Internetdienstleister Cloudflare Software-Fehler macht private Nutzerdaten öffentlich
Datenkabel an einem Server
Foto: Thomas Kienzle/ APEigentlich sollte die Firma das Internet sicherer machen, doch durch eine schwere Sicherheitslücke beim Dienstleister Cloudflare waren geheime Daten über Monate im Netz öffentlich zugänglich. Cloudflare-Kunden betreiben mehr als fünf Millionen Webseiten. Betroffen sind von dem Fehler deren Nutzer - unter anderem Kunden von Uber, Fitbit, 1Password und dem Dating-Portal OKCupid.
Ein Fehler in der Serversoftware des Dienstleisters führte dazu, dass von dem Unternehmen betreute Webseiten auf Anfrage den Speicherinhalt anderer Seiten mitschickten. Die sensiblen Daten konnten auch private Informationen von Nutzern beinhalten, teilte der Webdienstleister in einem Blogeintrag mit .
Zu den Daten gehörten unter anderem Cookies und Token zur Authentifizierung. Nach Angaben von Cloudflare gibt es allerdings keine Anzeichen dafür, dass die Datenlücke ausgenutzt wurde.
Zu den Dienstleistungen des US-Unternehmens Cloudflare gehört es unter anderem, Weblinks vom http://-Format in das verschlüsselte https://-Format umzuwandeln. Außerdem bietet das Unternehmen Schutz vor sogenannten DDoS-Attacken an, mit denen Webseiten durch massenhafte Anfragen lahmgelegt werden können. Zu den Nutzern gehörte unter anderem die Hackergruppe LulzSec. Aber auch viele namhafte Unternehmen lassen sich von dem Dienst schützen.
Passwörter und Chats entdeckt
Aufgefallen war das Leck einem Sicherheitsexperten von Google . Er entdeckte unter anderem öffentlich zugängliche Passwörter, Nachrichten von Dating-Seiten und Hotelbuchungen und informierte Cloudflare. Der Dienstleister fand schließlich einen Programmierfehler in einem Dienst, der Webseiten vor der Auslieferung vom Betreiber an das Internet bearbeitet, um beispielsweise Links umzuwandeln oder Klartext-E-Mail-Adressen zu entfernen.
Offenbar bestand die Sicherheitslücke bereits seit September vergangenen Jahres. Besonders viele Daten sollen in der Zeit vom 13. bis zum 18. Februar abgeflossen sein. Cloudflare teilte am Donnerstag mit, dass die Sicherheitslücke nach Bekanntwerden innerhalb weniger Stunden geschlossen wurde.
Allerdings wurden die betroffenen Seiten von anderen Diensten zwischengespeichert und indiziert, beispielsweise Suchmaschinen wie Google, Bing oder Yahoo. Cloudflare habe mit den Betreibern von Suchmaschinen zusammengearbeitet, um die zwischengespeicherten Anfragen zu löschen, teilte das Unternehmen weiter mit. Dennoch ist es möglich, dass noch immer private Informationen öffentlich im Netz zugänglich sind.
