Aktuell | Internet | c't | heise magazine

Kundendaten bei Nordbrief einsehbar

Über eine mangelhaft konfigurierte Webseite waren beim Unternehmen Nordbrief-Ostsee Nachsendeaufträge von Privat- und Geschäftskunden öffentlich abrufbar.

Nordbrief ist ein Verbund von Postdienstleistern, der zur Madsack-Mediengruppe gehört. Die einzelnen Webseiten des Verbunds teilen sich zwar das gleiche Design, sind aber nicht identisch. Kunden in Rendsburg und Schwerin können Nachsendeaufträge einfach per Online-Formular mitteilen, Kunden in Kiel, Rostock und Lübeck – die alle zu „Nordbrief Ostsee“ gehören – müssen dazu zusätzlich ihren bereits erteilten Nachsendeauftrag von der Deutschen Post AG hochladen.

Bei Nordbrief waren Nachsendeanträge ohne Zugangsbeschränkung abrufbar.

Das wäre nicht weiter schlimm, wenn diese Dokumente dadurch nur Nordbrief zugänglich gemacht würden. Tatsächlich schrieb die Webseite sie aber in ihr öffentlich abrufbares Standardverzeichnis für Datei-Uploads. Die Nachsendeaufträge der Deutschen Post, die immerhin Adressdaten, Mandatsreferenznummern und Gläubigeridentifikationsnummern der Kunden enthalten, waren dadurch für jedermann per Browser einsehbar.