Ein fast schon alltägliches Bild sind Datenpannen im Internet. USB Sticks mit sensiblen Daten werden verloren, tauchen im Netz später wieder auf, Akten werden nicht richtig vernichtet oder es wird in all der Hektik vergessen, den FTP Server der Firma abzuschotten. Manchmal sind die Datenpannen ziemlich trivial.

Hier ein aktueller Fall:

Erst kürzlich habe ich die Website eines sehr großen und börsennotierten
Unternehmen aufgerufen um mir deren Server-Hardware-Produkte genauer anzuschauen. Auf der Suche nach Datenblättern, für die dort angebotene Hardware, bin ich auf einige solcher Werbe .pdf Dokumente gestoßen. Die gewünschten Informationen waren aber leider sehr schlecht beschrieben und ich benötigte darüber hinaus einfach noch mehr Infos zu den gewissen Produkten und deren Features.

Also habe ich einfach in der URL Zeile das http: gegen ein ftp: getauscht, da ich auf dem FTP Server (sofern dieser offen und anonymous wäre) gewisse Whitepapers vermutet hatte. Nachdem ich mit dem FTP Server dieses besagten Unternehmen verbunden war, konnte ich mir die Ordner auf dem FTP genauer anschauen und etwas herumstöbern. Hier lagen unzählige Daten, die ich auf der normalen Website, nicht vermutet hätte. Hier lagen auch die technischen Dokumente zu der Serverhardware die mich interessierten. Gesucht, gefunden … dachte ich.

Wichtig an dieser Stelle wäre noch zu erwähnen, dass ich weder ein Kennwort noch irgendein spezielles Tool benötigt habe, um Zugriff auf den besagten FTP Server zu erlangen. Ein Browser und ein FTP Programm reichten hierfür vollkommen aus.

Nachdem ich die benötigten Hardware-Broschüren heruntergeladen hatte, machten mich gewisse Ordner auf dem FTP sehr stutzig. Die Ordner waren ebenfalls nicht geschützt und deren Inhalt hat mich richtig staunen lassen. Hier lag eine 1,5 GB große Outlook.pst Datei. Scheinbar ein Backup das direkt auf dem FTP abgelegt wurde?! – Zum Test habe ich mir diese 1,5 GB große Datei heruntergeladen. Auch hier keinerlei Schutzmaßnahmen. Ein ganz einfacher Download einer Datei.

Der Inhalt der besagten Outlook Sicherung war die Krönung und hätte sicherlich jeden Datenschützer die Schweißperlen auf die Stirn getrieben. Sämtlicher Mailverkehr einer Person des Unternehmens. Kommunikation und Absprachen mit Partnern, den Kunden, sowie mehrere Adressbücher mit hunderten von Kontakten aus dem Serverbusiness. Da waren sehr bekannte Namen dabei.

Der Clou folgte aber noch. Die internen Preisabsprachen, die Angebote und die Preislisten für den Ein-u. Verkauf lagen zu Massen anbei. Wie kann es also sein, dass derartige Daten so ungeschützt und von “Jedermann” aus dem Internet abrufbar sind? Und das bei solch einem großen Unternehmen? Vielleicht weil das Unternehmen so groß ist?

Im weiteren Verlauf habe ich mich an Lars S. von der Internetplattform gulli.com gewandt. Dieses habe ich bewusst gemacht, da dort zahlreiche Personen mit der “Thematik Datenpannen” vertraut sind, bzw. genau wissen, wie damit umzugehen ist. Lars S. von Gulli.com hat mich über die Korrespondenz mit dem besagten Unternehmen auf dem Laufenden gehalten, parallel habe ich mir den Sachstand auf dem betroffenen FTP Server genauer überprüft. Nach fast 3 Wochen! wurde die Lücke dann behoben, der FTP Server von den Firmenadmins “aufgeräumt” und alle brisanten Daten entfernt.

Eine Stellungnahme seitens des Unternehmens hat es bis heute nicht gegeben. Auch eine Berichterstattung auf gulli.com wurde ausdrücklich vom Unternehmen untersagt.  Aber wie ich auch schon in der Vergangenheit öfters angesprochen habe: Solche Vorfälle werden ganz gerne mal unter den Tisch gekehrt.

Bleibt abzuwarten was sich im Jahr 2011 noch alles ereignen wird in Bezug auf IT-Security und Datenpannen. Was meint Ihr?