EBay-Domain-Klau durch Sicherheitslücke

Nachdem in der Nacht von Freitag auf Samstag vollzogenen Domain-Klau von eBay.de, hat die DeNIC den Vorfall detailliert recherchiert. Ein User hatte über den Provider Intergenia unter anderen eBay.de angemeldet und als eigene Domain ausgegeben.

Will jemand die Verwaltung seiner Domain auf einen anderen Provider übertragen, schickt der neue Provider dazu einen Providerwechselauftrag an das automatische DeNIC-Registrierungssystem.

Dieses sendet eine Benachrichtigung an den derzeitigen Provider und fordert seine Bestätigung ein. Um den unberechtigte Providerwechsel zu verhindern, sind zwei Kontrollinstanzen vorgesehen.

Im Fall von eBay.de haben augenscheinlich beide Prüfungsmechanismen nicht funktioniert. Der Auftrag wurde gestellt, obwohl eBay nicht die Absicht hatte, den Provider zu wechseln.

Passwortwechsel empfohlen
Laut eBay waren User-Daten zu keinem Zeitpunkt der Aktion gefährdet. Experten raten dennoch zu einem Passwort-Wechsel.

Rätselraten um Domain-Klau von eBay.de

Schadensersatzklagen erwartet

Außerdem erfolgte vom verwaltenden Provider innerhalb der für diese Fälle üblichen Frist von fünf Werktagen keine Reaktion, was nach den DeNIC-Regeln als Bestätigung interpretiert wird.

Damit wurde der Providerwechsel durchgeführt, was jedoch zunächst nur die Auswirkung hatte, dass ein entsprechender Eintrag in der DeNIC-Datenbank geändert wurde.

Nach außen hin wurde die Änderung jedoch erst mit der Generierung einer neuen .de-Zone am frühen Samstagmorgen wirksam.

EBay könnte die unfreiwillige Übertragung Schadenersatzklagen einbringen. Angebote seien weit unter dem zu erwartenden Preis über den Auktionstisch gegangen. Die Versteigerungen liefen, Kaufinteressenten hätten aber nicht bieten können.

Die DeNIC wird in Zusammenarbeit mit den betroffenen Providern im Detail klären, wie es trotz der doppelten Prüfung zu dieser nicht vom Domaininhaber autorisierten Änderung kommen konnte. Weiterhin wird geprüft, ob gegen den Initiator des Providerwechsels und des Änderungsauftrages rechtliche Schritte eingeleitet werden.

EBay dementiert Datenbank-Hack