Kickstarter-Sicherheitslücke legte Projekte offen

Ein Programmierfehler der Crowdfunding-Plattform Kickstarter führte dazu, dass Außenstehende auf die Daten unveröffentlichter Projekte zugreifen konnten. Zu den kompromittierten Informationen gehörten diverse Eckdaten des Projekts wie Beschreibung, Ziel, Dauer, Belohnungen und der Name des Projektstarters. Die persönlichen Daten von Kickstarter-Spendern seien nicht gefährdet gewesen.

Einem Bericht des Wall Street Journal (WSJ) zufolge legte der Programmierfehler über 70 000 Projekte offen, die noch nicht gestartet waren. Der Fehler lag in der API, über die externe Anwendungen auf die Plattform zugreifen konnten.

Kickstarter zufolge bestand der Fehler seit dem Relaunch der Website am 24. April. Das Problem wurde am 11. Mai beseitigt. Der Anbieter erklärt in einem Blog-Eintrag, insgesamt sei nur auf 48 Projekte zugegriffen worden. Die Mehrzahl dieser Zugriffe sei dem Reporter des WSJ zuzuordnen. In seiner Stellungnahme bedauert Kickstarter-Mitgründer Yancey Strickler den Zwischenfall: "Auch wenn durch diesen Fehler nur begrenzte Informationen zugänglich waren, ist er absolut inakzeptabel."

Kickstarter ist auf "Crowdfunding" spezialisiert: Eine Person oder eine Firma schlägt ein Projekt vor, nennt ein Budget und lädt die Besucher dazu ein, sich an der Umsetzung der Idee zu beteiligen. Abgebucht werden die Beträge erst, wenn das gesetzte Budget erreicht wird – erreicht eine Idee ihr Finanzierungsziel nicht, scheitert das Projekt ohne Schaden für die Investoren. Teilnehmer erhalten unterschiedliche Belohnungen für ihre Beiträge: bei Spiele-Entwicklungen etwa das fertige Spiel, bei Hardware-Projekten eines der zu finanzierenden Geräte. Höhere Beteiligungen führen zu höheren Belohnungen. Kickstarter erhält fünf Prozent der Einnahmen.

Da Kickstarter alle Transaktionen über Amazon Payments abwickelt, sind auf den Servern des Unternehmens keine Kreditkarteninformationen oder ähnliche persönliche Daten abgespeichert. (ghi)