Immobilienverwaltung
|KMU (~60 Mitarbeiter)
Ein Immobilienverwaltungsunternehmen entdeckte, dass Altsysteme mit 8 Jahren an Mieterdaten öffentlich zugänglich waren. Sehen Sie, was die Bewertung von Discovero aufdeckte.
Buchen Sie Ihr AssessmentDie Herausforderung
Ein mitteleuropäisches Immobilienverwaltungsunternehmen, das Wohn- und Gewerbeimmobilien verwaltet, beauftragte Discovero mit seiner ersten externen Sicherheitsbewertung. Das Unternehmen bereitete sich auf die ISO 27001-Zertifizierung vor und benötigte dokumentierte Nachweise des Schwachstellenmanagements.
Die IT-Infrastruktur war über ein Jahrzehnt organisch gewachsen, mit mehreren Immobilienverwaltungssystemen, Mieterportalen und internen Tools, die durch Unternehmensfusionen hinzugekommen waren.
Was Discovero fand
20+
caseStudies.property.metrics.
20
caseStudies.property.metrics.
9
caseStudies.property.metrics.
1
caseStudies.property.metrics.
5
caseStudies.property.metrics.
2
caseStudies.property.metrics.
1
caseStudies.property.metrics.
Eine alte Immobilienverwaltungsanwendung (außer Betrieb genommen 2021) war noch aktiv und öffentlich erreichbar. Sie enthielt personenbezogene Mieterdaten einschließlich Namen, Adressen, Telefonnummern und Mietverträge bis zurück ins Jahr 2016. Die Anwendung verwendete Standard-Zugangsdaten für den Admin-Zugang.
Das aktuelle Mieter-Self-Service-Portal war über die Passwort-Zurücksetzen-Funktion des Anmeldeformulars anfällig für SQL-Injection. Dies hätte einem Angreifer ermöglicht, die gesamte Mieterdatenbank einschließlich personenbezogener Daten und Zahlungsinformationen zu extrahieren.
Der Mailserver des Unternehmens akzeptierte Verbindungen über unverschlüsselte IMAP- und POP3-Protokolle. Mieterkommunikation, Wartungsanfragen und interne E-Mails der Immobilienverwaltung wurden im Klartext übertragen.
Eine Next.js-Anwendung hatte Entwicklungs-Debug-Endpunkte, die in der Produktion zugänglich waren und Umgebungsvariablen einschließlich Datenbank-Verbindungsstrings und API-Schlüssel für Drittanbieter-Immobilienportale offenlegten.
Die Auswirkung
| Szenario | Geschätzte Auswirkung |
|---|---|
| DSGVO-Meldung einer Datenschutzverletzung + Bußgelder | EUR 100.000 – 500.000 |
| Diebstahl von Mieterdaten + Klagen | EUR 200.000 – 1.000.000 |
| Reputationsschaden + Mieterfluktuation | EUR 150.000 – 400.000 |
| Discovero-Bewertung | EUR 2.900 |
Allein die Exposition des Altsystems hätte eine verpflichtende DSGVO-Meldung einer Datenschutzverletzung auslösen können — mit Auswirkungen auf Hunderte aktuelle und ehemalige Mieter.
Das Ergebnis
Kernaussage
Wenn Unternehmen durch Fusionen wachsen, werden alte Systeme vergessen, aber nicht außer Betrieb genommen. Dieses Immobilienunternehmen hatte 8 Jahre Mieterdaten auf einem öffentlich zugänglichen Server mit Standard-Zugangsdaten.
Keine Agenten. Keine Zugangsdaten. Nur Ihre Domain. Erste Ergebnisse in 48 Stunden.