Bonify: Schufa-Auskunft von Jens Spahn geleakt

Durch eine Sicherheitslücke bei Bonify hat Hackerin Lilith Wittmann Daten des Ex-Ministers Jens Spahn abgerufen. Die Schufa-App ist vorübergehend offline. Die Transparenzoffensive der Schufa wurde durch diesen Vorfall sicherlich nicht wie erhofft umgesetzt, da es möglich war, Mieterauskünfte anderer Personen abzurufen.

Kürzlich hat die Schufa ihre App Bonify aktualisiert, um Verbrauchern die Möglichkeit zu geben, ihre Kreditwürdigkeit kostenlos einzusehen. Dies sollte die Transparenz erhöhen und den Nutzern mehr Kontrolle über ihre Daten geben.

Allerdings wurde kurzzeitig eine Sicherheitslücke entdeckt, durch die beliebige Daten aus dem Dienst abgerufen werden konnten. Dies wurde von der Hackerin und Aktivistin Lilith Wittmann demonstriert, indem sie einen Screenshot der Mieterauskunft von Jens Spahn teilte. In ihrem Post beschreibt sie, wie durch die entdeckte Lücke im App-API eine Kreditwürdigkeits-Auskunft für beliebige Personen abrufbar ist.

„Denn nachdem ihr eure Daten über das Bankident verfahren verifiziert habt, könnt ihr diese für etwa eine Sekunde über eine Programmierschnittstelle aktualisieren. So kam ich im zum Beispiel an Jens Spahns Boniversum-Score." sagt Wittmann auf Mastodon.

Nachdem die Sicherheitslücke bekannt wurde, hat Bonify den Dienst vorübergehend abgeschaltet. Im Juli 2022 verkündete die Schufa ihre Absicht, Verbraucher zukünftig über Negativeinträge über die Bonify-App zu informieren.