Datenleck bei Gastronovi: Millionen Gästedaten "nicht ausreichend geschützt"

| Technologie Technologie

Sicherheitslücken bei Gastronovi haben dazu geführt, dass Millionen persönliche Daten nicht ausreichend geschützt im Internet standen. Darunter waren auch Zehntausende digitale Corona-Kontaktverfolgungs-Formulare. Die sensiblen Daten lassen teilweise Einblicke in Bewegungs- und Aufenthaltsprofile der betroffenen Gäste zu. Entdeckt hat die Lücken der Chaos Computer Club (CCC). Reporterinnen und Reporter von NDR und BR konnten laut NDR-Pressemitteilung die Erkenntnisse des CCC durch Stichproben verifizieren.

Die Firma Gastronovi mit Sitz in Bremen bietet Restaurants, Bars und Hotels unter anderem Web-Lösungen für Tisch-Reservierungen, Bestellungen und auch die Kontakt-Verfolgung im Zuge der Corona-Vorkehrungen an. Nach eigenen Angaben wickelt die Software der Firma jeden Monat 600.000 Reservierungen ab und verarbeitet 96 Millionen Euro Restaurant-Umsätze.

Vier Millionen Adress- und Reservierungseinträge

Der CCC fand insgesamt mehr als vier Millionen Adress- und Reservierungseinträge aus den vergangenen neun Jahren vor. Darunter waren nach Angaben des CCC mehr als 87.000 Einträge, die der Kontaktverfolgung im Falle einer Corona-Infektion dienen sollen: Restaurants hatten die Daten mithilfe von sogenannten QR-Codes erhoben, die Gäste beim Besuch mit dem Smartphone scannen und dann ihre Kontaktdaten eintragen.

Gastronovi hat auf Anfrage bestätigt, dass die Systeme anfällig gewesen seien. Es habe sich um “Sicherheitsschwachstellen” gehandelt, diese seien zwischenzeitlich geschlossen. Gastronovi erklärte, dass “kein unautorisierter Zugriff” auf die Daten stattgefunden habe.

In einem 14-seitigen Bericht, der NDR und BR vorliegt, hat der CCC seine Erkenntnisse zusammengefasst. Demnach sei es mit einfachen Mitteln möglich gewesen, „administrativen Vollzugriff“ zu erhalten - also Zugriff auf alle Daten und zudem die Möglichkeit, Nutzerkonten und deren Berechtigungen zu verändern. “Kritikalität: sehr hoch”, wie es in dem Papier heißt.

"Hätte jeder Nutzer herausfinden können”

“Ein Teil der Lücken waren so eklatant, dass jeder Nutzer das hätte herausfinden können”, sagte Sophie Bertsch vom CCC. Sie hat gemeinsam mit anderen IT-Experten die Systeme von Gastronovi überprüft. Gerade die digitale Corona-Kontaktverfolgung hält sie für problematisch. “Nachdem die Gastronomie wieder geöffnet wurde, wurden hier schnell gestrickte Lösungen eingeführt, die nicht dem Stand der Technik entsprechen”, so Bertsch. Sie rät zu Stift und Papier und dazu, die Unterlagen nach Ablauf der Fristen zu schreddern.

In dem Datensatz tauchen auch die Namen zahlreicher Politikerinnen und Politiker auf. So lässt sich zum Beispiel nachvollziehen, dass sich ein SPD-Abgeordneter der Hamburgische Bürgerschaft am 15. Juli um 12.33 Uhr mit einer Parteigenossin in einem Café traf, seine Wohnanschrift und E-Mailadresse sind ebenfalls zu finden. Auch Reservierungen von Gesundheitsminister Jens Spahn und SPD-Generalsekretär Lars Klingbeil tauchen in den Daten auf. Die Politiker wollten sich zu dem Vorfall nicht weiter äußern.

Gastronovi betonte, die “Datenhoheit” liege “ausschließlich bei unseren Kunden”. Die Restaurants seien auch dafür verantwortlich, alte Einträge zu löschen. Als “Auftragsdatenverarbeiter erheben, speichern oder verarbeiten wir keinerlei globale Gästeprofile”, teilte ein Sprecher der Firma mit.

Für Ulrich Kelber, Bundesbeauftragter für Datenschutz, greift das zu kurz. “Wenn ein Dienstleister für die Gastronomie das Einlagern der Daten anbietet, dann sollte es vielleicht auch Teil der Dienstleistung sein, die Daten danach zu löschen”, so Kelber. In der Corona-Verordnung sei das klar geregelt. “Es sind Daten in der Datenbank gewesen, die längst hätten gelöscht werden müssen”, sagte Kelber. Er spricht von einem “großen Datenschutzproblem” und hofft auf die Signalwirkung von hohen Bußgeldern: “Damit das Teil der Kalkulation aller Anbieter wird. Also nicht nur: Was kostet es mich, die Daten zu speichern, sondern auch, was kostet es mich, wenn ich mich nicht um den Schutz dieser Daten kümmere?”


 

Zurück

Vielleicht auch interessant

Hotel Tech Awards 2021: Unternehmen aus Deutschland und Österreich gewinnen

Startups aus Deutschland und Österreich räumen auch beim 2021 bei den HotelTechAwards ab. Hotelkit setzte sich in vier Kategorien durch. Suitepad aus Berlin verteidigte seinen Titel als „Bestes In-Room Tablet”. Auch TrustYou aus München wurde ausgezeichnet.

McDonald's Deutschland plant über 1.000 E-Tankstellen an McDrive-Standorten

Bis 2025 soll es an über 1.000 McDrive-Standorten der McDonald's Restaurants die Möglichkeit geben, das eigene Elektro-Fahrzeug mit Ökostrom zu laden. Schon heute gibt es an über 40 McDonald's Restaurants Ladesäulen. Im Jahr 2021 kommen rund 200 hinzu, ab 2022 jährlich 250.

Google integriert Corona-Infos von Giata

Der von Giata entwickelte COVID-19 Hygiene-Hub bietet lizenzierten Hotelkunden des Unternehmens nun die Möglichkeit, ihre Hygiene-Informationen sowie Labels oder Siegel anzuzeigen. Damit werden die Infos nicht nur innerhalb der Kanäle von Giata angezeigt, sondern auch allen Google-Nutzern weltweit. 

Lebensmittel in zehn Minuten: Lieferdienst Gorillas sammelt 36 Millionen Euro ein

Der Lebensmittel-Lieferdienst Gorillas hat rund 36 Millionen Euro in einer Series-A-Finanzierung erhalten. Das frische Geld soll für die Expansion in Deutschland verwendet werden und die Einführung Rollout in weiteren Teilen Europas beschleunigen.

Google-Trends im Corona-Jahr

Bei der Suchmaschine Google werden Internetnutzer ihre Fragen los. In diesem Jahr tippten viele Corona-Stichwörter ins Suchfeld. Doch es gab auch ein Leben neben Corona - auch beim Kurznachrichtendienst Twitter.

Travel Insights: Google startet Portal für Hotels, um Nachfrage besser zu verstehen

Während sich die Reisebranche in einigen Märkten bereits erholt, muss sie in anderen mit drastischen Vorschriften kämpfen. Um die unterschiedliche Nachfrage zu analysieren, hat Google ein neues Tool auf den Markt gebracht, um Entscheidungen auf der Grundlage von Daten zu treffen.

SuitePad erhält Auszeichnung für exzellenten Kundenservice vom Hotel Tech Report (HTR)

Über eine Auszeichnung und erfolgreiche Zertifizierung von Hotel Tech Report (HTR), darf sich SuitePad freuen: Der Experte für digitale Gästekommunikation erhielt die Global Customer Support Certification (GCSC) Level I.

OpenTable und Visa präsentieren zweite Ausgabe der „Online Industry Series“

Nach der ersten Ausgabe zum Thema Digitalisierung erhalten Gastronomen im zweiten Online-Seminar der „Industry Series“ von OpenTable in Zusammenarbeit mit Visa und Michael Kuriat nun Infos zur aktuellen Situation sowie zu neuen Beschlüssen und Herausforderungen der Krise.

Apotheken Umschau startet Corona-Reise-Check für die Geschäftsreiseplanung

Die Apotheken Umschau gibt mit dem Corona-Reise-Check tagesaktuell Auskunft, ob und wie eine berufliche Reise innerhalb Deutschlands angetreten werden kann. Und das unter Berücksichtigung der 16 Landesverordnungen.

Hoteliers.com: Portal ohne Provision will Direktbuchungen stärken

Diesen Monat wurde die Website www.hoteliers.com neu gestartet. Das Portal hat es sich zum Ziel gesetzt, Hotels auf faire Weise buchbar zu machen. Verbraucher können sich Hotelpreise sowie Verfügbarkeiten anzeigen lassen, diese vergleichen und dann auf die hoteleigene Website weiterklicken, um dort direkt zu buchen.