Datenleck bei DHL: Dritte konnten Empfängeradressen einsehen

Bei Bestellungen aus China, die mit dem Versanddienst YunExpress versendet und in Europa dann mit dem Logistiker DHL weiterverschickt wurden, kam es zu einem Datenschutzvorfall. Dritten soll es möglich gewesen sein, Daten deutscher Paketempfänger:innen über die DHL-Paketverfolgung abzurufen.

Über den Vorfall berichtet der Tech-Blogger Günter Born nach einem Leserhinweis ausführlich auf Golem.de und seinem eigenen Blog. 

Empfänger-Postleitzahl war nicht geschützt

Demnach war es möglich, über die Sendungsverfolgungsnummer von YunExpress in dem entsprechenden Kundenportal gleich mehrere Daten einzusehen: das Herkunfts- und Zielland der Sendung, das Gewicht und auch die Tracking-Nummer des lokalen Paketzustellers, also beispielsweise die Sendungsverfolgungsnummer von DHL für Lieferungen nach Deutschland. Wenn man dann auf der DHL-Seite die entsprechende Nummer eingibt, sind die detaillierten Empfängerdaten – wie bei vielen anderen Paketdienstleistern – noch durch die Eingabe der Postleitzahl geschützt. Doch auch die Postleitzahl soll dem Blogger zufolge im Tracking von YunExpress ausgewiesen worden sein. Dadurch stellte die Eingabe der Postleitzahl also keine Hürde mehr dar, damit die exakten Empfängerdaten einsehbar sind.

An sich sei dies kein Problem, da die Sendungsverfolgungsdaten und die Postleitzahl sonst in der Regel nur dem oder der Empfänger:in bekannt seien. Aber: Die YunExpress-Tracking-Nummern waren so strukturiert, „dass der letzte Teil wohl eine fortlaufende Nummer ist. Sprich: Du hast eine gültige Tracking-Number und probierst einfach mal aus, was eine Tracking-Nummer höher oder tiefer im YunExpress-Tracking-Portal an Ergebnissen liefert“, schreibt Born. Dies probierte er aus und konnte auf diese Weise in mehreren Fällen den Status und die detaillierten Empfangsdaten von Personen aus Deutschland einsehen. 

Kein Datenschutzverstoß durch DHL

Nach einer – nicht ganz einfachen – Meldung des Problems als potenziellen Verstoß seitens DHL gegen die Datenschutzgrundverordnung landete das Problem letztlich auch beim Bundesdatenschutzbeauftragten (BfDI). Da das Datenleck allerdings bei YunExpress bestand, sei das Vorgehen von DHL nicht zu beanstanden, berichtet Günter Born zum Ausgang des BfDI-Prüfvorgangs. DHL habe den Versanddienstleister indes aber um Änderungen gebeten und die Schwachstelle sei inzwischen behoben worden.

Artikelbild: http://www.depositphotos.com