Ethischer Hacker deckt Ajax-Sicherheitslücken auf – und landet vor Gericht
Lina Seidel
Ethischer Hacker deckt Ajax-Sicherheitslücken auf – und landet vor Gericht
Der ethische Hacker Abdoul Rasnab hat neue Sicherheitslücken in den digitalen Systemen von Ajax aufgedeckt und damit eine juristische Auseinandersetzung mit dem Verein ausgelöst. 2024 entdeckte er Schwachstellen, die ihm Zugang zu sensiblen Daten von Fans und Mitarbeitern verschafften – darunter auch Informationen über die Clublegende Sjaak Swart. Der Vorfall führte zu einer Anzeige bei der Polizei und entfachte die Debatte über verantwortungsvolle Offenlegung von Sicherheitsrisiken neu.
Erstmals auf sich aufmerksam wurde Rasnab 2017, nachdem er in das Ticketsystem von Ajax eingedrungen war. Damals verpflichtete der Verein ihn zur Unterzeichnung einer Vertraulichkeitsvereinbarung, die ihm untersagte, den Vorfall öffentlich zu machen oder ohne Genehmigung erneut auf die Systeme zuzugreifen.
Jahre später, 2024, stieß er auf neue Schwächen in den von Secutix verwalteten Systemen von Ajax. Die Lücken ermöglichten es ihm, persönliche Daten von Dauerkarteninhabern, interne E-Mails und sogar Aufzeichnungen über Stadionverbote einzusehen. Als Rasnab den Verein warnte, reagierte Ajax mit der Androhung rechtlicher Schritte – unter Berufung auf die frühere Vereinbarung.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Statt den Fall intern zu klären, wandte sich Rasnab an RTL Nieuws. Ajax erstattete daraufhin Anzeige gegen ihn und informierte die niederländische Datenschutzbehörde. Der Verein lehnte es später ab, Details zu nennen, und verwies lediglich auf eine frühere Stellungnahme.
Solche Strafanzeigen gegen ethische Hacker, die im öffentlichen Interesse handeln, sind in den Niederlanden nach wie vor ungewöhnlich. Der Konflikt wirft ein Schlaglicht auf die anhaltenden Herausforderungen, vor denen Organisationen bei der Handhabung von Sicherheitsmeldungen stehen. Ajax hat externe Experten beauftragt, um die Lücken zu untersuchen, zu schließen und die Systeme zu stärken. Die Behörden wurden informiert, doch bis Ende 2024 gab es keine weiteren Updates.
