Jetzt hat möglicherweise auch die Buchbranche ihre Datenschutz-Panne: Nach einem Bericht des einflussreichen Blogs netzpolitik.org (der auch das Daten-Loch bei SchülerVZ aufdeckte) standen 500.000 Rechnungen des Onlineshops libri.de „mehr oder weniger frei im Netz“. Der Autor habe testweise in einer halben Stunde 20.000 Rechnungen herunterladen können.
Zu den Daten gehörten Kundenadresse, Kaufdatum, gekaufte Produkte, Preis, Rechnungsnummer, Kundennummer sowie Bezahlungsweise und Partnerbuchhandlung vor Ort (über die sich der Kunde die Bestellung ausliefern lässt). Nachdem der Autor libri.de kontaktiert habe, sei die Lücke gestern Nachmittag geschlossen worden.
Zur „Brisanz“ des Daten-Lecks schreibt das Blog:
„Wir hatten wir wohl Zugriff auf alle B2C-Rechnungen von Libri.de in den letzten 16 Monaten. Diese interessieren nicht nur die Konkurrenz. Bei allen Kunden kann man auch davon ausgehen, dass diese Interesse an Büchern haben. Dazu kann man sich vorstellen, welche Informationen solche Rechnungen enthalten: Wer unter Depressionen oder AIDS leidet, kauft sich vielleicht ein Buch darüber und möchte nicht, dass die Krankheit dem Arbeitgeber oder dem persönlichen Umfeld bekannt wird. Das gleiche gilt für Bücher über Sex-Praktiken. Wenn man von so etwas erfährt, kann man Menschen unter Druck setzen und erpressen.“
Eine zusätzliche Datenschutz-Brisanz erhalte der Fall durch ein „S@fer-Shopping-Zertifikat“ der Firma TÜV-Süd AG: libri.de habe den TÜV Süd als externen Dienstleister beauftragt, die Sicherheit des Online-Stores im Rahmen eines Datenschutz-Audits zu untersuchen – offenbar unzureichend.
Stellungnahme Libri.de
Libri.de lässt seine Datensicherheit regelmäßig u.a. durch den TÜV prüfen. Die dennoch von Netzpolitik.org identifizierte Möglichkeit pdf.-Rechnungen anderer durch Manipulation der URL anzeigen zu lassen wurde sofort gesperrt. Kundendaten sind nach Analyse der Logfiles nicht in den Umlauf gekommen ebenso waren zu keinem Zeitpunkt Zahlungsdaten von Kunden betroffen. Durch den rechtzeitigen Hinweis von Netzpolitik.org konnte ein möglicher Schaden somit verhindert werden.