Starbucks-App speichert Passworte unverschlüsselt - DER SPIEGEL
Zum Inhalt springen

Sicherheitslücke Starbucks-App speichert Passworte unverschlüsselt

Kunden die ihren Kaffee per App bezahlen wollen, macht es Starbucks besonders leicht. Ihr Passwort müssen sie nur einmal eingeben, danach nie wieder. Wie nun ein Experte enthüllt, birgt diese Komfortfunktion Risiken.
Starbucks-Filiale: "Zumindest hätten sie ihre Kunden informieren können"
Starbucks-Filiale: "Zumindest hätten sie ihre Kunden informieren können"

Starbucks-Filiale: "Zumindest hätten sie ihre Kunden informieren können"

Foto: Sebastian Widmann/ dpa
Dieser Beitrag stammt aus dem SPIEGEL-Archiv. Warum ist das wichtig?

Zu den Eigenheiten der Kaffeehauskette Starbucks gehört die Frage nach dem Vornamen, der auf den Becher des Bestellers geschrieben wird. Ähnlich offenherzig läuft offenbar die Verwaltung der vertraulichen Daten von Kunden ab, die mittels der Starbucks-App für iOS ihre Getränke bezahlen.

Wie "Computerworld" berichtet , hat der Kaffeekonzern am Dienstag eingestanden, dass die Nutzernamen, E-Mail-Adressen und Passwörter der Anwender dieser App unverschlüsselt im iPhone-Speicher abgelegt wurden. Sogar Ortsdaten seien mit abgespeichert worden.

Um diesen Fundus an privaten Daten auszulesen, genüge es, das Gerät an einen PC anzuschließen. Das Passwort des Anwenders oder ein "Jailbreak" seien nicht nötig.

Der Grund dafür scheint "Computerworld" zufolge das Bestreben zu sein, es den Anwendern so leicht wie möglich zu machen, Kaffee zu kaufen. Nur beim Einrichten der Bezahlfunktion ist es einmalig notwendig, sich mit seinem Passwort auszuweisen. Danach ermöglicht die Anwendung eine unbegrenzte Zahl von Bezahlvorgängen.

"Bemühungen um Kundenzufriedenheit nicht übertreiben"

Ein Sprecher des Online-Bezahldienstes Mozido zeigt sich von der Nachricht nicht überrascht. Ein Unternehmen wie Starbucks habe die Wahl, sich auf Nutzerfreundlichkeit oder die Abwehr von Gefahren durch Betrug und Missbrauch zu konzentrieren. "Starbucks hat sich dafür entschieden, es möglichst bequem zu machen."

Beim Marktforschungsunternehmen Gartner zeigt man sich dagegen verwundert. "Ich hätte da mehr erwartet", so ein Sicherheitsanalytiker. "Zumindest hätten sie ihre Kunden informieren können."

Tatsächlich lassen die Fakten die Starbucks-Verantwortlichen nicht gut aussehen. Der Entdecker der Sicherheitslücke stieß bereits im November 2013 auf das Problem und versuchte, Starbucks zu informieren. Nachdem der Sicherheitsexperte beinahe zwei Monate lang wiederholt in der Kundendienst-Warteschleife gelandet war, veröffentlichte er schließlich am Montag einige seiner Erkenntnisse .

Gegenüber "Computerworld" gaben die zuständigen Leiter der Bereiche Digital- und Informationstechnologie zu, bereits seit einiger Zeit über die Klartextspeicherung der vertraulichen Nutzerdaten Bescheid gewusst zu haben. Inzwischen seien jedoch angemessene Sicherheitsmaßnahmen getroffen worden, um die Daten ausreichend zu schützen. Über die Art dieser Maßnahmen wollten sie sich nicht äußern.

meu