Lufthansa Datenleck durch Agenturpanne
Allgemein/Internet Mai 25th, 2009Die deutsche Lufthansa hat mich netterweise über Twitter auf ein interessantes Angebot aufmerksam gemacht: Ich kann vorab herausfinden welche Filme auf welchen Flügen gezeigt werden.
Leider funktionierte das Formular nicht wie gewünscht. Die Auswahlfelder waren deaktiviert, auch ein Klick auf „Auswahl anzeigen“ half nicht weiter.
Bestimmt klemmt da was, ich rufe die Webseite einfach nochmal neu auf… und am besten ohne weitere Parameter, dann gehen bestimmt die Auswahl Felder auch. So mein Gedanke. Dass ich gerade dabei war, Zugang zum Redaktionssystem der Lufthansa zu bekommen, konnte ich nicht ahnen. Also tippte ich ein:
http://www.lufthansa-inflightentertainment.de/mediaworld/
und mir wurde lediglich der Verzeichnisinhalt angezeigt. Keine Lufthansa Webseite, nur eine Auswahl. „Framework“, „Redaktionssystem“… na das wird dann wohl der richtige Link sein. Framework wollte ich nicht, ich wollte die Filme sehen.
Am Redaktionssystem war dann mit meinen normalen Lufthansa.com Zugangsdaten keine Anmeldung möglich, ich vermutete, dass ich mich zur Nutzung registrieren muss. (Sonst wäre ja wohl kaum der „register“ Link dort aufgeführt.) Die Oberfläche – eher „funktional“ als optisch ansprechend gestaltet erwartet von mir Login, Passwort und eine E-Mail Adresse. Kein Ding, die Lufthansa geht ja sicherlich gut mit meinen Daten um.
Nachdem ich mich dort also angemeldet habe, war mein Zugang auch schon aktiviert. Wunderbar, keine nervigen „klicken Sie den Bestätigungslink“ Mails, sofort drinn! Im Redaktionssystem – und zwar inclusive Zugriff auf eine Online Umfrage auf der Lufthansa Kunden sich Musiktitel wünschen, Grüsse eingeben und unter anderem auch ihren Namen hinterlassen.
Datenschutz? Lufthansa? Ich fing an die Sache genauer zu analysieren.Wie kann soetwas passieren – und was sonst verbirgt sich hinter den bunten Fassaden selbst großer deutscher Unternehmen.
Bei dem Webauftritt handelt es sich nicht etwa um einen durch die Lufthansa Systems betreuten und auf eigener Infrastruktur laufenden Dienst. Oft ist es nämlich so, dass gerade bei Großunternehmen die eigene IT sehr teuer ist. Umständliche Prozesse, von denen man den Eindruck bekommt, dass der einzige Nutzen darin besteht, die Umsetzung zu verhindern.
Vergleicht man dann die Kosten mit einem Angebot von einer Web-Agentur stellt man manchmal sogar um Größenordnungen anderen Kalkulationen fest. In diesem Fall wird der Auftritt offenbar durch die „Ray Sono AG“ betreut und auf einem gemieteten Webspace betrieben. Neben dem Auftritt dieses Bereichs der Lufthansa tummeln sich dann möglicherweise noch eine Vielzahl anderer Auftritte auf dem Server.
Außerhalb des Kontrollbereichs des eigenen IT Anbieters Lufthansa Systems – damit ist natürlich der Betrieb sehr günstig. Schon für 5 Euro im Monat kann man einen entsprechenden Webspace mit Datenbank bekommen und muss sich um nichts kümmern.
Auch bei der Softwareentwicklung geht es oft leichter – keine schwerfälligen Prozesse mit viel Papierkram. Manche Agenturen („flexibel“ oder „agil“) können per Anruf neue Featurewünsche umsetzen!
Doch wenn es brennt… ich rief bei der Lufthansa in Frankfurt an, um über diesen Umstand zu informieren. Leider erreichte ich niemanden, also rief ich bei der Lufthansa Systems an. Als ich dann mit dem richtigen Ansprechpartner verbunden war, zeigte sich sehr interessiert, freute sich über den Hinweis. Sofortige Abhilfe wurde zugesagt.
Am nächsten Tag war Feiertag – also schaute ich am Freitag rein. Wow! Da hat sich wirklich viel getan. Der Verzeichnis Inhalt war nicht mehr zu sehen – der Link zur Erstellung eines neuen Zugangs am Redaktionssystem war verschwunden. (Agentur angerufen, Featurewunsch umgesetzt – da gehts dann eben flott.)
Doch halt. „register.php“ war weiterhin aufzurufen. Mein Account funktionierte noch. Auch die Registrierung tat weiterhin. Mein erster Gedanke „Agentur eben“ – und der zweite Gedanke war, dass ich schon einge Menge Zeit in diese Sache investier thatte. Aber auf der anderen Seite konnte ich es dabei auch nicht bewenden lassen.
Mein nächster Versuch führte mich dann zur Lufthansa Verwaltung nach Köln. Doch hier hieß es nur „Brückentag, leider niemand im Hause“. Doch etwas Hartnäckigkeit und verdeutlichend dass es sich in meinen Augen um eine Sicherheitslücke handelte deren Auswirkungen ich nicht abschätzen kann half weiter.
Jemand vom Datenschutz – diese Leute nehmen ihren Job ernst und haben in der Regel auch Möglichkeiten erforderlichen Nachdruck aufzubauen. Ich erzählte also was sich zugetragen hatte, schrieb eine detaillierte E-Mail. Sofort wurde mir gesagt, dass es sich ja um etwas externes handele, aber für unverzügliche Abhilfe gesorgt werde.
Heute erhielt ich dann eine E-Mail mit der Information dass alles gesichert sei, und zukünftig Registrierungen anders gehandhabt würden. Und auch einen Satz mit „Dankeschön“.
Ich verteufel sicherlich nicht Agenturen, auf keinen Fall. Jedoch sollte man sich stets überlegen, ob man auch den Betrieb von Anwendungen aus der Hand geben möchte. Was wäre, wenn die Agentur mittlerweile Pleite ist? Niemand erreichbar? Das Hosting gar „sonstwo“ stattfindet. Oder der Webspace durch andere dort beheimatete Kunden eingesehen werden kann? Fragen deren Beantwortung deutlich macht, dass es einen Grund für bestimmte Kalkulationen gibt. Gründe die man gerne außer acht läßt, wenn man das günstigste Angebot annimmt.
Ich weiß übrigens noch immer nicht, welche Filme laufen.
Mai 26th, 2009 at 08:04
Interessanter Artikel!
Anbei ein Link der Dir vielleicht hilft.
http://www.lufthansa.com/online/portal/lh/de/info_and_services/on_board?nodeid=1755286&l=de&cid=18002#ancN65594
Mai 26th, 2009 at 11:31
Das nenne ich faires Nutzerverhalten!
Die können froh sein das die einen so netten „User“ hatten der damit nichts „schlimmes“ angestellt hat. *daumenhoch*
Mai 26th, 2009 at 12:09
In meinen Augen eine Geschichte für thedailywtf.com 😉
Mai 26th, 2009 at 12:18
Für den Aufwand hätt die Lufthansa auch gerne mal einen Business Class Flug in eine Metropole ihrer wahl springen lassen. Immer diese falsche Knausrigkeit.
Gruß
Stephan
Mai 26th, 2009 at 12:27
Dafür, dass LH so ein großer Laden ist, haben die ganzen Websites (insbesondere vor einigen Jahren) einen ziemlich unprofessionellen Eindruck gemacht. LH muss dass ja auch nicht unbedingt selber machen, aber irgendwer bei LH sollte sich zumindest mehr Mühe bei der Auswahl der Dienstleister machen. Internet ist heutzutage kein „Beiwerk“ mehr, sonder DIE Präsentation eines Unternehmens in der Öffentlichkeit (wenn man nicht gerade selber bei dem Unternehmen ist).
Mai 26th, 2009 at 12:48
Bei Lufthansa in Köln gab es vor langen Zeit mal persönliche Ansprechpartner, an die man sich bei irgendwelchen Unpäßlichkeiten wenden konnte. Und das funktionierte hervorragend. Inzwischen ist aber auch die Hotline für Vielflieger in Kassel geschlossen, denn der Vorstand muß ja sparen, damit die eigene Kohle stimmt. Dafür alles 01805… Kundenschädigungsnummern, weil die „Berater“ ausgerechnet haben, daß so alles viel billiger ist. Man muß sich beraten lassen, weil der eigene gesunde Menschenverstand abhanden gekommen ist. Und für dieses aus dem Fenster geworfene Geld wird dann so ein Unsinn, dazu noch gequirlt und und unter Hochdruck gesetzt, angezettelt. Mein Beileid…..liebe Lufthanseaten.
Mai 26th, 2009 at 15:22
Ein Trauerspiel, was da stattfindet. An einem Tag voller Langeweile bin ich mal durch Großunternehmen gestiefelt und fand durch „völlig idiotische“ URL-Verstümmelungen bei jedem zweiten oder dritten Hintertüren zu „verbotenem Gelände“ einschließlich Gehaltslisten oder Intranet- bzw. Email-Verwaltungen.
Da steht man fassungslos vor den Werken von „Spezialisten“, die zwar denken können, aber nicht VORAUSdenken und Folgen abschätzen.
„PISA“ scheint ein Bazillus zu sein, der vor allem bei der Intelligenzija grassiert.
Es ist eigentlich zum Heulen…
Die Krone setzte ein Unternehmen auf, das über ein Leck informiert und mit dessen Funktion konfrontiert wurde: Es drohte mit Strafanzeige wegen unbefugter Informationsbeschaffung!
Deshalb: Wer den Samariter spielen möchte, sollte das Fax des Vorstands erfragen und dorthin seine Entdeckung vermitteln. Der Vorstand freut sich wenigstens noch, dass er anschließend Köpfe waschen kann.
Mai 26th, 2009 at 15:47
Das war auch meine grösste Sorge – mir wurde jedoch von jedem Ansprechpartner zum einen versichert dass mir keine negativen Konsequenzen drohen, zum anderen dass das Problem abgestellt würde. Hat dann ja auch irgendwann geklappt – bei dieser Angelegenheit.
Ich glaube, dass durch den externen Betrieb solcher Dinge – womöglich noch auf shared-webspace-maschinen – ein unkalkulierbares Risiko besteht.
Mai 27th, 2009 at 10:47
Security Issues Caused By External Hosting…
Most companies have strict rules for handling personal data and installed security policies for secure handling of sensitive information. Therefore enterprise data centers are usually quite secure. However the corporsate processes that are required to …
Mai 27th, 2009 at 21:33
Ich finde es wirklich schockierend, dass Großunternehmen so wenig auf die Sicherheit ihrer Webauftritte achten. Die „Profis“, die solche Seiten erstellen sollten besser noch die eine oder andere Schulung/Fortbildung machen, bevor sie an solche Projekte herangehen. Es ist schlimm, dass, wenn man ohne Hindernisse in die Online-Verwaltungsbereiche von solchen Websites kommt, auch viele Kunden- und Mitarbeiterdaten offenliegen.
Mai 27th, 2009 at 21:40
Die Webapplikationen der Lufthansa…
…