Portugal: App legt Daten von 1 Million Bürgern offen

Der portugiesische Wasserversorger EPAL hat mit einer nachlässig programmierten App eine Datenbank mit sensiblen Informationen von rund einer Million Kunden zugänglich gemacht. Dazu gehörten Personalausweis- und Steuernummern, Zahlungsmodalitäten und Kontaktdaten.

Darauf stießen zufällig die Business-App-Entwickler von Rabbit Mobile, die über Büros in Frankfurt und der portugiesischen Hauptstadt Lissabon verfügen. Der in Lissabon ansässige Entwicklungschef João Santos war als Kunde des Versorgungsunternehmens EPAL auch Nutzer der App „MyAqua“, mit der sich etwa Rechnungen einsehen, Zahlungsmodalitäten ändern oder Störungen in der Wasserversorgung melden lassen. Das setzte eine Schnittstelle zu einer Datenbank voraus, was Santos aus seiner beruflichen Erfahrung heraus skeptisch werden ließ.

Mit einem üblichen Entwicklertool für Sicherheitstests simulierte er daher die API-Anfrage der App an den Server – mit erschreckendem Ergebnis. Mit nur wenigen Minuten Aufwand sah er, dass er mit seiner Kundennummer oder einer zufälligen EPAL-Kundennummer an die Kundenkartei dahinter kam. Für jede denkbare Kundennummer konnte er so unter anderem Telefonnummern, E-Mail-Adressen, Wasserverbrauch, Personalausweis- und Steuernummern, Zahlungsmodalitäten sowie Rechnungs- und Verbrauchsadressen einsehen. Damit standen die Daten von einer Million Wasserkunden und zusätzlich die Daten von 14 weiteren Versorgungsfirmen offen. Die Daten wurden ohne jegliche Authentifizierung abgerufen sowie unverschlüsselt übertragen.

João Santos versuchte EPAL auf die offene Tür zur Datenbank hinzuweisen, erhielt jedoch keine Antwort auf seine E-Mail. Anschließend wandte er sich an die portugiesische Datenschutzbehörde CNPD, die seine Meldung gleichermaßen ignorierte, obwohl EPAL klar gegen die eigenen Datenschutzbestimmungen verstieß. Santos musste daher weiter eskalieren und informierte die Zeitschrift „Exame Informática“, die EPAL vor einer Veröffentlichung ebenfalls vergeblich anzusprechen versuchte. Erst als am 5. September ein Artikel zum Thema veröffentlicht wurde, stellte das Versorgungsunternehmen die unsichere API unvermittelt offline.

Wie Santos vermutet, entstand der Fehler durch den unsauberen Umstieg von einer wenig gesicherten Entwicklungsversion zur Live-Version. „Es mag ein wenig wie Schludrigkeit erscheinen“, kommentiert Rabbit-Mobile-CEO Tim Wiengarten in einem Blogeintrag auf Medium. „Doch die Sicherheitsrisiken, die sich mit einem solchen Lapsus ergeben, sind immens: Über die Kontaktmöglichkeiten per E-Mail, Post und Telefon, und die weiteren, offengelegten Daten könnte sich zum Beispiel jeder auch nur halbwegs überzeugende Mensch als EPAL-Mitarbeiter vorstellen, damit Vertrauen erwecken und das Opfer zu Geldzahlungen nötigen, Zutritt zur Wohnung erlangen, und so weiter.“

Zudem wäre möglich gewesen, Identitäten zu fälschen und dem Versorger selbst nicht existente Kunden vorzutäuschen. Dennoch schien die EPAL noch immer nicht besonders alarmiert zu sein und erklärte, bislang keine Hinweise auf Probleme mit der App erhalten zu haben. „Wollen wir es für die eine Million Kunden hoffen, dass das stimmt“, so Wiengarten weiter. „Und hoffen wir ebenfalls, dass die EPAL sich vielleicht doch noch entschließt, dieses Sicherheitsleck ernst zu nehmen und zu fixen.“

Tipp: Wie gut kennen Sie sich mit Mobile Apps aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.