Datenleck bei Schlecker

Drogerie mit offenem Tresor

150.000 Kundeprofile, über 7 Millionen Email-Adressen: Daten von Onlinekunden der Schlecker-Kette waren wochenlang im Netz abrufbar. Die Firma spricht von einem "Angriff".von FRIEDERIKE SCHMITZ

Illegaler Datenzugriff durch "internen Angriff"? Nach Bekanntwerden der Datenpanne hat die Drogeriekette Schlecker Anzeige gegen unbekannt erstattet.  Bild:  dpa

BERLIN taz | Datensätze von über 150.000 Schlecker-Online-Kunden waren bis Donnerstag über das Internet zugänglich; zudem seien dort 7,1 Millionen E-Mail-Adressen von Newsletter-Kunden abrufbar gewesen. Das sagte der Medienunternehmer Tobias Huch, der das Leck entdeckte, am Freitag der taz. Zu den betroffenen Daten gehörten Vor- und Nachname, Adresse, Geschlecht, E-Mail-Adresse und Kundenprofil.

Schlecker bestätigte das Datenleck, betonte aber, dass "keine sensiblen Kundendaten" wie etwa Passwörter, Kontonummern oder andere Zahlungsdaten sowie Kaufinformationen in den Datensätzen enthalten gewesen seien. Die Panne trat nicht im Online-Shop selbst auf, sondern bei einem externen Dienstleister.

"Man musste kein Hacker sein, um an diese Daten zu kommen. Mit Grundkenntnissen über den Aufbau von Webseiten und Datenbanken waren die leicht zu finden", sagte Tobias Huch, der schon 2008 einen Datenskandal bei T-Mobile aufdeckte.

Schlecker erklärte dagegen, dass die Daten nicht öffentlich im Internet einsehbar gewesen seien, sondern nur von technisch versierten Personen mit genauer Kenntnis der Quelle hätten erreicht werden können. Der illegale Zugriff auf die Daten sei offenbar durch einen "internen Angriff" möglich geworden. Schlecker habe Anzeige gegen unbekannt erstattet. Das Leck sei nach der Entdeckung umgehend geschlossen worden; die betroffenen Kunden würden schnellstmöglich informiert.

Es sei fest davon auszugehen, dass sich Unbefugte Zugang zu den Daten verschafft haben, sagt Huch. "Das war wie ein Tresor, bei dem die Tür offen steht - und zwar seit mehr als vier Wochen." Zu den betroffenen Daten gehörten auch Kundenprofile. Damit könnten zum Beispiel Online-Apotheken gezielt Schlecker-Kunden, die sich für Medikamente interessieren, mit Namen und Adresse anschreiben. Schuld an der Sicherheitslücke sei zwar in erster Linie der Online-Dienstleister, meint Tobias Huch. Schlecker hätte aber besser prüfen müssen.

"Wir werden die Daten, die der Finder heruntergeladen hat, prüfen und dann löschen", sagte Helmut Eiermann, Mitarbeiter vom Landesbeauftragten für den Datenschutz in Rheinland-Pfalz, der taz. "Solche Datenpannen häufen sich", so Eiermann. Grund: Firmen setzten verstärkt externe Dienstleister ein. "Wenn Sie zum Beispiel ein anderes Unternehmen beauftragen, ein Callcenter für Sie zu unterhalten, geben Sie denen auch Zugang zu Ihren Kundendaten." Dadurch erhöhe sich auch das Risiko, dass sie nach draußen gelangen, so Eiermann.