Datenklau bei Mindfactory.de

[linkin_park_forever]

Hi,
wer es noch nicht weiß: Bei MF.de und alle anderen Versandhäuser, die unter dem selben Stern stehen, wurden massig Nutzerdaten wie E-Mail, Anschrift, und wahrscheinlich auch Kontodaten und Passwörter geklaut.

http://forum.mindfactory.de/allgemeines ... ctory.html
http://www.heise.de/security/meldung/Mi ... 28279.html
http://www.computerbase.de/news/interne ... die-runde/

Die Kunden wurden über diesen Vorfall nicht aufgeklärt. Erst jetzt, Monate später, kam es ans Licht. Da ich bei MF auch Kunde bin, bin ich wohl auch betroffen. Im Grunde ist dies fast jeder, der dort ein Nutzerkonto hat.

Zitat eines Moderator aus dem MF.de-Forum:

Aber solange es nur Name, Anschrift, Telefon ist - sehe ich das eher gelassen.

Sowas ist für mich persönlich der Anreiz zur sofortigen Löschung meines Accounts. Hier hat sich niemand um die Kunden gekümmert. Bei solchen Fällen sieht man wieder, auf was man bei Onlineshops achten sollten- und selbst dann, wenn sie TrustedShops sind:

- immer eine Spam-E-Mail angeben
- niemals Kontodaten (z.B. für Einzugsermächtigung) oder Kreditkartendaten auf der Seite abspeichern
- am besten keine Telefonnummern angeben


MfG
vs

[Joyrider]

Den Moderatoren da würd ich zu gern in die Fresse hauen.

Solche arroganten *******.

Aber ich habe meine Mail auch entsprechend formuliert, hier einfach mal ne Kopie davon:

Sehr geehrte Damen und Herren,

wie ich soeben erfahren habe wurden bereits vor Monaten bei Ihnen Kundendaten entwendet.

Ich möchte mich vielmals für die Nichtaufklärung und das Verheimlichen bedanken.

Ich bitte Sie zu sofort meinen Kundenaccount zu löschen.

Die E-Mail-Adresse lautet: *********.

Die Domain und die E-Mail-Adresse gibt es zum Glück bereits nicht mehr, daher habe ich allerdings auch keinen Zugriff mehr darauf.

Löschen Sie bitte ALLE von mir bei Ihnen gespeicherten persönlichen Daten und bestätigen Sie mir die Löschung umgehend per E-Mail an diese Adresse.

Die Antworten der Moderatoren in Ihrem Forum sind Ohrfeigen für alle Kunden.

Ich bitte zudem um Informationen welche Daten genau entwendet wurden. Zudem möchte ich wissen was Sie zuvor unternommen haben um die Daten zu schützen.

Sollte sich herausstellen das dies auf Fahrlässigkeit Ihrerseits zurückzuführen ist werde ich eine Anzeige in Erwägung ziehen und mich dazu mit meinem Anwalt beraten.

Mit freundlichen Grüßen,

Das mit der Anzeige ist durchaus mein ernst. Wenn MF da geschlampt hat können die was erleben, vor allem wegen der arroganten Art. Denen war das wohl eh von Anfang an scheissegal was da mit den Kundendaten passiert.







Hier noch nen Beitrag von mir bei MF im Forum:
http://forum.mindfactory.de/allgemeines ... post760279

[linkin_park_forever]

Sollte sich herausstellen das dies auf Fahrlässigkeit Ihrerseits zurückzuführen ist werde ich eine Anzeige in Erwägung ziehen und mich dazu mit meinem Anwalt beraten.

Das ist imho ein Schuss in den Ofen. Am Ende bleibst Du noch auf Kosten sitzen. Kenn mich da aber nicht aus. Ich werde jedenfalls auch mein Konto löschen lassen, sobald ein RMA-Vorgang abgeschlossen ist Der Laden war mir bislang nur deshalb sympathisch, weil ab 100€ Warenwert der Versand nach Mitternacht kostenlos ist. Allerdings ist es mir zu oft vorgekommen, dass der Shop die Preise häufig ändert. Mal 5€ teurer, dann wieder 10€ weniger usw.

In Sachen Zuverlässigkeit und Preis habe ich mit HoH.de bisher immer die besten Erfahrungen gemacht. Da zahle ich gern den Versand; von daher lasse ich MF mal links liegen. Da weiß man nicht so genau, wie man dran ist, zumal der Laden Partnershops aus dem eigene Haus hat, nur unter anderem Namen und mit unterschiedlichen Versandkosten. Transparent erscheint mir das nicht. Die nicht-Aufklärung der Kunden, auch nach Bekanntwerden des Datendiebstahls, ist eine Unverschämtheit. Das zeigt doch ganz klar, dass der Laden Angst vor plözlichem Kundenschwund hat. Bislang weiß ja nur ein Bruchteil über die Geschehnisse beischeid. Je weniger davon wissen, desto weniger kommen auf die Idee, ihr Konto löschen zu lassen.

Man kann zwar auch sagen, dass MF dem Angriff hilflos ausgeliefert war oder dass es genauso gut andere Shops treffen könnte. MF wird jetzt auch nicht mehr viel machen können, die Nutzerdaten sind schon im ewigen Gedächtnis des Internets und damit auch in den Händen von Spammern und womöglich Kriminellen, die sich nun an Kreditkartendaten und E-Mail Accounts versuchen.

Als treuer Kunde erwarte ich, über sowas informiert zu werden. Und damit meine ich nicht einen Thread im Forum, der Wochen nach dem Vorfall erstellt wurde. Da schaut doch nur ein Bruchteil der Kunden rein. Das ist dann für mich ein Grund, dort nicht mehr einzukaufen. Vor allem, wenn es eine Vielzahl anderer guter Shops gibt.

MfG
vs

P.S. Den Moderatoren im Forum kann der Vorfall egal sein, denn sie sind keine Angestellten von MF, sondern machen ihren Job nach eigenen Angaben freiwillig. Was für sie dabei rausspringt, weiß ich nicht. Jedenfalls wollen sie beruhigen und das ganze herunterspielen. Ist alles halb so schlimm.

[linuxone]

Hi,

Die Kunden wurden über diesen Vorfall nicht aufgeklärt. Erst jetzt, Monate später, kam es ans Licht. Da ich bei MF auch Kunde bin, bin ich wohl auch betroffen. Im Grunde ist dies fast jeder, der dort ein Nutzerkonto hat.

da es die eigenen Daten sind, wäre ein Blick in die entsprechenden Gesetze nicht verkehrt:

Auszüge aus dem Bundesdatenschutzgesetz

§ 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten

Stellt eine nichtöffentliche Stelle im Sinne des § 2 Absatz 4 oder eine öffentliche Stelle nach § 27 Absatz 1 Satz 1 Nummer 2 fest, dass bei ihr gespeicherte

1. besondere Arten personenbezogener Daten (§ 3 Absatz 9),
2. personenbezogene Daten, die einem Berufsgeheimnis unterliegen,
3. personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen, oder
4. personenbezogene Daten zu Bank- oder Kreditkartenkonten

unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen. Die Benachrichtigung des Betroffenen muss unverzüglich erfolgen, [ ... ]

Verstoss gegen §42a BDSG ist laut §43 BDSG eine Ordnungswidrigkeit, siehe dort.

Aufsichtsbehörde ist der jeweilige Landesdatenschutzbeauftragte des Bundeslandes, in dem die Firma ihren offiziellen Firmensitz hat.

Übrigens kann jeder Bürger sich an seinen Landesdatenschutzbeauftragten wenden und z.B. über Spam oder wie hier die ausgebliebene Benachrichtigung beschweren.

Ich hatte das mal vor einiger Zeit selbst getan, da ich ständig Werbebriefe von einer Möbelfirma bekam, die mir ihre exclusiven dunkelfarbenen Eichenmöbel andrehen wollten. Als die Spam Port trotz Beschwerde nicht aufhörte, gab es eine Beschwerde beim Landes-DSB, verbunden mit der Auskunftsanfrage (beim Landes-DSB), welche Daten die Firma gespeichert hat und woher sie diese Daten bezogen haben, zusammen mit der Aufforderung zur Löschung aller Daten.
Übrigens war damals Quelle der Daten der Verkauf meiner Postanschrift über einen dubiosen (angeblich seriösen) Adresshändler, der gleichzeitig auch mobile Mehrwertdienste anbot. Und warum das ganze - ein einziges Mal übers Handy bei einer dieser dämlichen und nutzlosen 50 Cent Gewinnspiele in einem bekannten privaten TV Sender mitgemacht.

Ich kann nur empfehlen, von den Möglichkeiten des Bundesdatenschutzgesetzes Gebrauch zu machen, Auskünfte über die gespeicherten Daten und deren Quellen einzufordern, zusammen mit der Löschung aller Daten. Und - am wichtigsten - aufpassen, wo man seine Daten wirklich preisgeben will.

Thomas