Kundendaten der Drogeriemarktkette Schlecker sind nach einem Datenleck im Internet zugänglich gewesen. 150.000 Online-Kunden waren betroffen, bestätigte das Unternehmen am Freitag einen entsprechenden Bericht der Bild-Zeitung.

Die Drogeriekette mit Sitz im baden-württembergischen Ehingen erstattete Anzeige gegen Unbekannt. Der illegale Zugriff auf die Daten sei offenbar durch einen "internen Angriff" möglich geworden, behauptete Schlecker.

Für technisch versierte offen zugänglich

Der Mainzer Internet-Unternehmer Tobias Huch, der das Datenleck über "Bild.de" öffentlich machte, sagte hingegen, die Informationen seien für technisch versierte Anwender offen erreichbar gewesen.

"Wir haben nichts gehackt, wir haben nicht gegen das Gesetz verstoßen", sagte Huch der Nachrichtenagentur dpa. Er habe etwa fünf Minuten gebraucht, um an die Daten zu kommen.

Huch, der schon mehrere Datenskandale aufdeckte, räumte ein, dass gewöhnliche Computernutzer kaum auf die Schwachstelle gestoßen wären. Er habe neben "Bild.de" umgehend die Behörden informiert - das Unternehmen allerdings nicht.

Am Freitag hätten Vertreter des rheinland-pfälzischen Datenschutzbeauftragten und des Innenministeriums von Baden-Württemberg die Daten auf den Computern von Huchs Firma ordnungsgemäß vernichtet, sagte er.

Schlecker schiebt dem Dienstleister die Schuld zu

Die Drogeriekette betont, das Datenleck sei nicht direkt im Schlecker-Onlineshop aufgetreten, sondern bei einem externen Dienstleister.

Nach ersten Erkenntnissen habe es vermutlich nur wenige unbefugte Zugriffe auf die von Schlecker gesammelten Informationen über ihre Online-Kunden gegeben, hieß es.

Der Datenschutz-Landesbeauftragte von Rheinland-Pfalz, Edgar Wagner, berichtete in Mainz, das Sicherheitsleck sei offenbar beim Mail-Versand bei dem von der Drogeriekette betrauten Dienstleister entstanden.

Zu den Kunden des Online-Dienstleisters gehören nach "Bild"- Angaben unter anderem auch das Finanzministerium, die Allianz Versicherung, der SPD-Parteivorstand sowie das Bundesverwaltungsgericht.

Datschützer mit grundsätzlichen Bedenken

Datenschützer Wagner äußerte grundsätzliche Sicherheitsbedenken im Umgang mit Kundendaten: "Die Unternehmen müssen sich bewusst werden, dass mit der Nutzung des Internets für Unternehmenszwecke Datenschutz-Risiken verbunden sind, die bereits bei bei der Planung von Geschäftsprozessen beachtet werden müssen", mahnte er.

"Datenschutz im Unternehmen ist keine lästige Pflicht, sondern Voraussetzung für ein erfolgreiches Agieren im Netz", sagte Wagner.

Huch erklärte, er habe das Leck "durch Zufall" entdeckt. Da sein Unternehmen auch Kunden zu IT-Sicherheit berate, forschten er und seine Mitarbeiter auch regelmäßig nach Sicherheitslücken auf Websites.

dpa, DH