Mobile Bezahl-App Venmo macht Nutzerdaten öffentlich

Der in Berlin ansässige Forscher Hang Do Thi Duc hat eine schwerwiegende Datenschutzlücke in der zu PayPal gehörenden Bezahl-App Venmo entdeckt. Ihm zufolge können alle Transaktion – egal ob man Geld erhält oder verschickt – über die Venmo-API (Application Programming Interface) jederzeit abgerufen werden. Als Folge könne jeder, auch ohne die Venmo-App, auf diese Daten zugreifen.

„Ich habe Venmos öffentliche API benutzt, um alle öffentlichen Transaktionen des Jahres 2017 auszulesen – insgesamt 207.984.218 Transaktionen“, schreibt der Forscher in einer E-Mail an ZDNet.com. „Bei der Durchsicht der Daten habe ich erschreckend viel über Venmo-Nutzer gelernt. Ich war in der Lage, die Verkäufe eines Drogendealers zu verfolgen, habe einen gehässigen Streit eines Paares am Valentinstag beobachtet und habe herausgefunden, wie viele Mangos ein Imbisswagen mit kalifornischen Santa Barbara jede Woche verkauft.“

Die Venmo-App erlaubt es Nutzern, per Guthaben oder über eine hinterlegte Bankverbindung beziehungsweise Kreditkarte Waren und Dienstleistungen bei registrierten Unternehmen zu bezahlen. Sie können auch ihre Transaktionen öffentlich machen und mit anderen Teilen, was sie wann und wo erworben haben. Ab Werk werden also bestimmte Informationen zu Zahlungen, jedoch keine Finanzdaten, über die App mit anderen Venmo-Nutzern geteilt. In der Venmo-App oder über die Website des Diensts kann diese Voreinstellung geändert werden.

Venmo ist sich keiner Schuld bewusst

Allerdings sind die freigegebenen Daten eben nicht nur in der App sichtbar, sondern eben auch über die API abrufbar – die ab Werk erteilte Freigabe der Nutzer gilt also auch für Zugriffe über eine Programmierschnittstelle. Warum dies so ist, teilte Venmo auf Nachfrage von ZDNet.com nicht mit. Stattdessen sagte ein Firmensprecher: „Es ist bei jeder Zahlung sehr klar, mit welchem Publikum sie geteilt wird, und wir haben dies in den letzten Jahren noch deutlicher herausgestellt.“

Dass es auch anders geht, zeigt die Mutter PayPal. Sie hat selber eine mobile App, mit der sich Transaktionen teilen lassen. Sie gibt diese Informationen aber nicht ab Werk weiter.

Die Enthüllungen von Hang Do Thi Duc blieben jedoch nicht ohne Reaktion von Venmo. Am vergangenen Donnerstag aktualisierte das Unternehmen seine mobile App, um besser über die Privatsphäreeinstellungen zu informieren. Zudem überarbeitete es seine Datenschutzrichtlinie, wonach zumindest Einkäufe von anerkannten Händlern nun ab Werk nicht öffentlich sind.

Die Problematik ist schon länger bekannt

Bereits 2015 geriet Venmo wegen seiner Sicherheitspraktiken in die Kritik. Unter anderem fehlten zu dem Zeitpunkt wichtige Funktionen, die einen Missbrauch der App beziehungsweise des eigenen Venmo-Kontos verhindern können. Zu dem Zeitpunkt bot das Unternehmen keine Zwei-Faktor-Authentifizierung an. Es fehlte außerdem eine Benachrichtigung über eine Passwortänderung, wie sie bei vielen anderen Diensten 2015 bereits üblich war.

Darüber hinaus war offenbar schon 2015 bekannt, dass Transaktionsdaten von Venmo-Nutzern außerhalb der App zugänglich sind. Diesen Umstand nutzt nämlich seitdem der Online-Dienst Vicemo. Er listet Transaktionen, die bestimmte Schlüsselworter enthalten und auf Käufe von Drogen, Alkohol oder sexuellen Dienstleistungen hinweisen. Es ist allerdings davon auszugehen, dass viele Nutzerkommentare, die Wörter wie Drogen oder Sex enthalten, scherzhaft gemeint sind.