mail brachte es an den Tag: Wie es scheint, sind die Kundendaten der Geoconnect-Tochter Geophone im Netz offen zugänglich: Passwörter, Bank- und Adressdaten - alles einzusehen, mit nur einem Klick.

Wir hatten gerade über die Geoconnect berichtet, da erreichte uns diese E-Mail. Im Betreff "Geophone", als Inhalt ein paar wirre Links und haufenweise Screen-Shots. Der Absender: eine Dame, unbekannt, irgendwo aus den Weiten des Netzes.

Links sind zum Klicken da. Genau das tun wir - und klicken uns mitten in die Geophone-Administration. Eine Passwortabfrage findet nicht statt. Wir sind überrascht, wo wir gelandet sind: Rund drei Dutzend Geophone-Firmenkunden flimmern über den Bildschirm. "Sperren", "Löschen" und "Daten ändern" könnten wir, wenn wir wollten.

	Anzeige

Hier besteht wohl eine Sicherheitslücke. Mehr müssen wir nicht wissen, mehr müssen wir nicht tun - dürfen wir auch gar nicht. Wir schließen das Fenster und gehen zurück zur E-Mail, wenden uns den Screenshots zu.

Auf jedem Screenshot oben im Bild: "Herzlich Willkommen im Benutzerbereich von Geophone, links am Rande: "Willkommen Clemens B.". In der Mitte sehen wir Kunden mit offenen Rechnungen, Bankdaten, Steuernummern. Auf einer anderen Seite die Adressen und Privatnummern von Bs. weiblichen Telefon-Operatoren - gefährliche Einblicke in die sonst so auf Anonymität bedachte Branche. Über den http-Zugangs-Bug scheint jemand noch weiter in Bs Administrations-System vorgedrungen zu sein als wir das taten...