IDOR
IDOR ist eine Sicherheitslücke in Webseiten und Apps, bei der man durch das Ändern einer Nummer oder eines Namens in der Adresszeile fremde Daten sehen kann. Die Anwendung prüft dabei nicht, ob der Zugriff überhaupt erlaubt ist.
Wenn du bei einem Online-Shop deine Rechnung ansiehst, steht in der Adresszeile deines Browsers oft eine Nummer, zum Beispiel rechnung=1042. Diese Nummer sagt der Webseite, welches Dokument sie herausgeben soll. Nun tippst du 1043 statt 1042 ein und drückst Enter. Erscheint jetzt die Rechnung eines fremden Kunden, liegt genau der Fehler vor, um den es hier geht. Er heißt IDOR, ausgeschrieben Insecure Direct Object Reference, auf Deutsch etwa unsichere direkte Verweisung auf ein Objekt. Das Problem ist nicht die Nummer selbst, sondern dass die Webseite vergisst zu prüfen, ob du dieses Dokument überhaupt sehen darfst.
Warum eine geänderte Ziffer ganze Datenbanken öffnet
Der Angriff braucht keinerlei Spezialwissen. Es reicht ein normaler Browser und die Bereitschaft, eine Zahl hochzuzählen. Genau das macht IDOR so gefährlich: Es gibt keine technische Hürde, die zufällige Neugierige abhält. Wer solche Lücken systematisch ausnutzen will, schreibt ein kleines Programm, das die Zahlen 1 bis 500.000 durchprobiert. Innerhalb weniger Stunden liegt dann ein kompletter Kundenbestand auf der Festplatte des Angreifers.
Genau nach diesem Muster sind mehrere große Datenpannen der letzten Jahre abgelaufen. Betroffen waren Behördenportale, Gesundheits-Apps, Impfnachweis-Systeme und Ticketanbieter. Meist meldet ein Sicherheitsforscher die Lücke, nachdem er sie beim normalen Benutzen der Seite zufällig bemerkt hat. Für Unternehmen ist so ein Vorfall teuer, weil in Europa die Datenschutz-Grundverordnung gilt. Sie kann Bußgeld verlangen, wenn personenbezogene Daten schlecht geschützt waren.
Fachleute zählen IDOR deshalb zu den wichtigsten Web-Schwachstellen überhaupt. In der bekannten Rangliste der Organisation OWASP, einer Vereinigung für Anwendungssicherheit, steht die zugehörige Kategorie Broken Access Control seit Jahren auf Platz eins. Sie beschreibt allgemein fehlerhafte Zugriffskontrolle. IDOR ist der häufigste und einfachste Fall davon.
Der vergessene Kontrollschritt hinter der Adresszeile
Jede Webseite muss zwei Dinge auseinanderhalten. Erstens: Wer bist du? Das klärt der Login mit Benutzername und Passwort. Zweitens: Was darfst du sehen? Das ist eine eigene Prüfung, die bei jeder einzelnen Anfrage neu stattfinden muss. Bei IDOR passiert der erste Schritt korrekt, der zweite fällt aus. Der Server erkennt dich also als eingeloggten Nutzer an und liefert dann bereitwillig auch fremde Datensätze aus.
Ein häufiger Denkfehler dahinter lautet: Man kann die Nummer ja gar nicht ändern, weil im Menü kein Link dorthin führt. Doch die Adresszeile lässt sich frei überschreiben. Auch versteckte Felder in Formularen oder Anfragen einer Handy-App kann man mit kostenlosen Werkzeugen mitlesen und verändern. Sicherheit, die nur darauf beruht, dass etwas schwer zu finden ist, nennt man Security through Obscurity. Sie gilt als wertlos.
Die saubere Lösung ist einfach zu beschreiben. Der Server prüft bei jeder Anfrage in der Datenbank, ob das angeforderte Objekt zum angemeldeten Konto gehört. Passt es nicht, gibt es eine Fehlermeldung statt der Daten. Zusätzlich verwendet man oft lange zufällige Kennungen statt fortlaufender Nummern. Das erschwert das Durchprobieren, ersetzt die eigentliche Prüfung aber nicht.
IDOR in Meldungen über Datenpannen
In Nachrichtenmeldungen taucht das Wort selten direkt auf. Stattdessen heißt es dort, Kundendaten seien über eine simple Änderung der Internetadresse abrufbar gewesen. Fast immer ist damit IDOR gemeint. Solche Meldungen stammen häufig vom Chaos Computer Club oder von einzelnen Sicherheitsforschern, die Lücken verantwortungsvoll melden.
Auch KI-Produkte sind betroffen, sobald sie Nutzerkonten haben. Ein Chatbot speichert Gesprächsverläufe, die über eine Kennung abgerufen werden. Fehlt dort die Prüfung, liest man fremde Unterhaltungen mit. Gerade bei schnell entwickelten Zusatzdiensten rund um Sprachmodelle sind solche Fehler wiederholt aufgetreten. Große Unternehmen zahlen deshalb Prämien an Finder, sogenannte Bug Bounties, oft im Bereich von einigen tausend Euro pro gemeldeter Lücke.
Ein Hinweis zum Schluss: Das absichtliche Ausprobieren fremder Nummern auf echten Webseiten ist in Deutschland strafbar, auch ohne böse Absicht. Wer solche Technik üben will, nutzt dafür gedachte Trainingsumgebungen. Wer zufällig auf eine Lücke stößt, meldet sie dem Betreiber und lädt keine Daten herunter.