Einen Termin für die Abholung eines Möbelstücks zu vereinbaren, scheint eine alltägliche Angelegenheit zu sein. Dafür braucht man jedoch ein Konto, Kontaktdaten und eine digitale Plattform. In Grand Paris Grand Est im Département Seine-Saint-Denis steht dieser Dienst im Mittelpunkt eines Sicherheitsvorfalls, über den Cyberattaque.org am 5. November berichtete. Grundlage dafür war eine Benachrichtigung, die an Nutzerinnen und Nutzer verschickt wurde.
Laut diesem vom Medium beschriebenen Dokument ermöglichte eine am 28. September entdeckte Schwachstelle auf Wastreet, einer vom Dienstleister SEPUR genutzten Plattform, einen unbefugten Zugriff auf Daten. Betroffen sind E-Mail-Adressen und Telefonnummern; Namen, Vornamen und Postanschriften sollen verschont geblieben sein. Die Zahl der betroffenen Nutzerinnen und Nutzer wurde nicht mitgeteilt.
Ein öffentlicher Dienst, mehrere Beteiligte
Die Nutzungsbedingungen des Termindienstes nennen Wastreet als Entwickler und Betreiber der Plattform. Sie unterscheiden zwischen der Website zur Terminvereinbarung und dem Dienstleister, der für die Abholung zuständig ist. Der Ablauf für Privatpersonen verbindet so einen lokalen Dienst mit mehreren Akteuren.
Diese Organisationsstruktur ist für sich genommen kein Beweis für einen Sicherheitsmangel. Sie erklärt jedoch, warum der auf einem öffentlichen Dienst angezeigte Name nicht ausreicht, um alle beteiligten Systeme zu identifizieren. Für die Nutzerin oder den Nutzer bleibt eine Anfrage ein einziger Termin. Hinter dem Bildschirm können das Konto, die Kommunikation und der tatsächliche Abholvorgang jedoch in die Zuständigkeit verschiedener Stellen fallen.
Wird ein Vorfall bekannt gegeben, kommt es daher vor allem darauf an, zu verstehen, welcher konkrete Dienst betroffen ist. Eine Warnung zu einer Buchungsplattform lässt nicht den Schluss zu, dass alle Systeme der Gebietskörperschaft oder sämtliche Tätigkeiten ihres Dienstleisters kompromittiert wurden.
Angeforderte und offengelegte Daten: zwei unterschiedliche Listen
Das in den Nutzungsbedingungen beschriebene Anmeldeformular verlangt einen Namen, einen Vornamen, eine E-Mail-Adresse, eine Telefonnummer und eine Anschrift. Bei der Terminvereinbarung werden außerdem Angaben zu den abzuholenden Gegenständen und zum Abholort erfasst. Diese Informationen haben einen praktischen Zweck: Sie dienen dazu, den Abholtermin zu organisieren und die Nutzerin oder den Nutzer erreichen zu können.
Diese Liste beschreibt jedoch den normalen Ablauf des Dienstes. Sie ist keine Bestandsaufnahme der Daten, auf die ein Dritter zugegriffen hat. In einem Fall von Datenabfluss beide Listen zu vermischen, hieße, alle einer Organisation anvertrauten Informationen als zwangsläufig kompromittiert darzustellen.
Hier gilt es, den engeren Umfang der gemeldeten Benachrichtigung beizubehalten. Das hebt das Risiko im Zusammenhang mit den Kontaktdaten nicht auf; es verhindert aber, dass weitere Daten hinzugerechnet werden, deren Offenlegung nicht gemeldet wurde.
Eine Behebung beantwortet nicht alle Fragen
Ebenfalls laut Cyberattaque.org heißt es in der Benachrichtigung, dass die Schwachstelle behoben und Passwörter zurückgesetzt wurden. Diese Maßnahme beweist für sich genommen nicht, dass Passwörter gestohlen wurden. Aus dem berichteten Dokument lässt sich auch nicht ableiten, dass die Daten öffentlich verbreitet wurden.
Der 28. September ist das Datum, an dem die Schwachstelle entdeckt wurde. Es darf nicht als gesichertes Datum des ersten Zugriffs dargestellt werden. Die Entdeckung einer Schwachstelle, ihre Behebung und das Verständnis darüber, welche Daten eingesehen wurden, werfen unterschiedliche Fragen auf. Nutzerinnen und Nutzer brauchen eine verständliche Bilanz und kein einzelnes Datum, das künstlich den Eindruck erweckt, der gesamte Ablauf sei bekannt.
Das praktische Risiko: eine Nachricht, die zum vermeintlich richtigen Dienst gehört
Cybermalveillance.gouv.fr erklärt, dass offengelegte Kontaktdaten für betrügerische Nachrichten, SMS oder Anrufe genutzt werden können. Ein Betrüger muss dafür nicht über eine vollständige Personenakte verfügen: Ein glaubwürdiger Zusammenhang kann dazu beitragen, dass eine ungewöhnliche Aufforderung akzeptiert wird.
Eine gefälschte Nachricht, die einen Abholtermin erwähnt, wäre beispielsweise ein Szenario, auf das man achten sollte. Das ist eine mögliche Betrugsmasche, keine in diesem Fall festgestellte Kampagne. Weiterhin gilt: Den Dienst selbst über seine offiziellen Kontaktdaten suchen und die Anfrage überprüfen, bevor man Informationen weitergibt oder einem Link folgt.
Die nationale Stelle rät außerdem dazu, die Benachrichtigung sorgfältig zu lesen, um die betroffenen Daten zu ermitteln, unterschiedliche Passwörter zu verwenden und eine zusätzliche Authentifizierung zu aktivieren, sofern der Dienst diese anbietet. Diese Maßnahmen verringern bestimmte Risiken; sie machen die ursprüngliche Offenlegung nicht harmlos.
Was Nutzerinnen und Nutzer überprüfen können
Drei Fragen helfen dabei, eine Benachrichtigung zu verstehen, ohne zu dramatisieren oder zu verharmlosen: Ist mein Konto betroffen, welche Informationen werden genau genannt und welche Handlung wird von mir verlangt? Bleibt die Nachricht unklar, ist es besser, bei der zuständigen Stelle nachzufragen, als allein aus der Überschrift eines Artikels Schlüsse zu ziehen.
Auch davon hängt die Sicherheit alltäglicher Behördengänge ab: davon, ob jeder Nutzerin und jedem Nutzer eine präzise Auskunft gegeben werden kann. Der Vorfall erinnert daran, dass ein praktischer und wenig spektakulärer Dienst wie die Sperrmüllabholung den gleichen Schutz von Zugängen und Daten verdient wie eine viel stärker sichtbare Anwendung.
Symbolfoto: Sperrmüll auf einem Gehweg in Düsseldorf. Das Bild zeigt keine Abholung durch Grand Paris Grand Est.
