Applebee's ließ das Passwort zur Kundendatenbank in seiner App: Namen, Telefonnummern und Geburtsdaten standen jedem offen, ob es Spuren gibt, wer drin war, sagt das Unternehmen nicht

Die amerikanische Restaurantkette Applebee's bewahrte das Passwort für die interne Kundendatenbank dort auf, wo es jeder finden konnte: im Code ihrer Android-App, die mehr als eine Million Mal von Google Play heruntergeladen wurde. Wer die App hatte, konnte den Schlüssel extrahieren und als autorisierter Nutzer in die Datenbank gelangen. Das Unternehmen bestätigte am Donnerstag, die Lücke geschlossen zu haben.

In der Datenbank standen Namen, E-Mail-Adressen, Geburtsdaten, Telefonnummern und Postleitzahlen, dazu, ob der Kunde Militärveteran ist, wie oft er sich angemeldet hat, wann er das Profil eröffnete und von welchen IP-Adressen er sich zuletzt anmeldete, woraus sich ein ungefährer Standort ableiten lässt. Laut dem Forscher hätte ein Angreifer die Daten auch ändern und nicht nur lesen können.

Die Lücke fand der britische Forscher Robert Wiggins von What Security, mit Hilfe von KI, die Tausende Zeilen Code durchsuchte. Dann kam der absurdeste Teil: Er wusste nicht, wo er sie melden sollte. Weder Applebee's noch die Muttergesellschaft Dine Brands haben einen Kanal für Sicherheitsmeldungen, also bat er Journalisten um Hilfe. Diese bestätigten den Fund mit einem Testprofil mit falschen Daten und hielten die Geschichte zurück, bis die Lücke geschlossen war.

Ein namenloser Sprecher von Dine Brands sagt, man habe bisher keine „Beweise für unbefugten Zugriff“ gefunden. Das klingt beruhigend, bis man sieht, worauf das Unternehmen nicht geantwortet hat: ob es überhaupt Logs gibt, mit denen sich prüfen lässt, wer drin war. Wenn nicht, heißt „keine Beweise“ nur, dass niemand hingeschaut hat. Unbeantwortet blieben auch die Fragen, wie lange das Passwort in der App stand und ob das Unternehmen Kunden und US-Aufsichtsbehörden informieren wird. Das Treueprogramm hatte im vergangenen Jahr mindestens 8,5 Millionen Mitglieder, wie viele davon betroffen waren, sagt das Unternehmen nicht.

Die KI, die Wiggins half, steht auch denen zur Verfügung, die keine Meldungen schreiben wollen. Und auf unseren Telefonen stecken Apps für Punkte, Rabatte und Lieferung, die unser Geburtsdatum verlangen. Wie viele Firmen auf dem Balkan haben eine Adresse, an der jemand eine Lücke melden kann? Und würden wir davon erfahren, wenn sich kein Ausländer findet, der zum Telefon greift?