Massives Datenleck über Online-Dienst Ticketcounter

Inhaltsverzeichnis

Von einem schweren Datenleck bei einem niederländischen Ticketdienstleister für Zoos und Freizeitparks sind auch rund 400.000 Besucher der Hauptstadt-Zoos betroffen. Die Berliner Zoologischen Gärten haben ihre im Internet registrierten Besucher am Freitag über einen "Datendiebstahl" bei ihrem niederländischen Partner Ticketcounter informiert. Es handle sich unter anderem um Daten von Gästen, die zwischen dem 28. April und dem 5. August 2020 Buchungen in den jeweiligen Online-Shops getätigt hätten.

Hunderttausende Gäste betroffen

"Leider sind möglicherweise auch Ihre Daten betroffen", zitiert der Tagesspiegel aus der Nachricht der Zoo-Betreiber an die Nutzer ihres Kartenvertriebs im Internet. "Bitte seien Sie versichert, dass wir alle Hebel in Bewegung setzen, damit sich derartige Ereignisse künftig keinesfalls wiederholen. Schließlich hat die Sicherheit Ihrer Daten auch bei uns höchste Priorität."

Am Mittwoch hatten Zoo und Tierpark Berlin mitgeteilt, dass voraussichtlich persönliche Daten von rund 400.000 Gästen ins Netz gewandert seien. Dabei handle es sich "höchstwahrscheinlich um Informationen zu Name, E-Mail-Adresse sowie Details zu den gebuchten Produkten". Die Weitergabe von Passwörtern, Telefonnummern, Adress- oder Geburtsdaten könne "definitiv ausgeschlossen werden", da diese im Registrierungsprozess der derzeitigen Online-Shops nicht abgefragt würden.

Die Zoologischen Gärten der Hauptstadt mahnen zur Vorsicht und empfehlen vorsorglich, Passwörter zu ändern, "wenn sich diese leicht aus dem Namen und der E-Mail-Adresse herleiten lassen". Zoo- und Tierparkdirektor Andreas Knieriem betonte: "Wir haben die für uns zuständigen Datenschutzbehörden in Deutschland umgehend über den Vorfall informiert, als uns Ticketcounter über den Datendiebstahl in Kenntnis gesetzt hat." Das Leck habe behoben werden können, sodass dem weiteren Betrieb der Online-Shops nichts im Weg stehe. Das Ticketing-System werde aber im April ausgewechselt, die Kooperation mit Ticketcounter dann beendet.

Insgesamt noch viel mehr Betroffene

Über das Datenleck hatte zunächst das Portal Bleeping Computer berichtet. Demnach ist bei Ticketcounter eine Nutzerdatenbank mit 1,9 Millionen unterschiedlichen E-Mail-Adressen abhanden gekommen. Teils seien auch Telefonnummern, IP-Adressen, Geburtsdaten, Nummern von Bankkonten und gehashte Passwörtern enthalten gewesen. Ticketcounter-Chef Sjoerd Bakker bestätigte den Vorfall. Er erläuterte, dass die Firma die Datenbank auf einen Server des Microsoft-Cloud-Diensts Azure übertragen hatte, um ein "Anonymisierungsverfahren" zu testen. Im Nachgang sei das Verzeichnis nicht angemessen gesichert worden.

Die Datenbank soll dem Bericht zufolge am 21. Februar kurzfristig in einem Hackerforum zum Kauf angeboten worden sein. Sie habe parallel aber schon auf privatem Weg einen Abnehmer gefunden. Bakker habe erklärt, von dem Cybergauner am 22. Februar erpresst worden zu sein. Dieser habe sieben Bitcoin (rund 285.000 Euro) verlangt, damit die Daten nicht geleakt würden. Ticketcounter habe nicht gezahlt, aber sofort alle Partner über den Vorfall informiert.

Der Angreifer machte die Datenbank im Anschluss über ein Hackerforum frei verfügbar. Sie wurde auch dem Dienst Have I Been Pwned zur Verfügung gestellt und dort eingepflegt, über den sich Nutzer darüber informieren können, ob ihre E-Mail-Adressen und andere Informationen von einem Datenleck betroffen sind.

Nicht nur Berliner Zoos

Zu den Partnern von Ticketcounter gehören neben Zoos Vergnügungsparks, Museen und andere Freizeiteinrichtungen. Daten von Dutzenden Firmen seien in dem Backup enthalten gewesen, schätzt Bakker. Passwörter seien nicht abgeflossen, beteuert das Unternehmen. Auch der Kölner Zoo, der nach dem Lockdown am 12. März wieder öffnen will, nutzt den Dienstleister für den Online-Vertrieb. Ein Sprecher erklärte gegenüber heise online, Ticketcounter habe dem Betrieb bestätigt, dass dieser von dem Leck nicht betroffen sei.

(mho)