<\/a>Die IP-Adresse gen\u00fcgt, um bei falsch konfigurierten MongoDB-Datenbanken die Informationen lesen zu k\u00f6nnen<\/span><\/span><\/span><\/p>\nDie Studenten berichten in ihrer Dokumentation<\/a>, dass ein Angreifer nur einen Port-Scan starten m\u00fcsse. Dann sucht man im Internet nach Datenbanken, die einen Zugang von Au\u00dfen \u00fcber eine fest definierte T\u00fcr zulassen. Weil die Datenbanken wohl alle unter dem gleichen Port zug\u00e4nglich sind, k\u00f6nnte man diesen Scan gezielt durchf\u00fchren. Das sei \u201eleicht\u201c und k\u00f6nne in \u201eStunden\u201c erreicht werden, schreiben die Studenten in ihrem Bericht. Selbst wenn man weniger Erfahrung mit Computern habe, gebe es die M\u00f6glichkeit spezialisierte Suchmaschinen zu nutzen. Um an die IP-Adressen zu gelangen, ist also keine aufwendige Programmierarbeit n\u00f6tig.<\/p>\n In Absprache mit dem Direktor des CISPA, Michael Backes, und nach einer juristischen Abkl\u00e4rung suchten sich die Studenten einen der 40.000 Datenbanken aus, um ihre Hypothese best\u00e4tigen zu k\u00f6nnen. Dabei nutzen sie zun\u00e4chst ein \u00fcbliches Verfahren (Handshake), um sicherzustellen, dass sie eine gr\u00f6\u00dfere Datenbank erwischen. Rechtlich w\u00e4re es kritisch, in eine gr\u00f6\u00dfere Anzahl von Datenbanken zu schauen, daher beschr\u00e4nkten sich die Studenten auf die Validierung ihrer Hypothese. Und allein in dieser Datenbank waren zirka acht Millionen Eintr\u00e4ge frei zug\u00e4nglich. Es seien die Kundendaten eines \u201efranz\u00f6sischen b\u00f6rsennotierten Internetdiensteanbieter und Mobiltelefonbetreibers\u201c gewesen. Zu sehen waren Name, Adresse, E-Mail, Telefonnummer. Davon waren eine halbe Million Daten von deutschen Kunden.<\/p>\n Mehr zum Thema<\/span><\/p>\n Michael Backes, Professor f\u00fcr IT-Sicherheit und Kryptografie, geht davon aus, dass es sich nicht um die gr\u00f6\u00dfte Datenbank handelt, die gef\u00e4hrdet ist. Zudem sei \u201eDeutschland massiv betroffen\u201c, so der Direktor des CISPA gegen\u00fcber FAZ.NET. Man k\u00f6nne das an der Struktur der IP-Adressen erkennen. Aus statistischen Gr\u00fcnden m\u00fcsse man annehmen, dass auch Datenbanken mit dutzenden Millionen Kunden darunter seien. Und unter den Online-Shops und Plattformen, die die kostenlose Open-Source-Software MongoDB nutzen, seien wahrscheinlich auch sehr bekannte. Die Datenbank sei die beliebteste unter den \u201eNoSQL-Datenbanken\u201c und somit ein \u201eklassisches Backend\u201c, so Backes. Dokumentenorientierte Datenbanken sind nicht so verbreitet wie SQL. Dennoch arbeiten viele bekannte Unternehmen in irgendeiner Weise mit MongoDB. Darunter sind auch Ebay, Expedia, Otto-Versand, SAP, Springer, Disney, Foursquare, MTV Networks und die \u201eNew York Times\u201c.<\/p>\n\n