Ricardo: Daten von 890'000 Konten offengelegt

Kontext

Auf einen Blick

• Eine Sicherheitslücke hat etwa 890'000 Konten offengelegt
• Namen, Postanschriften und Telefonnummern öffentlich
• E-Mail-Adressen und Passwörter wurden nicht kompromittiert
• IFPDT benachrichtigt; Polizei und UFCS werden informiert

Wichtige Fakten

• Plattform → Ricardo
• Muttergesellschaft → SMG Swiss Marketplace Group
• Feststellung → Mittwoch, 7. Oktober
• Betroffene Konten → etwa 890'000
• Offengelegte Daten → Namen, Postanschriften, Telefonnummern
• Nicht kompromittierte Daten → E-Mail-Adressen, Passwörter
• Sicherheitslücke → vollständig behoben
• Benachrichtigte Behörde → IFPDT

Am Mittwoch, dem 7. Oktober, stellte die Schweizer Online-Handelsplattform Ricardo verdächtige Aktivitäten auf ihren Servern fest. Laut der von der Muttergesellschaft SMG Swiss Marketplace Group verbreiteten Mitteilung leitete sie unverzüglich technische Maßnahmen ein, um die Systeme zu sichern.

Die anschließende Untersuchung ergab, dass personenbezogene Daten von etwa 890'000 Nutzerkonten offengelegt worden waren. Die mitgeteilte Liste umfasst Namen, Postanschriften und Telefonnummern. In derselben Mitteilung wird klargestellt, dass die E-Mail-Adressen und Passwörter nicht kompromittiert wurden.

Der Ablauf des Vorfalls

Der erste Schritt bestand in der Erkennung verdächtiger Aktivitäten; der zweite im technischen Eingriff in die Systeme; der dritte in der anschließenden Untersuchung des Zugriffs und der personenbezogenen Daten. Ricardo teilt mit, dass die Sicherheitslücke, die den Zugriff ermöglicht hat, vollständig behoben wurde. Die Mitteilung beschreibt somit eine mit dem Zugriff verbundene Sicherheitslücke, die nach der verdächtigen Aktivität als vollständig behoben erklärt wurde.

Für die Nutzer der Plattform ist die Unterscheidung zwischen offengelegten Daten und nicht kompromittierten Zugangsdaten der zentrale Punkt der Mitteilung. Die Namen, Postanschriften und Telefonnummern werden als öffentlich gemachte Informationen bezeichnet; E-Mail-Adressen und Passwörter sind dagegen in der von der Gesellschaft verbreiteten Liste der kompromittierten Daten nicht enthalten.

Ricardo informiert die betroffenen Nutzer direkt über den Vorfall, seine Auswirkungen und die Vorsichtsmaßnahmen, die sie ergreifen können. Im Einklang mit den gesetzlichen Anforderungen hat Ricardo den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, den IFPDT, informiert. Außerdem hat Ricardo eine Strafanzeige bei der Polizei und eine Meldung an das Bundesamt für Cybersicherheit, das UFCS, angekündigt.

Die Feststellung erfolgte auf den Servern der Plattform, während sich die Mitteilung an die Nutzer direkt auf die Folgen für die personenbezogenen Daten bezieht. Die von der Gesellschaft vorgelegte Chronologie führt diese beiden Ebenen zusammen, ohne den Zugriff mit den Zugangsdaten zu verwechseln.

Die Mitteilung der Muttergesellschaft fasst somit das Ergebnis der technischen Überprüfung, die Offenlegung der personenbezogenen Daten und die von Ricardo eingeleiteten Maßnahmen zusammen. Für den Leser beschränkt sich die mitgeteilte Darstellung auf diese Kategorien: betroffene Konten, offengelegte personenbezogene Daten, nicht kompromittierte Zugangsdaten und vom Unternehmen eingeleitete Maßnahmen.

Operative Details

Für einen Ricardo-Nutzer geht es praktisch nicht nur darum, dass eine Sicherheitslücke aufgetreten ist, sondern auch darum zu verstehen, welcher Teil des Profils von der gemeldeten Offenlegung betroffen ist. Die Quelle trennt die öffentlich gemachten Daten klar von den Zugangsinformationen: Namen, Postanschriften und Telefonnummern auf der einen Seite; E-Mail-Adressen und Passwörter auf der anderen. Diese Unterscheidung ermöglicht es, den Vorfall einzuordnen, ohne ihm andere als die angegebenen Daten zuzuschreiben.

Was in der Mitteilung zu prüfen ist

Ricardo informiert die betroffenen Nutzer direkt. Die Mitteilung der Plattform sollte daher drei Punkte klären: den Vorfall, seine Auswirkungen und die zu ergreifenden Vorsichtsmaßnahmen. Das sind die Elemente, die das Unternehmen nach eigenen Angaben mitteilen will. Für einen Nutzer, der die Benachrichtigung erhält, besteht der praktische Schritt darin, die Mitteilung mit dieser Struktur abzugleichen, ohne sie durch eine in der Quelle nicht enthaltene Standardliste zu ersetzen.

Auf technischer Ebene ist die beschriebene Abfolge präzise: Ricardo stellte verdächtige Aktivitäten fest, leitete Maßnahmen zur Absicherung der Systeme ein und stellte im Rahmen der anschließenden Untersuchung die Offenlegung der Daten fest. Das Unternehmen erklärt außerdem, dass die Schwachstelle, die den Zugriff ermöglicht hat, vollständig behoben wurde. Die mitgeteilte technische Information ist daher die Behebung der Schwachstelle; die praktische Einordnung sollte sich auf diesen Punkt beschränken.

Auch der institutionelle Rahmen ist ohne Ausweitungen zu betrachten. Der IFPDT wurde von der Plattform informiert. Die Strafanzeige bei der Polizei und die Meldung an das UFCS sind hingegen Initiativen, die Ricardo angekündigt hat. Die Quelle schreibt diese Initiativen Ricardo zu und stellt sie als angekündigte Schritte dar, nicht als bereits erreichtes Ergebnis. Der Fall betrifft eine Online-Handelsplattform; die Website-Pfade zu conti bancari in Svizzera und zu calcolatore stipendio bleiben von der Bearbeitung dieses Vorfalls getrennte Instrumente.

Für diejenigen, die die Mitteilung erhalten, ist die konkreteste Information die Zuordnung zwischen dem betroffenen Konto, den Kategorien der offengelegten Daten und den angegebenen Vorsichtsmaßnahmen. Alles Weitere muss an den Feststellungen und Ankündigungen des Unternehmens ausgerichtet bleiben.

Wichtige Punkte

Um den verfügbaren Informationen treu zu bleiben, sind die praktischen Schritte für einen interessierten Nutzer diejenigen, die Ricardo angekündigt hat. Es ist nicht korrekt, die Liste der betroffenen Daten zu erweitern oder ein nicht beschriebenes Verfahren hinzuzufügen.

Die von der Quelle angegebenen Schritte

1. Die direkte Mitteilung von Ricardo lesen. Die Plattform kontaktiert die betroffenen Nutzer und hat erklärt, dass sie den Vorfall, seine Auswirkungen und die möglichen Vorsichtsmaßnahmen erläutern wird. 2. Die Mitteilung mit den bekannt gegebenen Kategorien abgleichen. Als offengelegt angegebene Daten sind Namen, Postadressen und Telefonnummern; E-Mail-Adressen und Passwörter werden als nicht kompromittiert angegeben. 3. Die in der individuellen Mitteilung enthaltenen Vorsichtsmaßnahmen befolgen. Die Quelle bestätigt, dass Ricardo die Vorsichtsmaßnahmen mitteilt, die Nutzer ergreifen können. Die praktischen Hinweise sind daher in der Nachricht der Plattform zu lesen, ohne sie durch nicht aufgeführte Maßnahmen zu ersetzen. 4. Die Mitteilung an die Nutzer vom institutionellen weiteren Vorgehen trennen. Ricardo hat den Vorfall dem IFPDT gemeldet und eine Strafanzeige bei der Polizei angekündigt sowie den Vorfall an die UFCS gemeldet. Diese Schritte werden der Plattform zugeschrieben.

Auf technischer Ebene erklärt das Unternehmen, es habe unverzüglich Maßnahmen eingeleitet, um die Systeme abzusichern, und teilt mit, dass die Schwachstelle vollständig behoben wurde. Für den Leser beschreibt diese Information den Stand der technischen Behebung; sie erweitert nicht die Liste der in der Mitteilung angegebenen personenbezogenen Daten.

Die dokumentierte Abfolge bleibt daher auf den Erhalt der direkten Mitteilung, das Lesen der Auswirkungen, die Überprüfung der Datenkategorien und die Umsetzung der von Ricardo angegebenen Vorsichtsmaßnahmen beschränkt. Es ist nicht nötig, Schritte hinzuzufügen, die die zitierte Mitteilung den Nutzern nicht zuschreibt.

Für die Person, die die Mitteilung erhält, ändert sich die Abfolge nicht je nach dem Namen der beteiligten Stelle: Zuerst kommt die Mitteilung von Ricardo, dann das Lesen seiner Hinweise. Die Meldung an den IFPDT, die Anzeige bei der Polizei und die Meldung an die UFCS beschreiben dagegen den von der Plattform verfolgten Weg. Der Text hält damit den direkten Kontakt mit dem Nutzer und die vom Unternehmen angekündigten Pflichten getrennt.

Für eine separate Vertiefung zu den Finanzinstrumenten der Website nutze calcolatore stipendio.

Vergleichen Sie den CHF/EUR-Wechselkurs in Echtzeit: sparen Sie bis zu 1,5% bei den monatlichen Überweisungsgebühren.

Quelle: swissinfo.ch