Mobile-Menu

Hunderte Restaurants betroffen Datenleck bei Gastro-Software-Anbieter Karvi

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
FTAPI Software GmbH

Ein schweres Datenleck bei Karvi Solutions legt sensible Kundendaten von Hunderten Restaurants offen. Schuld sind dem Chaos Computer Club zufolge fehlende Zugriffskontrollen und einfache Schwachstellen.

Karvi Solutions ist ein in Hamburg ansässiger IT-Dienstleister, der sich auf digitale Bestelllösungen für die Gastronomie spezialisiert hat. In seiner Plattform hat der Chaos Computer Club nun einige Sicherheitslücken entdeckt.(Bild: © lassedesignen - stock.adobe.com)
Karvi Solutions ist ein in Hamburg ansässiger IT-Dienstleister, der sich auf digitale Bestelllösungen für die Gastronomie spezialisiert hat. In seiner Plattform hat der Chaos Computer Club nun einige Sicherheitslücken entdeckt.
(Bild: © lassedesignen - stock.adobe.com)

Bereits Mitte Februar informierte der Chaos Computer Club (CCC) eigenen Angaben zufolge Karvi Solutions, Anbieter von IT-Dienstleistungen für die Gastronomie, über schwerwiegende Sicherheitslücken in dessen Systemen. Die Bestell- und Rechnungsseiten Hunderter Restau­rants hätten sich über hochzählbare Rechnungsnummern, die auf unsicherer ID-Generierung beruhen, aufrufen lassen. Dafür sei keine Authentifizierung nötig gewesen, es habe auch keine Zugriffskontrolle gegeben. Somit sei jeder, der die URL-Struktur kenne, in der Lage gewesen, die Daten der Rechnungen einzusehen. Dem CCC zufolge waren 399 Lieferdienste in ganz Deutsch­land von diesem Sicherheitsrisiko betroffen. Sowohl der Hersteller selbst wie auch die Ham­burger Datenschutzbeauftragte seien informiert worden.

Kurz nach der ersten Meldung des CCC sei der Club auf weitere Mängel in der Plattform für digitale Bestelllösungen von Karvi aufmerksam gemacht worden. Neben der fehlenden Zugriffsprüfung und den frei zugänglichen Rechnungen habe es folgende weitere Fehler gegeben:

  • Offene Backups mit Quellcode und Kundendaten
  • Klartext-Passwörter in öffentlich zugänglichen Datenbanken
  • Das Superadmin-Panel sei über eine einfache SQL-Injection verwundbar gewesen. Durch Eingabe von „' or '1'='1“ in das Login-Formular habe man die Authentifizierung umgehen und Zugriff auf administrative Funktionen erlangen können. Zusätzlich habe ein Backdoor-Account existiert, der den unautorisierten Zugriff weiter erleichtert habe. Diese Sicherheitslücke habe potenziell den Zugriff auf sämtliche Daten und Einstellungen der Plattform ermöglicht.

Diese Schwachstellen stellen deutliche Mängel in der Sicherheitsarchitektur von Karvi dar und sind somit ein erhebliches Risiko für die Daten des Anbieters und seiner Kunden.

Karvi beschuldigt Konkurrenten

Gegenüber Heise habe Vitali Pelz, Geschäftsführer von Karvi versichert, dass alle Sicherheits­lücken geschlossen seien. Außerdem habe man die Daten der Betroffenen aus dem System gelöscht. Pelz zufolge habe ein Mitbewerber des Unternehmens versucht, dessen Ruf zu schä­digen und dafür eine „Order-Receiver-API“ manipuliert. Diese Behauptung konnte bisher aber nicht bestätigt werden. Die Hamburger Datenschutzbehörde prüfe den Vorfall nun.

(ID:50469918)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte