Zusammenfassung

  • Die Sicherheitsmitteilung, die DoorDash selbst veröffentlichte, beschreibt einen Vorfall, der über einen Phishing-Angriff auf einen Drittdienstleister kam — nicht über einen Einbruch in die eigenen Systeme der Lieferplattform.
  • In den vier hier geprüften Dokumenten nennt keines die Zahl der Betroffenen, und keines veröffentlicht einen Test, ob die Korrektur gehalten hat. Auditierbar bleibt damit nur, was der Betroffene veröffentlicht und wen er benachrichtigt.

Der erste Schritt war eine Textnachricht. Twilios Darstellung der Kampagne vom August 2022 beschreibt Mitarbeiter, die per SMS-Phishing ins Visier genommen wurden, erbeutete Zugangsdaten und anschließenden unberechtigten Zugriff auf interne Systeme — mit rund 125 Kunden, die im Nachgang mit hineingezogen wurden (Twilio). DoorDash erscheint dort als einer dieser betroffenen Kunden, und die eigene Newsroom-Mitteilung der Firma beschreibt dieselbe Route von der anderen Seite: ein Phishing-Angriff auf einen Drittdienstleister, der Nutzerdaten offenlegte und eine direkte Benachrichtigung der Betroffenen auslöste (DoorDash Sicherheitsmitteilung).

Der Angreifer musste DoorDash nie erreichen. Der Identitätskanal, den die Plattform mietete, brach beim Dienstleister, und der Zugriff danach richtete sich auf Datensätze, die DoorDash im gewöhnlichen Geschäftsgang übergeben hatte. Das ist die Form dieses Vorfalls: nicht eine Wand, die durchbrochen wurde, sondern ein Bote, der das Paket liest.

Was die Mitteilung tatsächlich festhält. Die Kategorien sind konkret. Namen, E-Mail-Adressen, Lieferansichten, Bestellhistorie und Teilzahlungsinformationen wurden eingesehen. Die Ausnahmen sind ebenso konkret: keine vollständigen Kartennummern, keine Passwörter, keine Anmeldedaten für Konten. Das Unternehmen erklärt, betroffene Nutzer direkt benachrichtigt und mit dem Dienstleister an der Sicherung der Umgebung gearbeitet zu haben.

Der erhaltene Beleg legt diese Mitteilung in den November 2022. Sie trug keinen Zeitstempel der Veröffentlichung; der Monat stammt also aus dem Wortlaut der Dokumente, nicht aus einer datierten Zeichnung, und nichts in den vier geprüften Belegen legt einen einzelnen Kalendertag fest. Wer das genaue Datum braucht, findet es hier nicht. Er findet den Monat.

Der Verdienst der Entdeckung liegt beim Dienstleister. Das wiegt schwerer, als es klingt. Gefunden und beschrieben wurde der Einbruch von dem Dienstleister, dessen Mitarbeiter abgefischt wurden, nicht von der Plattform, deren Daten sich bewegten. DoorDashs Dokument ist eine Mitteilung: es sagt, was entnommen, was verschont blieb und was das Unternehmen danach tat. Nirgends behauptet es, DoorDash habe die Kampagne entdeckt. Der Dienstleister hat seine eigene Darstellung veröffentlicht; der Text der Plattform liest sich wie der eines Kunden, dem gerade Bescheid gesagt wurde.

Das ist keine Nachlässigkeit. Es ist die Geometrie eines Fehlers, der über einen Lieferanten läuft. Ein Unternehmen überwacht keine Umgebung, die es nicht betreibt, rotiert keine Zugangsdaten, die es nicht hält, und sieht keinen Login, der es nie erreicht. Was es tun kann, ist veröffentlichen und benachrichtigen. Diese beiden Handlungen sind die Gesamtheit seines beherrschbaren Verhaltens und damit die Gesamtheit dessen, was der öffentliche Beleg fair zu prüfen erlaubt.

Der Test der Mitteilung. An diesem engeren Maßstab hat eine Offenlegung dieser Art vier überprüfbare Teile. Menge: nennt der Betroffene die Zahl der betroffenen Personen? Inventar: benennt er, was entnommen und ebenso nützlich, was nicht entnommen wurde? Prüfung: testet etwas im Beleg, ob die Korrektur gehalten hat, statt die Absicht zu korrigieren zu beschreiben? Zuschreibung der Entdeckung: sagt die Darstellung, wer den Einbruch fand?

DoorDashs Mitteilung besteht Inventar und Benachrichtigung mühelos. Sie benennt die Datenkategorien, benennt die Ausnahmen und erklärt, Nutzer seien direkt kontaktiert worden. Der Verdienst der Entdeckung gehört zu Recht dem Dienstleister, der seine eigene Darstellung veröffentlichte. Die Menge fehlt. Die Prüfung fehlt. Zwei unabhängige Berichte vom späten November 2022 beschreiben dieselbe Route über den Dienstleister, und beide halten fest, dass die öffentlichen Mitteilungen keine konkrete Zahl betroffener Personen trugen (TechCrunch) (BleepingComputer).

Zur Genauigkeit der Grenze: in den vier Belegen, die für diesen Beitrag gelesen wurden — DoorDashs Sicherheitsmitteilung, Twilios Darstellung und jene beiden Berichte — gibt kein Dokument eine Zahl betroffener DoorDash-Nutzer an, und keines veröffentlicht ein Prüfergebnis, eine Zusicherung oder eine gemessene Kontrolländerung, die belegen würde, dass die Reparatur gehalten hat. Das ist eine Aussage über vier Dokumente, nicht über die Welt. Eine regulatorische Meldung mit einer Zahl mag außerhalb dieser vier liegen; sie wurde hier nicht gelesen, und aus ihrem Fehlen in dieser Akte folgt nichts.

Was die Einordnung ändern würde. Eine Mitteilung wird zur belegten Reparatur, wenn drei Dinge daneben treten. Eine Zahl, weil eine Exposition ohne Größe nicht bemessen werden kann. Eine Zusicherung oder eine geprüfte Kontrolle, weil «mit dem Dienstleister an der Sicherung der Umgebung gearbeitet» eine Tätigkeit beschreibt, nicht ein Ergebnis. Und ein benannter Unterauftragsverarbeiter, weil ein Kunde ein Risiko nicht bewerten kann, das die Lieferantenliste verbirgt.

Nichts davon ist exotisch. Mehrere Jurisdiktionen verlangen das erste bereits. Vertragsverlängerungen tragen das zweite längst, in Gestalt von Sicherheitsanhängen mit Prüfrechten. Das dritte ist eine Beschaffungsfrage, und es ist die billigste der drei.

Diese Redaktion hat über DoorDash schon geschrieben, zu einem anderen Dokument. Die frühere Fallakte betraf einen Zugriffsvorfall von 2019, der ebenfalls über einen Dritten kam; die Mitteilung vom November 2022 ist eine eigene Offenlegung zu einem eigenen Mechanismus, und der Abstand zwischen beiden ist selbst aussagekräftig. Beide Vorfälle nahmen dieselbe Art Straße. Keine der beiden öffentlichen Darstellungen sagt dem Leser, wie viele Menschen darauf saßen.

Eine Mitteilung ist keine Reparatur. Sie ist die Quittung dafür. Zahl und Test machen aus der Quittung einen Beleg, auf den ein Verwaltungsrat sich stützen kann — und bei diesem Vorfall, im Rahmen der vier hier geprüften Dokumente, stehen beide noch aus. Wer wissen will, wie eine Plattform sich verhält, wenn der Fehler ausgelagert ist, frage nicht, ob sie den Einbruch entdeckt hat. Sie konnte es nicht. Frage, was sie offengelegt, wen sie benachrichtigt und ob je jemand bewiesen hat, dass die Tür geschlossen wurde.

Verzeichniseintrag: DoorDash, Inc.