13.11.2026

Zugriffskontrolle bei Webanwendungen

Wie eine Buchungsnummer Passdaten fremder Gäste preisgab

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit berichtet in ihrem Jahresbericht 2025 über einen Fall, der für viele Webanwendungen typisch ist. Seit Jahren erhält die Berliner Datenschutzbehörde Hinweise auf Sicherheitslücken, die auf einfache und immer wiederkehrende Fehler zurückgehen. Im Berichtsjahr traf es das Buchungssystem einer Hotelgruppe. Eine unzureichende Zugriffskontrolle ließ den Abruf fremder Buchungsdaten zu, und dazu gehörten auch Reisepassdaten.

Über das Buchungssystem konnten Gäste die Rechnung zu ihrer Hotelbuchung herunterladen. Dafür gab es einen Link, dessen wesentlicher Bestandteil die Buchungsnummer war. Über diesen Link ließ sich die Rechnung mit den darin enthaltenen personenbezogenen Daten abrufen. Das System lieferte aber ohne jede Notwendigkeit auch einen unternehmensinternen Datensatz mit den kompletten Buchungsdaten aus.

Dieser Datensatz enthielt die E-Mail-Adresse der buchenden Person und den Reisezweck, also geschäftlich oder privat. Er enthielt auch Name, Geschlecht, Nationalität, Geburtsdatum und Passdaten mit Passnummer und Ausstellungsdatum. Das galt für alle angegebenen Mitreisenden ebenso.

Das Problem lag in zwei Punkten. Die Buchungsnummern wurden fortlaufend vergeben. Und das System prüfte vor der Ausgabe der Daten nur, ob die abrufende Person eine gültige Sitzungskennung hatte, also eingeloggt war. Es prüfte nicht, ob die eingeloggte Person auch ihre eigene Buchung abrief. Wer die Buchungsnummer in der URL veränderte, konnte so jeden beliebigen anderen Buchungsdatensatz abrufen.

Potenziell gefährdet waren bis zu 500.000 Buchungsdatensätze. Im Lauf des Verfahrens konnte die Hotelgruppe nachweisen, dass es nur eine niedrige zweistellige Zahl unberechtigter Zugriffe auf Rechnungen oder Buchungsdatensätze gab. Alle diese Zugriffe ließen sich den Sicherheitsforschenden zuordnen, die die Lücke gemeldet hatten.

Die Berliner Datenschutzbehörde zieht daraus eine klare Lehre. Wer IT-Sicherheitsprinzipien schon in der Entwicklung systematisch berücksichtigt und regelmäßig Sicherheitsaudits durchführt, kann Schwachstellen bei technischen Zugriffskontrollen verhindern. Das schützt die Betroffenen und die Unternehmen vor erheblichen Schäden. Dazu gehören grundlegende Dinge wie das Least-Privilege-Prinzip. Danach bekommt jede Person und jeder Prozess nur die Rechte, die für die jeweilige Aufgabe nötig sind. Dazu gehört auch, dass eine Anwendung die Berechtigung einer Person bei jedem Zugriff prüft.

Unsere Empfehlungen

Der Fehler im Buchungssystem hat in der IT-Sicherheit einen eigenen Namen. Er heißt Insecure Direct Object Reference, kurz IDOR, und gehört zur Kategorie Broken Access Control. Diese Kategorie steht in der OWASP Top 10, der bekanntesten Liste der häufigsten Schwachstellen in Webanwendungen, auf Platz 1. Rechtlich verlangt Art. 32 DS-GVO geeignete technische und organisatorische Maßnahmen zum Schutz der Daten. Art. 25 DS-GVO fordert Datenschutz schon bei der Gestaltung der Technik. Wird eine solche Lücke bekannt, muss der Verantwortliche nach Art. 33 DS-GVO prüfen, ob er den Vorfall binnen 72 Stunden der Aufsichtsbehörde melden muss. Nach Art. 34 DS-GVO kann auch eine Benachrichtigung der Betroffenen nötig sein.

Unternehmen und KMU

Kundenportale, Onlineshops und Buchungssysteme haben fast immer Funktionen, über die Kunden eigene Dokumente abrufen. Genau dort entstehen solche Lücken.

Bei jedem Abruf serverseitig prüfen, ob der Datensatz zur eingeloggten Person gehört. Eine gültige Sitzung allein reicht nicht.
Keine fortlaufenden Nummern in URLs verwenden. Zufällige Kennungen erschweren das Raten, ersetzen aber keine Berechtigungsprüfung.
Nur die Daten ausliefern, die eine Funktion braucht. Ein Rechnungsdownload braucht keine Passdaten von Mitreisenden. Das folgt schon aus dem Grundsatz der Datenminimierung in Art. 5 DS-GVO.
Zugriffe aussagekräftig protokollieren. Die Hotelgruppe konnte die Zahl der unberechtigten Zugriffe nachweisen, und solche Nachweise gelingen nur mit guten Protokollen.
Eine Kontaktmöglichkeit für Sicherheitsforschende einrichten, zum Beispiel über eine security.txt-Datei auf der Website.

Behörden und öffentliche Stellen

Bürgerportale mit Antragsstatus oder Bescheid-Download haben dasselbe Risiko. Öffentliche Stellen kaufen solche Anwendungen meist ein. Deshalb gehören Anforderungen an die Zugriffskontrolle schon in die Leistungsbeschreibung. Vor der Abnahme sollte ein Sicherheitstest prüfen, ob sich fremde Vorgänge durch Ändern einer Kennung abrufen lassen. Nach größeren Updates ist der Test zu wiederholen.

Gesundheitseinrichtungen

Patientenportale, Befund-Downloads und Terminbuchungen verarbeiten oft Gesundheitsdaten. Diese stehen unter dem besonderen Schutz von Art. 9 DS-GVO. Eine Lücke wie im Hotelfall hätte hier deutlich schwerere Folgen. Kliniken und Praxen sollten sich von ihren Softwareanbietern Nachweise über aktuelle Penetrationstests vorlegen lassen. Sie sollten auch gezielt fragen, wie das Portal prüft, wem ein Dokument gehört.

Kanzleien und Freiberufler

Mandantenportale, digitale Datenräume und Download-Links per E-Mail sind praktisch. Sie dürfen aber nicht erratbar sein. Links sollten zufällige Kennungen haben, ablaufen und nur nach Anmeldung funktionieren. Für Berufsgeheimnisträger kommt die Schweigepflicht nach § 203 StGB hinzu. Wer ein Portal eines Dienstleisters nutzt, sollte die Zugriffskontrolle vor dem Einsatz testen lassen.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Jahresbericht 2025

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks