Panera Bread: Café-Kette exponiert Millionen Kundendaten im Netz

Die amerikanische Bäckerei-Café-Kette Panera Bred hat offenbar monatelang persönliche Daten von Millionen Kunden offen im Netz stehen lassen. Von dem Leak betroffen sein sollen neben den Namen und Postadressen der Kunden auch E-Mail-Adressen, Geburtsdaten sowie die jeweils letzten vier Ziffern der Kreditkartennummern. Diese Informationen reichen in vielen Fällen aus, um sich gegenüber anderen Kundendiensten am Telefon als jemand Fremdes auszugeben und so beispielsweise einen Passwort-Reset oder das Zusenden einer neue Kundenkarte zu erreichen.

• 

Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).

Bereits im August 2017 hat der Forscher Dylan Houlihan, der die Schwachstelle eher zufällig entdeckte, eigenen Angaben zufolge Panera Bread über das Problem informiert. Obwohl das Unternehmen das Datenleck bestätigte, blieb es trotz wiederholter Nachfrage durch Houlihan offenbar monatelang ungepatcht. Bis sich Houlihan an den Sicherheitsexperten Brian Krebs wandte, der die Sache am Montag publik machte.

Gepatcht und doch nicht gepatcht

Nach der Veröffentlichung durch Krebs sei die Webseite panerabread.com schnell komplett offline gegangen. Es dauerte aber demnach nur wenige Stunden bis das Unternehmen meldete: "Problem behoben", und die Seite wieder online ging. Gleichzeitig ging Panera mit der Behauptung an die amerikanische Presse, das Unternehmen nehme "Datenschutz sehr ernst" und habe das Problem gelöst. Es seien lediglich 10.000 Kundenkonten betroffen gewesen.

• 

Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)

Dass das augenscheinlich nicht der Fall war, bestätigten kurz darauf weitere Experten. Offenbar hatte Panera versucht, das Problem dadurch zu lösen, die offenen Angriffsvektoren mit einer Loginseite zu schützen, die einen gültigen Kundenkonto voraussetzt. Hinter dem Login sei der Zugriff auf die Gänze der Kundendaten aber weiterhin möglich. Seit dieser neuerlichen Veröffentlichung ging Paneras Onlineshop wieder komplett offline.

Hey @panerabread : before making half-baked statements to the press to downplay the size of a breach, perhaps you should make sure the problem doesn't extend to all other parts of your business, like https://t.co/rSpkwc3y1v, etc. Only proper response is to deep six entire site

— briankrebs (@briankrebs) April 2, 2018

Fehlende Kanäle, unangemessene Reaktion

Fast schockierender als das Datenleck selbst erscheint jedoch die Art und Weise, wie Panera Bread auf die Meldung der Lücke durch Houlihan reagierte. Seinem Blogpost zufolge war es nicht leicht, bei Panera überhaupt mit einem Verantwortlichen in Kontakt zu treten. Die generische E-Mail-Adresse security[æt]panerabread.com habe mit einem Bounce geantwortet.

Als der Kontakt über Dritte schließlich gelang, habe ihm Paneras IT-Sicherheitschef zuerst nicht glauben wollen, dass es sich um ein echtes Sicherheitsproblem handelt. In seiner ersten Antwort habe er Houlihan stattdessen beschuldigt ein Scammer zu sein oder einen versteckten Salespitch zu versuchen: "Mein Team hat Ihre E-Mails erhalten, sie wirkten aber sehr verdächtig und wurden daher ignoriert. Wenn das eine Verkaufstaktik sein soll, empfehle ich dringend einen besseren Ansatz, denn nach einem PGP-Schlüssel zu fragen, wäre kein guter Start für einen Pitch."

• 

Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).

Der gesamte E-Mail-Austausch zwischen Houlihan und Panera Bread (auf Englisch) ist durchaus lesenswert und an sich schon skandalträchtig. Trotz der Schwierigkeiten, der erfolglosen Patches, des fehlenden Dankeschöns und des rüden Umgangstons durch Paneras IT-Sicherheitschef betont Houlihan jedoch, dass Panera nicht das einzige Unternehmen mit einer so problematischen Datensicherheitskultur sei.

"Dieses Problem besteht nicht nur bei einer einzelnen Art von Firma. So etwas ist schon früher passiert und es wird auch wieder passieren", schreibt Houlihan. "Es ist einfach, mit dem Finger auf eine einzelne Person zu zeigen, aber solche Leute kommen nur in ihre Position (des IT-Sicherheitschefs, Anm.d.R.), weil ihr Verhalten grundsätzlich mit der Kultur und den Prioritäten eines Unternehmens kompatibel ist."

Der wichtigste Schritt für Unternehmen sei es, einen einfachen Prozess zu entwickeln, mit dem Sicherheitslücken gemeldet werden könnten, ohne dass die Entdecker sich vor den Konsequenzen fürchten müssen. Dass Paneras IT-Sicherheitschef laut seinem Linkedin-Profil zwischen 2009 und 2013 als Senior Director für Security Operations bei Equifax tätig war, zeigt aber dann doch irgendwie wieder mit dem Finger in Richtung einer Person.