Das Geschehene wirft grundlegende Fragen zur Funktionsweise moderner Web-Sicherheit auf. Die meisten Sicherheitssysteme – Firewalls, Web Application Firewalls (WAFs), statische Analyzer und Standard-CSPs – prüfen nur den “deklarierten” Ursprung eines Scripts. Sie validieren nicht, wohin eine Anfrage tatsächlich endet.
In diesem Fall: sync.taboola.com stand auf der Whitelist. Der Browser vertraute Taboola. Doch Taboola antwortete mit einer 302-Weiterleitung zu temu.com – und der Browser folgte blind, ohne die Anfrage neu zu validieren. Am Terminal der Anfragekette war die Bank längst nicht mehr in Kontrolle.
Das besonders Tückische: Der HTTP-Header Include-Credentials: true sorgt dafür, dass Temu Cookies der Bank-Session auslesen kann. Temu kann nun jede Interaktion, die dieser Nutzer auf der Bank-Website durchführt, mit seinem eigenen Tracking-Profil verbinden. Das ist keine anonyme Analyse – das ist eine gezielte Daten-Exfiltration unter Missbrauch der Banking-Trust.
Die Compliance-Katastrophe
Für regulierte Unternehmen verschärft sich die Lage erheblich. Zwar wurden keine Zugangsdaten gestohlen – aber das ist unter GDPR kein Freipass. Nutzer wurden nie informiert, dass ihre Banking-Aktivitäten an PDD Holdings (Temu-Mutterkonzern) übertragen werden. Das verstößt gegen GDPR Artikel 13 (Transparenzmitteilungspflicht). Hinzu kommt: Die Infrastruktur liegt teilweise außerhalb von Ländern mit “Angemessenheitsbeschluss”. Ohne Standard Contractual Clauses für diese vierte Partei ist der Datentransfer rechtswidrig.
Auch PCI DSS ist betroffen. Eine Weiterleitungskette zu einer unanticipated Fourth-Party fällt nicht unter das Audit-Scope, wenn nur direkte Vendors geprüft wurden.
Das Flächenproblem
Reflectiz warnt: Diese Taboola-Konfiguration läuft auf Tausenden von Websites – nicht nur bei dieser einen Bank. Die Sicherheitsbranche steht vor einem Strukturproblem: Sie kontrolliert, welche Anbieter geladen werden, nicht aber, wo diese tatsächlich hinleiten.
Für deutsche Unternehmen lautet die Handlungsempfehlung: Runtime-Behavior inspizieren, nicht nur Vendor-Listen prüfen. CSP-Konfigurationen müssen Weiterleitungsketten erfassen. Und Privacy-Teams sollten Browser-Tracking auf authentifizierten Seiten wie Backend-Integrationen behandeln.