Die Firma Ruf ist nach eigenen Angaben die Nummer 1 unter den deutschen Jugendreisen-Veranstalter. Auf ruf-jugendreisen.de gibt es eine dazu gehörige Community, in der sich die meist Jugendlichen Kunden vor und nach den Reisen austauschen können. Vor einer Woche erhielten wir detaillierte Informationen, wonach es in der Community zahlreiche kritische Sicherheitslücken gibt. Der Fall ist damit vergleichbar mit haefft.de, einer Schüler-Community, der vor wenigen Wochen vom Chaos Computer Club eklatante Sicherheitslücken nachgewiesen wurde.
Neben den üblichen XSS- und SQL-Injection-Lücken wurden die Passwörter der jugendlichen Benutzer im Klartext in der Datenbank gespeichert, anstatt, wie üblich, gehasht zu werden. Unserer Quelle war es sogar möglich, alle Details von ca. 50000 Benutzerkonten auszulesen, auch das Lesen privater Nachrichten war möglich.
Unsere Quelle hatte ein Interesse, dass das Datenleck schnell behoben wird. Wir haben am Freitag das Unternehmen kontaktiert und ihm alle relevanten Informationen zur Schließung der Sicherheitslücken zu gesendet, inklusive einer Kopie ihrer Datenbank. In der Datenbank fanden sich zahlreiche personenbezogene Daten von Jugendlichen, wie Geburtsdatum, Mailadresse, Name, Vorname, Pseudonym, Webseite, Adresse und Passwort.
Die Firma Ruf reagierte sofort und nahm die Community noch in der Nacht zum Samstag vom Netz. Derzeit ist sie immer noch offline. Uns wurde auch erklärt, dass die uns zugespielten Nutzerdaten nicht mehr aktuell seien, sondern nur ein Backup älterer Datenbestände seien. Unsere Quelle hat die vom Server gezogenen Daten nach Verschickung an uns sofort gelöscht.
Ruf erklärte uns nun, dass beim Eindringen in ihren Server „in großem Umfang Daten manipuliert wurden“ und ihnen „somit ein nicht unerheblicher wirtschaftlicher Schaden zugefügt wurde“. Man gehe davon aus, dass unsere Quelle dafür verantwortlich ist und ihre Anwälte ihnen nahe gelegt haben, Strafanzeige zu stellen. Wir versuchen nun zwischen unserer Quelle und Ruf zu vermitteln. Vor allem klingt der Vorwurf etwas absurd, dass unsere Quelle erstmal massiv Schaden anrichtet und dann detailliert Fehler und Sicherheitslücken beschreibt und über uns den Kontakt zu Ruf sucht, damit diese endlich mal ihre Community sicherer machen. Nach Durchsicht aller Sicherheitslücken sieht es danach aus, als sei die Community-Plattform mit einem Schweizer Käse vergleichbar, der zahlreiche dicke Löcher hat. Man kann davon ausgehen, dass schon früher andere Personen die recht offensichtlichen Sicherheitslücken genutzt haben.
Passend ist auch der Datenschutz-Hinweis auf der Webseite:
Bei uns sind deine Daten sicher!
Wir garantieren, das wir keine Daten, die ihr über die Website ruf.de eingebt, an Dritte weitergeben werden. Die Daten, die ihr bei der Registrierung eingebt, werden ausschließlich für die Nutzung der Angebote unter ruf.de benötigt und auch nur dazu gespeichert.
Wir berichten über die weiteren Entwicklungen und gehen davon aus, dass Ruf die Vorwürfe gegen unsere Quelle zurück nimmt. Der Datenschutz der zumeist jugendlichen Kunden von Ruf konnte erst durch die Informationen unserer Quelle wieder besser gewährleistet werden.
Update: Aufgrund dieses Artikels haben wir einen Hinweis bekommen, dass die Lücken schon im Rahmen eines Lightning-Talks auf dem 23c3, also vor 3 Jahren, bekannt gegeben wurden. Als Vorgeschichte gab es noch den Hinweis, dass eine Person damals auch die Sicherheitslücken an Ruf gemeldet hat und dieser dann mit Anwälten bedroht wurde. Das lässt die Drohungen gegen unsere Quelle nochmal in einem ganz anderen Licht erscheinen. Wenn daran was dran ist, was die Videoaufzeichnung der 23c3 Lightning-Talks auch sagen, dann ist das Verhalten von Ruf unverantwortlich und jugendgefährdend.
Mal schauen, ob Ruf jetzt alle betroffenen Nutzer über das Datenleck informiert?!
Update: Ruf scheint die Sache jetzt entspannter anzugehen und redet in Zusammenhang mit meiner Quelle nicht mehr von Anwälten.