Einführung und Motivation

Abstract

Zwei Großkonzerne erstellten im Jahre 2004 zusammen ein Kundenportal, mit dem Kunden ihre eigenen Stammdaten und die bestellten Services bequem verwalten konnten. Allerdings gestattete das Portal den Kunden auch die Verwaltung der Daten anderer Kunden – durch einfachste Manipulationen an den URLs der herunter geladenen Seiten. Gewieftere Angreifer konnten sich mit wenig Aufwand Administratorrechte verschaffen, und zwar im gesamten internen Netzwerk des Konzerns (Details findet man bei [CCC]). Am Ende musste das Portal für gut zwei Monate abgeschaltet und neu implementiert werden. Die Rede ist vom Online Business Solution Operation Center (OBSOC), dem Portal der Deutschen Telekom zur Verwaltung von Kundendaten. Wie kann es sein, dass wichtige, von großen Konzernen entwickelte Systeme so unsicher sind?