Piratenpartei warnt vor Datenleck auf EU-Website

Die Piratenpartei Österreich hat festgestellt, dass Daten von Usern auf einer offiziellen Internetseite der EU-Kommission unzureichend gesichert sind. [...]

„Die EU-Kommissions-Website für audiovisuelle Services genügt nicht einmal den grundlegendsten Anforderungen an den Datenschutz – Passwörter und andere persönliche Angaben werden fahrlässig behandelt“, warnt Andreas Czák, IT-Consultant und Mitglied im Bundesvorstand der Piratenpartei, im Gespräch mit der Nachrichtenagentur pressetext. Nutzerdaten für das Angebot sind somit für Angreifer leicht abzufangen.

Die EU-Kommissions-Website für audiovisuelle Services http://ec.europa.eu/avservices stellt Fotos, Videos und Audioclips zu EU-relevanten Themen bereit – und macht laut Piratenpartei auch Nutzerdaten leicht zugänglich. Bei Anmeldung auf der Website werden demnach Telefonnummer, Adresse und das Passwort des Nutzers über eine unverschlüsselte Verbindung übertragen, auch beim Login kommt eine unverschlüsselte Verbindung zum Einsatz. Damit sind die Daten für Angreifer leicht abzufangen – ein Sicherheits-GAU, wenn der User beispielsweise offenes WLAN nutzt.

Außerdem erhalten User ihre Zugangsdaten nach der Registrierung per E-Mail im Klartext zugesandt. „Das war vielleicht vor zehn Jahren normal“, kritisiert Czák gegenüber pressetext. Während es bei veralteten, kleinen Foren noch vorkommen mag, sollte ein modernes Webangebot diesen Fehler nicht machen. Selbst bei einem vergessenen Passwort ist aus heutiger Sicht nur der Versand eines Rücksendungslinks angebracht, so der Sicherheits-Experte. „E-Mails sind wie Postkarten“, erklärt er – es ist für Dritte wie die NSA erschreckend leicht, unbefugt mitzulesen.

„Es deutet alles darauf hin, dass die Passwörter auf den Servern der Kommission unverschlüsselt gespeichert werden“, warnt Czák. So die Vermutung zutrifft – was nur ein Hack der Server klären könnte – wäre das ein peinlicher Sicherheits-Fauxpas. Denn solch eine Klartext-Speicherung steht in krassem Widerspruch zu gängigen Sicherheitsstandards und den von der Europäischer Agentur für Netz- und Informationssicherheit (ENISA) empfohlenen Best Practices. Der EU-Agentur zufolge sollten Passwörter ausschließlich und mit möglichst modernen Methoden verschlüsselt abgelegt werden. (pte)