LONDON (IT BOLTWISE) – Der Hotelkonzern Wyndham hat nach einem Sicherheitsfund ein hardcodiertes Passwort in seiner Android-App entschärft. Ein Security Researcher stellte fest, dass das eingebettete Credential Zugriff auf eine interne Datenbank bei Salesforce eröffnete. Betroffen waren unter anderem Kundennamen, E-Mail-Adressen und Wyndham-Mitgliedsnummern sowie Login-Tokens, die Nutzer dauerhaft eingeloggt halten. Wie lange das Passwort unverändert im Code steckte und ob es vor der Sperrung schon zu Zugriffen kam, bleibt zunächst offen.
Wyndham steht wegen eines App-Sicherheitsfehlers unter besonderer Beobachtung: Ein Security Researcher fand in der Android-App des Hotelkonzerns ein fest eingebettetes Passwort (Hardcoding), das den Zugriff auf eine interne Datenbank erlaubte. Die Datenbank wurde laut dem Fund auf einer Salesforce-Infrastruktur gehostet. Damit genügte offenbar nicht einmal ein legitimer Konto-Zugang, um an sensible Kundendaten zu gelangen, sofern der Code der App zuvor extrahiert und das Credential abgeleitet wurde. Für ein Reise- und Reservierungsgeschäft ist das besonders kritisch, weil personalisierte Accounts und Loyalitätsprogramme typischerweise über lange Zeiträume aktiv bleiben und die Datenvielfalt groß ist.
Im Kern geht es dabei um das Zusammenspiel aus Client-App und Backend: In der Datenbank lagen neben Kundendaten auch Login-Tokens, die als JSON Web Tokens (JWTs) beschrieben werden. Solche Tokens dienen dazu, Nutzer in der App eingeloggt zu lassen, ohne bei jedem Start erneut nach einem Passwort zu fragen. Dass diese Mechanik gleichzeitig im Backend gespeichert ist und zusammen mit anderen Dateien abrufbar wurde, erhöht das Missbrauchspotenzial. Der Researcher nannte dabei konkrete Datentypen wie Namen und E-Mail-Adressen sowie die Wyndham-Mitgliedsnummer; zudem seien in der Datenbank Wyndham-Dateien und -Dokumente vorhanden gewesen. Die genaue Zahl der betroffenen Datensätze ließ sich laut dem Fund allerdings nicht sicher bestimmen, obwohl von Millionen Einträgen die Rede war.
Wyndham reagierte nach der Kontaktaufnahme mit den Security-Teams: Das Credential wurde widerrufen, sodass kein weiterer Zugriff auf die Datenbank mehr möglich sein sollte. Gleichzeitig beantwortete der Konzern wesentliche Fragen zunächst nicht öffentlich. Dazu gehört insbesondere, ob es technische Nachweise dafür gibt, dass zuvor tatsächlich jemand unbefugt auf die Daten zugegriffen hat, etwa durch Server- oder Audit-Logs. Auch blieb offen, wie lange das Passwort im veröffentlichten App-Code eingebettet war und wie der langfristige Fix konkret aussehen soll. Für Unternehmen ist genau dieser Zeitraum entscheidend: Selbst wenn die Sperrung schnell erfolgt, lässt sich ohne Transparenz über vergangene Zugriffe nicht sauber abschätzen, wie groß der potenzielle Schaden bereits gewesen sein könnte.
Hardcoding ist als Klasse von Schwachstellen besonders bekannt, weil sich Credentials mit wenig Aufwand aus veröffentlichten Anwendungen extrahieren lassen. In dem beschriebenen Fall hätte ein Angreifer mit einer Kopie der App das Passwort aus dem Quell- oder dekompilierten Code gewinnen können, um damit serverseitige Ressourcen oder Datenbanken direkt anzusprechen. In vielen automatisierten Sicherheitsbewertungen führen genau solche Funde daher zu sehr hohen Schweregraden. Dass der Researcher zudem berichtete, dies innerhalb von zwei Wochen in ähnlicher Form wiederholt gefunden zu haben, unterstreicht das systematische Risiko: Wenn Entwickler bei App-Integrationen Sicherheitsprinzipien wie „keine Secrets im Client“ nicht konsequent umsetzen, entsteht eine wiederverwendbare Angriffsoberfläche, die nicht nur in einem Einzelfall, sondern potenziell in mehreren Releases wirkt. Hinzu kommt, dass der Researcher für beide Funde KI-gestützte Werkzeuge einsetzte, um große Mengen dekompilierter App-Logik automatisiert nach einfachen Mustern für Sicherheitslücken zu durchsuchen.
Für die Sicherheits- und Compliance-Praxis ergibt sich daraus ein zweigeteiltes Bild: Auf der einen Seite kann eine schnelle Credential-Revokation den praktischen Zugriff abschneiden. Auf der anderen Seite bleibt die zentrale Frage der Vergangenheitsaufklärung offen, wenn Logs und Ereignisketten intern nicht eindeutig auswertbar oder nicht beauskunftet sind. Entsprechend sollte Wyndham nach dem beschriebenen Vorfall laut dem dargestellten Erkenntnisstand klären, wie und wann eine vollständige forensische Bewertung stattfindet und welche Informationen gegenüber Betroffenen oder Aufsichtsstellen geteilt werden. Der Konzern wollte außerdem nicht kommentieren, ob er Kunden benachrichtigen oder Incidents gegenüber US-Regulatoren offenlegen will, wie es bei als „material“ eingestuften Cybervorfällen für öffentliche Unternehmen typischerweise vorgesehen ist.
Auch strategisch ist das Thema eng mit dem Umgang mit Sicherheitsforschung verbunden. Der Researcher erklärte, er habe keine verlässliche Möglichkeit gehabt, Schwachstellen direkt und strukturiert zu melden, und wandte sich deshalb an eine Berichterstattung. Für die Branche ist genau hier ein Infrastrukturproblem erkennbar: Ein funktionierendes Vulnerability-Disclosure-Programm (VDP) senkt die Wahrscheinlichkeit, dass Funde „auf dem Umweg“ öffentlich werden, und verbessert die Planbarkeit von Patches. Für die Praxis wäre außerdem relevant, ob ein Unternehmen einen klaren Kommunikationskanal für die Meldung plant, und ob es die technischen Mittel bereitstellt, um eingegangene Hinweise direkt mit Logs und Zugriffspfaden zu verknüpfen. Im Hintergrund steht zudem, dass Wyndham in jüngeren Jahren bereits mit anderen Vorfällen rund um den Missbrauch von Hotel-Systemen in Verbindung gebracht wurde, was das Vertrauensprofil im Bereich App- und Infrastruktur-Sicherheit zusätzlich belastet.
Für Entscheider in IT-Sicherheit und Softwareentwicklung folgt aus dem Fall vor allem eine klare Leitlinie: Secrets gehören nicht in Clients, selbst dann nicht, wenn sie „nur“ für Integrationszwecke gedacht sind. Stattdessen sollten Architekturen eingesetzt werden, bei denen der Server die Vertrauensgrenze bildet, etwa über tokenbasierte Autorisierung mit kurzen Laufzeiten, strikter Zugriffskontrolle und zentraler Secret-Verwaltung. Daneben rückt das Logging in den Fokus: Ohne nachvollziehbare Audit-Spuren bleibt nach einer Entdeckung oft nur die reine Annahme, dass „nichts passiert ist“. Wyndham muss den beschriebenen Schritt zur Credential-Sperrung daher nicht nur als kurzfristige Maßnahme sehen, sondern als Startpunkt für eine messbare Sicherheitskette aus Patch, Monitoring, Transparenz und einem belastbaren Prozess für externe Sicherheitsforschung.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Wyndham stoppt Zugriff auf Kundendaten nach hardcodetem App-Passwort" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Wyndham stoppt Zugriff auf Kundendaten nach hardcodetem App-Passwort" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Wyndham stoppt Zugriff auf Kundendaten nach hardcodetem App-Passwort« bei Google Deutschland suchen, bei Bing oder Google News!