Aktuell | Datenschutz | c't

Datenleck bei Fitnesskette offenbart Kundendaten

Die Fitnesskette Holmes Place sendete SMS mit Link zu einem vorausgefüllten Webformular. Dadurch konnten Unbefugte Vor- und Nachname, Handynummer und Studio anderer Sportler abrufen.

Das ungeschützte Webformular zeigte die Kontaktdaten einer Sportlerin Kristina.

c’t-Leser Benjamin S. erhielt während der Corona-Einschränkungen eine SMS seines Fitnessstudios Holmes Place, die ihn dazu aufforderte, persönliche Daten in seinem Kundenprofil zu ergänzen und dazu ein Webformular aufzurufen.

Im Formular waren die Felder bereits mit Namen und Telefonnummer vorausgefüllt. Doch sie zeigten Benjamin S. nicht seine eigenen Daten, sondern die einer fremden Sportlerin. Offenbar war er nicht der einzige Kunde, der einen falschen Link zugeschickt bekommen hatte, denn vier Stunden später bekam er eine weitere SMS: „Liebe Mitglieder, leider haben wir heute früh bei der Versendung der ersten SMS einen Fehler gemacht und Ihnen einen falschen Link gesendet. Bitte löschen Sie die SMS von heute früh.“ Mit diesem offensichtlichen Datenleck wandte sich S. deshalb an c’t.