Hacker legen Kundendaten von Corona-Listen offen

Aufgrund der Corona-Pandemie sind Restaurants in vielen Kantonen derzeit verpflichtet, die Kontaktdaten von Gästen aufzunehmen. Zuletzt hat etwa der Kanton Zürich seine Richtlinien dahingehend verschärft. Die Daten können auf einem Blatt Papier oder digital aufgenommen werden. So können die Gastronomen die Datenerfassung mithilfe einer Cloud-Software unkompliziert gestalten.

Nun haben jedoch Mitglieder des Chaos Computer Club (CCC, siehe unten) in Deutschland mehrere Schwachstellen im Cloud-System des Anbieters Gastronovi entdeckt. Das Unternehmen bietet unter anderem Kassensysteme für Gastrobetriebe an. Die Software der Firma wickelt nach eigenen Angaben jeden Monat 600’000 Reservierungen ab und verarbeitet 96 Millionen Euro an Restaurantumsätzen – auch in der Schweiz gehören Restaurants und Hotels zu den Kunden, wie den Referenzen auf der Unternehmenshomepage zu entnehmen ist.

Wie der CCC in einer Mitteilung schreibt, konnten über mehrere Schwachstellen im System die Daten von 5,4 Millionen Reservierungen und mehr als 87’000 Corona-Kontakterhebungen von 180 Restaurants abgegriffen werden. Die Hacker hätten «erstaunt festgestellt», dass die Daten von Reservierungen teilweise über zehn Jahre alt gewesen seien.

Wie es in der Mitteilung vom Freitag weiter heisst, konnten die Hacker durch eine fehlerhafte Prüfung der Zugriffsrechte im Handumdrehen administrativen Vollzugriff auf sämtliche im System gespeicherte Daten erlangen. Auch unzureichend geschützte Passwörter konnten die Hacker einsehen – teilweise nicht verschlüsselt, sondern im Klartext.

Das birgt laut dem CCC auch ausserhalb des Cloud-Systems der Gastrobetriebe Gefahren, weil Nutzer oft dazu neigten, das gleiche Passwort für mehrere Accounts zu verwenden. Triviale Passwörter wie «1234» würden zudem auf das Fehlen einer angemessenen Passwortrichtlinie hindeuten.

Sophie Bertsch vom CCC, welche die Systeme von Gastronovi überprüft hat, sagte gegenüber der ARD: «Ein Teil der Lücken war so eklatant, dass jeder Nutzer das hätte herausfinden können.» Die digitale Corona-Kontaktverfolgung hält sie für problematisch: «Als die Gastronomie wieder geöffnet wurde, wurden hier schnell gestrickte Lösungen eingeführt, die nicht dem Stand der Technik entsprechen.»

Laut Tagesschau.de hat Gastronovi auf Anfrage bestätigt, dass die Systeme anfällig gewesen seien. Es habe sich um «Sicherheitsschwachstellen» gehandelt, diese seien zwischenzeitlich geschlossen. Gastronovi erklärte zudem, dass «kein unautorisierter Zugriff» auf die Daten stattgefunden habe.

Auch in der Schweiz nutzen Gastronomiebetriebe für ihre Administration die Lösungen von Gastronovi. Das Unternehmen ist Teil der Transgourmet Holding, welche wiederum der Coop-Genossenschaft gehört, schreibt der Schweizer Ableger von CCC auf Twitter.

Coop-Mediensprecher Patrick Häfliger sagt auf Anfrage von 20 Minuten: «Das Angebot von Gastronovi ist sicher. IT-Spezialisten haben die Systeme geprüft, allfällige Sicherheitslücken wurden geschlossen.» Wie viele Schweizer Firmen die Angebote von Gastronovi nutzen und im Zuge der Corona-Krise Kundendaten in der Cloud einlagern, sagt Häfliger nicht.