Zugriff über großzügige Suchfunktion

Über eine öffentlich erreichbare Suchfunktion waren Abfragen gegen ein Personenverzeichnis möglich. Das dazugehörige Formular erlaubte Wildcard-Abfragen und ermöglichte auch die Suche nach einzelnen Attributen wie Postleitzahl, Straße oder Hausnummer. Durch gezielte Kombination von Suchanfragen und Schnittmengenbildung konnten vollständige Adressdatensätze rekonstruiert werden.

Überwiegend schnelle Reaktionen der betroffenen Bildungseinrichtungen

Sicherheitsforscher hatten die Lücke entdeckt und dem CCC gemeldet, der regelmäßig ehrenamtlich bei der Meldung von kritischen Datenlecks unterstützt. Der CCC informierte die betroffenen Einrichtungen, die Herstellerin der Software, die Datenlotsen Informationssysteme GmbH, sowie das DFN-CERT und diverse Landesdatenschutzbehörden im Rahmen eines Coordinated-Disclosure-Verfahrens. Die Reaktionen fielen überwiegend zügig aus: Mindestens zehn Einrichtungen schlossen die Sicherheitslücke noch am selben Tag, einige am darauffolgenden. Vier Institutionen haben es bisher nicht geschafft sich zurückzumelden. Immerhin haben alle uns bekannten betroffenen Einrichtungen die Lücke inzwischen geschlossen.

Noch 10 Jahre nach Abschluss im System

Offen bleibt eine grundsätzliche Frage:

Warum halten einzelne Hochschulen Adressdaten von Studierenden auch mehr als zehn Jahre nach Studienende vor?

Betroffene Einrichtungen:
Akademie der Polizei Hamburg
Constructor University Bremen
EBS Universität für Wirtschaft und Recht
HCU Hamburg
HFK Bremen
Hochschule für nachhaltige Entwicklung Eberswalde
Hochschule Neubrandenburg
Hochschule Osnabrück
Hochschule Ruhr West
Kalaidos Fachhochschule
Merz Akademie
New Design University
THH Friedensau
TU Darmstadt
TU Dresden
Uni Bremen
Uni Hamburg
Uni Leipzig
Uni Mainz
Uni Paderborn
University of Europe for Applied Sciences
Zentrum für Fernstudien im Hochschulverbund