PayPal-Tochter Venmo: Datenschutzlücke ermöglicht Zugriff auf 200 Millionen Transaktionen

Bei der PayPal-Tochter Venmo scheint es zu einer Datenschutzlücke gekommen zu sein. Ein Berliner Sicherheitsforscher habe vor einer entsprechenden Lücke gewarnt, durch die über eine API 200 Millionen Transaktionen einsehbar seien.

Über 200 Millionen im Jahr 2017 getätigte Venmo-Transaktionen seien öffentlich einsehbar. Davor hat nun ZDNet zufolge zumindest der Berliner Sicherheitsforscher Hang Do Thi Duc gewarnt. Das prekäre dabei: Der Sicherheitsforscher habe nicht einmal die Venmo-App selbst benötigt, sondern konnte die öffentliche API nutzen, um die Daten der Transaktionen einzusehen. Es sei dabei egal, ob man Geld erhalten oder verschickt habe: Alle Transaktionen über die App der PayPal-Tochter seien einsehbar, warnt der Experte.

Hang Do Thi Duc habe bei seiner Entdeckung auch viel über die Venmo-Nutzer erfahren. „Ich konnte die Verkäufe eines Drogendealers nachverfolgen, den gehässigen Streit eines Paares am Valentinstag beobachten und erfahren, wie viele Mangos ein Imbisswagen in Santa Barbara, Kalifornien, jede Woche verkauft“, zitiert ZDNet.com den Sicherheitsforscher. Die Voreinstellungen bei Venmo sorgen demnach dafür, dass alle Transaktionen automatisch öffentlich einsehbar sind.

Venmo hat inzwischen nachgebessert

Das Unternehmen macht daraus auch keinen Hehl: Ein Venmo-Sprecher erklärte, dass der Newsfeed der App dazu gedacht sei, den Nutzern zu zeigen, „was andere ihnen auf Venmo mitteilen wollen und welche Erlebnisse in der App geschehen“. Es sei klar ersichtlich, mit welchen Menschen man seine Transaktionen teile, so der Sprecher weiter. „Das haben wir in den letzten Jahren immer deutlicher gemacht.“ Auffällig sei ZDNet zufolge aber, dass man über die öffentliche API auf diese Informationen zugreifen könne.

Venmo-Mutter PayPal geht den exakt anderen Weg: Die Transaktionen sind hier durch die Voreinstellungen nicht öffentlich einsehbar. Die Nutzer müssen sich aktiv dafür entscheiden, wenn sie ihre Transaktionen mit der Öffentlichkeit teilen wollen. Venmo hingegen zeige sogar eine Pop-Up-Warnung, sobald ein Nutzer seine Transaktionen nicht mehr öffentlich darstellen lassen will. Das Unternehmen habe seine Apps inzwischen angepasst und neue Datenschutzbestimmungen veröffentlicht. Käufe bei „bestätigten Händlern“ seien künftig nicht mehr öffentlich einsehbar.