G 4.94 Unbefugter Zugriff auf Daten eines anderen Mandanten bei Webanwendungen und Web-Services

Ein zentraler Vorteil bei der Realisierung von IT-Diensten als Web-Services ist die Möglichkeit, identische Dienste auf einer gemeinsamen technischen Infrastruktur für verschiedene Anwender ("Mandanten") anzubieten und so die Betriebskosten pro Mandant zu senken. Die Art der angebotenen Dienste kann dabei vielfältig sein, von Cloud-Speicherdiensten über Online-Zahlungsdienste bis hin zu Business-Anwendungen wie zum Beispiel CRM oder Finanzbuchhaltung.

Sofern die Web-Services dabei auf mandantenspezifische Datenbestände zugreifen, besteht die Gefahr, dass durch Konzeptions- oder Implementierungsfehler Zugriffsmöglichkeiten auf Datenbestände der anderen Mandanten des Dienstes entstehen. Typische Ursachen für solche Fehler sind:

Der Zugriff auf Daten fremder Mandanten kann in allen Fällen auch die Daten der eingerichteten Dienstnutzer, darunter insbesondere auch Authentisierungsinformationen (zum Beispiel Passwörter) umfassen. In diesem Fall können die Auswirkungen auch über den betroffenen Dienst hinausgehen, sofern die Authentisierungsdaten auch für andere Dienste genutzt werden oder Rückschlüsse auf Passwortmuster der Anwender erlauben.