Bruchlandung bei Bonify: Schufa-Tochter mit massivem Datenleck

Eigentlich wollte sich die Schufa mit ihrer Pressemitteilung vom 18. Juli als datensparsames Unternehmen mit neuer Transparenzinitiative inszenieren und damit verloren gegangenes Vertrauen unter den Bundesbürgern wiederherstellen, die den Bewertungen der Schufa oft hilflos ausgesetzt sind. Was dann jedoch folgte kann inzwischen nur noch als Blamage beschrieben werden.

Zuerst meldeten sich die deutschen Verbraucherschützer zu Wort und wiesen darauf hin, dass der von der Schufa-Tochter Bonify nun gönnerhaft kostenlos angebotene Abruf der so genannten Basisscore, mit Einschränkungen zu genießen sei.

• Verbraucherschützer warnen vor Kontopreisgabe über SCHUFA-App

Gestern dann knüpften sich die Sicherheitsforscher des IT-Security-Kollektives Zerforschung das neue Angebot vor und überredeten dies zur Herausgabe einer Bonitätsauskunft für den ehemaligen Gesundheitsminister von Jens Spahn.

Bonitätsauskunft manipulierbar

So ist es der Security-Forscherin Lilith Wittmann mit wenige Aufwand gelungen, einen Kontoabruf der Schufa-Tochter so zu manipulieren, dass diese das gescannte Konto mit dem Namen des ehemaligen Gesundheitsministers verknüpft hat und anschließend einen Boniversum-Score samt herangezogener Datenquellen präsentieren konnte.

Laut Wittmann war über das Portal der Schufa-Tochter der Abruf eines Boniversum-Scores beliebiger Personen möglich, als Angreifer musste man lediglich Kenntnis über deren Namen und deren aktuelle oder frühere Adresse mitbringen.

Daten von Jens Spahn abgerufen

Hinter den Kulissen geht es nach Angaben Wittmanns auch nicht ganz koscher in der Bonify-App zu. Trotz anderer Angaben in den AGB würde diese schon vor der expliziten Einstimmung der Nutzer Daten an die Schufa übermitteln.

Wittmann hat den Fall in ihrem persönlichen Blog dokumentiert und fasst zusammen:

Die Schufa hat ein Startup gekauft, dass nicht mal über absolutes Grundlagenwissen im Bereich Softwarearchitektur verfügt und einfach irgendwelche Verfahren irgendwie zusammenhackt. So verstoßen sie gegen ihre eigenen AGBs und ich habe jetzt den Kreditscore von Jens Spahn. Deshalb bleibt mir hier nur die Empfehlung an die Schufa: Abschalten und Abschreiben. […] Was jedenfalls kein sinnvolles Modell ist: Menschen dazu zu zwingen, der Schufa noch mehr private Informationen mitzuteilen, um einen guten Kreditscore zu erhalten. Wie gut die Daten in einem “Datencockpit bei bonify” geschützt wären, haben wir in dieser Recherche ja bereits lernen können. Denn der hier von der Schufa verwendete Euphemismus “Datensouveränität” heißt nämlich nichts anderes als “Du musst uns Deine Daten in Zukunft selber geben um einen guten Score zu bekommen, dafür machen wir TrAnSpaRent wie wir dich diskriminieren”.

Bonify hat das eigene Angebot inzwischen komplett vom Netz genommen.