Ein bisher Unbekannter hat eine Datenbank der ehemaligen Portale Mitfahrgelegenheit.de und Mitfahrzentrale.de kopiert. Die Dienste wurden zwar Ende März abgeschaltet, trotzdem müssen die früheren Nutzer um ihre Daten bangen. Etwa 638.000 IBAN- und Kontonummern sowie 101.000 E-Mail-Adressen, 15.000 Handynummern und teilweise Namen und Adressen der Nutzer wurden entwendet. Ereignet hat sich der Vorfall im vergangenen Oktober.
Die betroffene Datenbank gehört der Comuto Deutschland GmbH, einer Tocher der französischen Comuto SA, die das Portal BlaBlaCar betreibt. BlaBlaCar übernahm Mitfahrgelegenheit.de und Mitfahrzentrale.de im April. So kamen auch die Daten in ihren Besitz. Nutzer von BlaBlaCar sollen nicht betroffen sein.
Eigentlich sollten die Nutzerdaten anonymisiert werden. Das ist seit der Übernahme der beiden Websites allerdings nicht passiert, was das Unternehmen auf einen nicht näher ausgeführten Fehler zurückführt. Ehemalige Nutzer sollten sich im Zweifel informieren, ob sie von dem Datenleck betroffen sind. Dies können sie von Montag bis Freitag von 8 bis 18 Uhr unter der Telefonnummer 0800-32 32 555 tun. Außerdem wird empfohlen, die Kontobewegungen der letzten sechs Wochen zu überprüfen.
Die Daten lagen in einer Dropbox, vermeldet Golem:
„Das Unternehmen hat mittlerweile mitgeteilt, dass die Daten nicht bei einem internen Clouddienst gehostet wurden, sondern bei Dropbox“
http://www.golem.de/news/mitfahrgelegenheit-de-640-000-iban-nummern-von-mitfahrzentrale-nutzern-kopiert-1611-124763.html
Geht’s noch? Unfassbar. Erst meine Daten nicht wie versprochen löschen, dann ganz offensichtlich die eigene Sicherheit verbocken und anschließend nicht mal aktiv die Betroffenen & potenziell Betroffenen informieren.
Gibt es eigentlich irgendeine Handhabe als Opfer von Datendiebstahl (auch ohne, dass ein monetärer Schaden beispielsweise durch Nutzung der eigenen Kontodaten entstanden ist) gegenüber dem Betreiber bei bewusstem Missbrauch der eingegangenen Vereinbarung mit dem Kunden oder grober Fahrlässigkeit?
§ 42a BDSG legt leider nur eine Pflicht zur Benachrichtigung auf, scheint aber keine Konsequenzen vorzusehen, wenn dem nicht nachgekommen wird.
Hoffentlich stellt niemand die Daten von Olivier Bremer, dem Deutschland-Chef von Comuto, ins Netz.
Bemerkenswert ist schon deren dummdreiste Mitteilung. Ich zitiere:
„Die Comuto Deutschland GmbH Tochtergesellschaft der Comuto SA, gibt heute bekannt, dass sie Opfer eines kriminellen Cyber-Angriffs geworden ist.“
Wenn es stimmt, dass die die Daten in die Klaut geschoben haben und auch noch den Schlüssel dazugelegt, dann ist das eine unverschämte Lüge. Das „Cyber“-Geseier können die sich sparen; bedenklich ist vor allem die Fahrlässigkeit, die viele Personen (natürliche und juristische …) im Umgang mit ihnen anvertrauten persönlichen Daten an den Tag legen.
Aber immer schön mit dem Finger auf Andere zeigen, das funktioniert besonders mit der Vorsilbe „Cyber“, die Angst vor „Hackern“ machen und das Denken ausschalten soll. „Hacker“, die einfach nur durch offene Scheunentore gehen brauchen. Wenn ich jemandem einen Haufen Geld zur sicheren Verwahrung anvertraue, erwarte ich doch auch nicht, dass er es abends in einem dunklen Park deponiert.
Ich denke nicht, dass diese Analogie besonders stark hinkt. Jedenfalls nicht so stark wie Internet-Autoverkehr-Vergleiche (was wiederum an das angebliche „Bedürfnis“ der „Gesellschaft“ nach zwangsweiser Beglückung mit vernetzten Schnüffelautos erinnert, aber das ist nochmal ein ganz anderes Thema als die Daten kommerzieller Mitfahrzentralen).
Ich glaube erst wenn man den Unternehmen mit massiven Strafzahlungen droht werden sie sich um die Sicherheit von Kundendaten kümmern.
Wenn ichs hinbekomme start ich ne Petition am Wochenende, obwohl der glaube an wandel begrenzt ist… aber ihr könnt mich gern eines besseren belehren…
Nette Idee eine 0800er Nummer als Hotline einzurichten – kann ich aber leider vom Ausland aus nicht nutzen.
Hat jemand eine Idee wie man die Menschen erreichen kann ?
Habe zwar schon eine Mail geschickt, wuerde aber gerne telefonisch Kontakt aufnehmen.
Ween man Comuto Deutschland GmbH in Hamburg anruft, wird man darauf aufmerksam gemacht, dass es sich um eine Immobilienfirma handelt, die nicht weiss worum es geht.
Gruss,
Guido
Gerade eben das erste mal eine Spam-SMS auf mein Handy bekommen. Vorher noch nie. Und die Nummer war kaum in Benutzung. Außer bei Mitfahrgelegenheit.de.
Was mich stuzig werden lässt:
„Die Datenschutzbeauftragte der Comuto Deutschland GmbH teilte gegenüber heise Security mit, dass die Daten mit AES verschlüsselt sind. Nur habe man bei der Archivierung auch den zugehörigen Schlüssel mit in der Cloud abgelegt.“
Quelle: https://m.heise.de/newsticker/meldung/Hacker-kopieren-Nutzer-Daten-von-Mitfahrgelegenheit-de-und-Mitfahrzentrale-de-3507285.html
Heißt das jetzt der Schlüssel lag wirklich für jedermann nutzbar in der Cloud neben den eigentlichen (verschlüsselten) Daten? Wäre ja mal unfassbar blöde…