Sicherheitslücke Corona-Kontaktdaten von Restaurantbesuchern im Netz entblösst

dj

8.7.2020

Schweizer Restaurants müssen in Corona-Zeiten die Kontaktdaten ihrer Gäste aufnehmen.
Schweizer Restaurants müssen in Corona-Zeiten die Kontaktdaten ihrer Gäste aufnehmen.
Keystone

Eine Sicherheitslücke in einem Reservationstool für Restaurantbesuche ermöglichte es, Kontaktdaten zur Corona-Nachverfolgung von Fremden abzurufen.

Über eine Sicherheitslücke waren die Kontaktdaten von Schweizer Restaurantbesuchern im Netz frei abrufbar, wie «IT Magazine» berichtet. Die Sicherheitsspezialisten von Modzero haben eine entsprechende Sicherheitslücke im Reservationstool «forAtable» der Firma Lunchgate entdeckt. Dieses hat seit Kurzem eine Zusatzfunktion, bei der Restaurantbesucher über eine Webapp ihre derzeit aufgrund der Corona-Verordnung erforderlichen Kontaktdaten hinterlegen können. Die Registrierung erfolgt per Vorabreservation oder durch Scannen eines QR-Codes direkt im Lokal.

Hatten sich Gäste bei einem Restaurant oder einer Bar auf diese Art und Weise registriert, bekamen sie am Ende des Vorgangs eine Bestätigungsseite von Lunchgate angezeigt. Diese Seite hatte eine individuelle URL, die in der Adresszeile zu sehen war. Am Ende der URL fand sich eine ID-Nummer. Hierbei unterlief den Entwicklern der Webapp jedoch ein kapitaler Fehler.

Einfach Nummer im Browser tauschen

Denn diese ID-Nummer wurde einfach fortlaufend vergeben. Man musste in der Adresszeile des Browsers nur eine kleinere ID-Nummer manuell einfügen und bekam nun die Bestätigungsseite mit den Kontaktdaten von früheren Gästen zu sehen. Mindestens der volle Name sowie die Telefonnummer von völligen Fremden waren nun einsehbar. Modzero zeigt in einem Video, wie sich die Sicherheitslücke ausnutzen liess:

Ein bösartiger Akteur hätte diese Abfrage automatisieren und so zahlreiche persönliche Daten etwa für Phishing-Angriffe abgreifen können. Modzero hat Lunchgate vorab über die Sicherheitslücke informiert, diese sei am 3. Juli geschlossen worden, so Lunchgate. Laut dem Unternehmen gäbe es keine Hinweise darauf, dass die Lücke von jemand anderem als Modzero entdeckt und ausgenutzt worden wäre.

Einen weiteren Vorwurf Modzeros, dass die Plattform die Kontaktdaten länger als die erlaubten 14 Tage gespeichert habe, weist Lunchgate zurück. Scheinbar ältere Einträge bezogen sich auf Reservationen, die damals in der Zukunft lagen, sodass noch keine 14 Tage seit dem Gaststättenbesuch vergangen seien. Modzero empfiehlt Restaurantbetreibern derweil, doch lieber Stift und Papier zur Festhaltung der Kontaktdaten zu verwenden.

Die Coronavirus-Krise: Eine Chronologie

Zurück zur Startseite