IT-Sicherheit: Großes Datenleck bei DPD

Und schon wieder müssen wir über einen handfesten Datenskandal berichten. Dieses Mal ist der Paketdienst „DPD“ betroffen. Hier waren offenbar Kundendaten über eine empfindliche Sicherheitslücke ganz offen zugänglich.

Schwerwiegendes Datenleck

Bekannt geworden ist die Sicherheitslücke durch „Bleeping Computer“. Die US-Amerikanische Nachrichtenseite für IT-Sicherheit stellte dabei klar, dass Kundendaten ganz offen einsehbar waren. Ursächlich dafür war ein Datenleck in der Programmierschnittstelle der Sendungsverfolgung. In selbiger können Kunden durch Eingabe der eigenen Postleitzahl nachsehen, wo ihr Paket steckt. Herausgefunden haben das Ganze Sicherheitsexperten von „Pen Test Partners“. Nach Angaben der Experten für IT-Sicherheit sei es Hackern wohl problemlos möglich gewesen, die Daten aller Kunden einzusehen, die die Sendungsverfolgung nutzen. Dabei kommt das Prinzip der Paketverfolgung genau umgekehrt zum Einsatz. Mithilfe der einfachen Paketnummer hätten Cyberkriminelle nämlich ganz einfach die Adressen und Daten der Kunden einsehen können.

Screenshot mit empfindlichen Daten

Wenn ein Hacker die Sicherheitslücke ausgenutzt hätte, wäre er an einen Screenshot mit überaus empfindlichen Daten gelangt. Auf diesem hätte man unter anderem die Adresse des Kunden einsehen können. Obendrein hätten auch Dritte ganz einfach mithilfe von Postleitzahl und Paket-Code nachsehen können, wann das Paket sein Ziel beim Adressaten erreicht. Besonders schwer wiegt allerdings der Fakt, dass Kriminelle die sogenannten JSON-Daten hätten einsehen können. Hierzu gehören empfindlichste Personendaten wie E-Mail-Adresse, Telefonnummer und vollständige Namen.

DPD weiß seit September 2021 Bescheid

Für DPD selbst ist die Information über die Sicherheitslücke nicht neu. Wie es sich für IT-Sicherheitsexperten gehört, hat „Pen Test Partners“ den Paketzulieferer bereits im September letzten Jahres über die Missstände informiert. Ein entsprechendes Schließen der Sicherheitslücke soll dann bereits einen Monat später stattgefunden haben. Bislang ist allerdings ungewiss, ob und in welchem Umfang Hacker das Datenleck ausgenutzt haben.