Forscher entdecken biometrische Daten von Millionen Nutzern

Israelische Sicherheitsexperten haben eine ungeschützte und unverschlüsselte Datenbank mit Fingerabdrücken und anderen sensiblen Daten im Netz aufgespürt.

«abcd1234» als Passwort: Die Sicherheitsforscher waren überrascht, wie schlecht die Nutzer ihre Daten schützten. Foto: Keystone

«abcd1234» als Passwort: Die Sicherheitsforscher waren überrascht, wie schlecht die Nutzer ihre Daten schützten. Foto: Keystone

Feedback

Tragen Sie mit Hinweisen zu diesem Artikel bei oder melden Sie uns Fehler.

Sicherheitsforscher aus Israel haben eine Datenbank mit rund einer Million Fingerabdrücken und anderen biometrischen Daten aufgespürt. Diese konnte quasi ungeschützt und unverschlüsselt im Web abgerufen werden.

Die Daten stammen vom System «Biostar 2» der koreanischen Sicherheitsfirma Suprema, die nach eigenen Angaben Marktführer in Europa bei biometrischen Zutrittskontrollsystemen ist. Über das Sicherheitsleck hatten zuerst der britische «Guardian» sowie das israelische Portal «Calacalist» berichtet.

«Biostar 2» arbeitet mit Fingerabdrücken oder Gesichtsscans auf einer webbasierten Plattform für intelligente Türschlösser, mit der Unternehmen die Zugangskontrolle für ihre Büros oder Lagerhallen selbst organisieren können. Das System wird nach Angaben vom «Guardian» auch von der britischen Polizei sowie mehreren Verteidigungsunternehmen und Banken genutzt.

Die gravierende Sicherheitslücke wurde von den israelischen Hackern Noam Rotem und Ran Lokar entdeckt, die für den Dienst vpnMentor arbeiten. Die Schwachstelle habe dazu geführt, dass man die vollständige Kontrolle über die Konten im System erhalten konnte, sagte Rotem dem Portal «Calcalist».

27,8 Millionen Datensätze

Die Forscher hatten Zugriff auf über 27,8 Millionen Datensätze und 23 Gigabyte Daten, darunter Fingerabdruck- und Gesichtserkennungsdaten, Gesichtsfotos von Benutzern, unverschlüsselte Benutzernamen und Passwörter, Protokolle über den Zugang zu den Einrichtungen, Sicherheitsstufen und -freigabe sowie persönliche Daten des Personals. Ausserdem hätten sie Datensätze in den Firmenkonten neu anlegen und manipulieren können.

Entsetzt zeigten sich die Forscher darüber, dass in dem System die vollständigen biometrischen Daten meist unverschlüsselt abgespeichert wurden. «Anstatt einen Hash des Fingerabdrucks zu speichern, der nicht rückentwickelt werden kann, speichern sie die tatsächlichen Fingerabdrücke der Menschen, die für bösartige Zwecke kopiert werden können», sagten sie dem «Guardian».

Schlecht abgesichert

Überrascht waren Rotem und Lokar darüber, wie schlecht die Suprema-Kunden zum Teil ihre Konten abgesichert haben: «Viele Konten enthielten lächerlich einfache Passwörter wie «Passwort» und «abcd1234».

Der Marketingleiter von Suprema, Andy Ahn, sagte dem «Guardian», das Unternehmen habe eine »eingehende Bewertung" der von vpnMentor bereitgestellten Informationen vorgenommen. Die Kunden würden im Falle einer Bedrohung informiert. Die Sicherheitslücke sei inzwischen geschlossen worden. (sda)

Erstellt: 14.08.2019, 12:18 Uhr

Artikel zum Thema

So schützen Sie Ihre persönlichen Daten im Netz

Ein Datenleck jagt das nächste: Im Netz sind inzwischen Milliarden Login-Daten frei zugänglich. 6 Tipps für den Selbstschutz. Mehr...

Wie Sie sich vor Hackern schützen

Video Persönliche Daten können leicht in die Öffentlichkeit gelangen. Wir zeigen 7 Methoden, wie Sie Ihre Geräte und Dokumente vor Missbrauch bewahren. Mehr...

Die Swisscom-Panne ist für den Standort Schweiz verheerend

Kommentar Die bei der Swisscom aus Versehen gelöschten Kundenfotos und -Videos sind eine Katastrophe. Denn die Schweiz galt bisher als sicherer Hort für sensible Daten. Mehr...

Die Redaktion auf Twitter

Stets informiert und aktuell. Folgen Sie uns auf dem Kurznachrichtendienst.

Kommentare

Abo

Abo Digital Light - 18 CHF im Monat

Unbeschränkter Zugang auf alle Inhalte und Services (ohne ePaper). Flexibel und jederzeit kündbar.
Jetzt abonnieren!

Die Welt in Bildern

Eine fast aussterbende Tradition: Tänzer führen den Thengul-Tanz während der 74. Indonesischen Unabhängigkeitsfeier im Präsidentenpalast in Jakarta, Indonesien vor. (17. August 2019)
(Bild: Antara Foto/Wahyu Putro) Mehr...