Lücke in CampusNet: Adressen von über eine Million Studierenden standen im Netz

Summary

close notice This article is also available in English. It was translated with technical assistance and editorially reviewed before publication. Don’t show this again. Eine Lücke in der Verwaltungssoftware CampusNet erlaubte das Abgreifen von Studentenadressen. Das fand ein Sicherheitsforscher heraus und meldete die Lücke dem Chaos Computer Club (CCC). Dieser koordinierte die Fehlerbehebung gemeinsam mit dem Hersteller – die meisten der betroffenen Institutionen reagierten schnell. Weiterlesen nach der Anzeige CampusNet ist, so sein Hersteller Datenlotsen, ein „integriertes Campus-Management-System, das [Bildungseinrichtungen] dabei hilft, die täglichen akademischen und administrativen Prozesse zu optimieren“. Viele der CampusNet-Funktionen sind auch über das Internet erreichbar – mit dem Suchbegriff „CampusNet“ finden sich seitenweise Zugangsportale. Mittels dieser Portale können Studierende etwa ihre Einschreibung an der Hochschule verwalten. Doch über eine Suchmaske hätten Angreifer mit etwas Geduld oder einer Automatisierung die Adressen aller Studenten zusammensetzen können – insgesamt über eine Million. Das Hauptproblem: Über den Platzhalter „%“ erlaubte das Suchfeld auch eine Suche nach Wildcards und lieferte dann alle zutreffenden Datensätze zurück. Das waren etwa die Namen aller in den vergangenen Jahren und aktuell an der betroffenen Bildungseinrichtung eingeschriebenen Studierenden. Probierten die Forscher nun Postleitzahlen, Straßennamen und Hausnummern durch, erhielten sie die Namen aller (Ex-)Studierenden, deren Adresse den jeweiligen Bestandteil erhielt. Über eine geschickte Bildung von Schnittmengen konnten die Sicherheitsforscher die vollständigen Adressen zusammensetzen. Dieser Vorgang lässt sich leicht automatisieren, um ein Studierendenverzeichnis zu erhalten. Einer Zählung des CCC zufolge sind insgesamt 1.140.919 ehemalige oder aktuelle Studierende vom Datenleck betroffen. Hersteller und Hochschulen reagierten Nachdem der CCC am 23. Februar den ...