Wichtige Fragen und Antworten zum Angriff auf den Server der MeinJena App am 04.07.2023

1. Was ist wann vorgefallen? 

Am Dienstag, 04.07.2023, um 16:30 Uhr wurde der Server der MeinJena App kompromittiert („gehackt“). Der Zugang zum Server konnte zwar nach kurzer Zeit wieder hergestellt und der Angriff damit eingestellt werden. 

Nach derzeitigem Kenntnisstand gehen wir davon aus, dass der Angriff auf unseren Server nicht dazu diente, in unberechtigter Weise Zugriff auf personenbezogene Daten der Nutzer zu erlangen. Leider können wir derzeit aber auch nicht gänzlich auszuschließen, dass personenbezogene Daten durch die Angreifer ausgelesen werden konnten. 

Wir bedauern den Vorfall sehr und arbeiten intensiv daran, das Risiko für zukünftige Angriffe zu minimieren. 

2. Welche Daten sind möglicherweise abgeflossen? 

Die auf dem MeinJena Server vorhandenen personenbezogenen Daten liegen in einer verschlüsselten Datenbank. Gespeicherte MeinJena-Account-Passwörter sind zusätzlich verschlüsselt und können nicht entschlüsselt werden. 

Bisherige Analysen deuten darauf hin, dass der Server für die Ausnutzung der Rechenkapazitäten angegriffen wurde. Es kann zum aktuellen Zeitpunkt jedoch nicht vollständig ausgeschlossen werden, dass der Angreifende versucht hat, auf Daten in der Datenbank zuzugreifen.  

Die Datenbank umfasst zum Zeitpunkt des Vorfalls folgende Informationen: 

• Registrierte MeinJena Nutzerinnen und Nutzer 
  • Email Adresse 
  • Verschlüsseltes Passwort 
  • Name des Betriebssystem 
  • Version des Betriebssystem 
  • Optionale Daten 
  • Vorname 
  • Nachname 
  • Straße 
  • Hausnummer 
  • Postleitzahl 
  • Ort 

• Deutschland Ticket (optionaler Service) 
  • Vorname 
  • Nachname 
  • Abo-Nummer 
  • Geburtsdatum 
  • Bar Code

• Energie Portal Stadtwerke Jena (optionaler Service) 
  • Name 
  • Token 
  • Refresh-Token 

• WLAN (optionaler Service) 
  • MAC Adresse 

3. Wurden die Nutzerinnen und Nutzer der App darüber informiert? Wie? 

Ja, die ca. 28.000 Nutzerinnen und Nutzer wurden am Freitag, 07.07.2023, 22 Uhr per E-Mail über den Vorgang informiert.

4. Ich bin Nutzerin oder Nutzer der App. Was muss ich jetzt tun? 

Bitte vergeben Sie sicherheitshalber Ihr Passwort neu und loggen Sie sich neu in die App ein. 

5. Ich bin zusätzlich Nutzerin oder Nutzer des Deutschlandtickets. Was muss ich jetzt tun? 

Sofern ein Handyticket im MeinJena Account bereits hinzugefügt wurde, wird auch nach Passwortänderung automatisch das Handyticket im Account geladen. Sollte das nicht funktionieren, empfehlen wir das Deutschlandticket neu hinzuzufügen.  

Zum Hintergrund: Das Deutschlandticket, welches über den Jenaer Nahverkehr (JNV) gekauft wird, kann auch als Handyticket ausgegeben werden. Das Handyticket enthält einen Barcode, welcher dann zur Kontrolle vorgezeigt werden kann.  

Nach Zusendung der Vertragsdaten durch den JNV kann der Nutzer die Zugangsdaten (ABO Nummer / Geburtsdatum) hinzufügen und der Barcode wird angezeigt. Nutzerinnen und Nutzer, die den Barcode schon einmal hinzugefügt haben, erhalten automatisch für den kommenden Monat ihren Barcode. Sollte der Barcode also nicht angezeigt werden, dann fügen Sie ihn bitte neu hinzu.  

6. Ich bin zusätzlich Nutzer des Energie Portal der Stadtwerke Energie Jena-Pößneck GmbH. Was muss ich jetzt tun? 

Hier ist nichts zu tun. Der Token, der zur Authentifizierung der Nutzerinnen und Nutzer im Kundenportal verwendet wird, wird nur eine Stunde gespeichert und anschließend erneuert. Das heißt, ein möglicherweise abgegriffener Token ist längst nicht mehr gültig. 

7. Welche Maßnahmen ergreifen wir um die Sicherheit der App zu verbessern? 

Gemeinsam mit unserem Partnerunternehmen, welches den Server betreibt, haben wir den bedauerlichen Angriff analysiert und kurzfristig folgende Maßnahmen umgesetzt: 

Information der Nutzerinnen und Nutzer der MeinJena App über den Datenschutzvorfall per E-Mail  

Invalidierung der Token für das Kundenportal der Stadtwerke Energie Jena-Pößneck 

Darüber hinaus arbeiten wir kontinuierlich an der Verbesserung unserer IT-Sicherheitsstandards. 

8. Welche Art Angriff war es? Wer hat es bemerkt und sind die Systeme wieder „sauber“? 

Es erfolgte ein Zugriff auf den Server der MeinJena App durch unbekannte Dritte. Der Zugriff wurde infolge der ungewöhnlich hohen Serverauslastung von nahezu 100 % sehr schnell durch unseren Server-Dienstleister bemerkt. Das System war 20 Minuten nach dem Serverangriff wieder in unseren eigenen Händen. Aktuell ist das System sehr ausgelastet und ggf. langsam aufgrund der hohen Zahl gleichzeitiger Zugriffe für Passwortänderung. 

Für weitere Fragen stehen wir Ihnen unter der E-Mail Adresse: kontakt@meinjena.de gern zur Verfügung.