Dies berichtet der Nachrichtendienst Heise Online. Demnach ließen sich mehrere tausend Datensätze abrufen, die Namen und Adressen der Gäste sowie den Zeitraum des Aufenthalts beinhalteten. Auch die Namen der Mitreisenden ließen sich in den Dokumenten finden.
Das Datenleck bestand rund ein halbes Jahr lang nach Einführung eines neuen Buchungssystems.
Fortlaufende Zahlenreihenfolge
Der Fehler sei der Redaktion von Heise Online durch einen Leser mitgeteilt worden, der selbst eine Buchung vornahm. In der Adresszeile sei eine einfache Zahlenreihenfolge aufgefallen, die sich beliebig anpassen ließ und den Zugriff auf fremde Daten ermöglichte. Eine Passwortabfrage oder ähnliche Sicherheitssysteme habe es nicht gegeben. Die Nummern begannen mit 100001 und endeten mit 604104. Ein einfaches Skript hätte die PDF-Dokumente auslesen und die Daten speichern können.
Nachdem der Fehler dem Betreiber des LEGOLAND Deutschland, Merlin Entertainments, mitgeteilt wurde, habe der Zugriff am nächsten Tag nicht mehr funktioniert. Der Betreiber habe die Deaktivierung bestätigt und mitgeteilt, dass dem Bayerischen Landesamt für Datenaufsicht ein Verstoß der DSGVO gemeldet worden sei.
Kein Zugriff auf Zahlungsdaten
Die betroffenen Kundinnen und Kunden wurden bisher nicht informiert. Grund dafür sei, dass kein Zugriff auf Bank- oder Kreditkartendaten möglich gewesen sei.
Es werde jedoch „eine umfassende Untersuchung durchgeführt und zusätzliche Sicherheitsmaßnahmen ergriffen, um unbefugten Zugriff auf Buchungsdaten zukünftig zu verhindern.“
Auch die jeweiligen Aufsichtsbehörden oder Gerichte werden sich gegebenenfalls noch mit der Thematik beschäftigen müssen.