Wer vor dem McDonald's-Automaten steht, kommt schnell in Versuchung, sich seinen Lüsten hinzugeben. Einzig Waage und Preis wirken abschreckend. Für Letzteres haben drei deutsche Informatiker ein Online-Tool programmiert, mit dem man sich bei der Fastfoodkette kostenlos den Magen vollschlagen konnte: Burger, Chicken McNuggets – alles, was das Herz oder der Magen begehrt. Und das alles gratis. Möglich war dies, indem sie eine Sicherheitslücke bei dem Umfragesystem der Fastfoodkette ausnutzten.

Getränkegutscheine als Basis

Gegenüber "Vice" haben die drei Männer nun erklärt, wie sie das angestellt haben. Als Ausgangspunkt dienten die Rechnungen des Unternehmens mit dem gelben M. Auf jeder davon ist eine personalisierte URL angegeben. Diese verlinkt zu einer Umfrage. Füllt man diese aus, erhält man als Gegenleistung einen Gutscheincode für ein Getränk.

Einer der Männer, ein Informatiker, hat sich die Umfragen-Website genauer angesehen und ist dabei darauf gekommen, dass sie immer die gleichen Informationen an den McDonald's-Server schickt. Daraufhin hat er ein Tool programmiert, das diese Infos automatisiert abschickt. Der Server glaubte dadurch, dass eine Umfrage abgeschlossen wurde, und gab dafür jeweils einen Gutschein-Code frei.

Die Methode

Diese Technik bauten die drei Informatiker aus, indem sie eine weitere Sicherheitslücke im McDonald's-System ausnutzten. Diese führten sie dann gegenüber "Vice" im Dezember live in einer Filiale vor. Dafür erstellte einer der Informatiker mit seinem Smartphone einen Internet-Hotspot. Sein Freund griff auf diesen mit einem zweiten Smartphone und Laptop zu. Letzterer fungierte dabei als Proxy-Server zwischen beiden Handys. Dies ist eine Kommunikationsschnittstelle in einem Netzwerk, eine Art Vermittler. Er nimmt Anfragen der einen Seite entgegen und leitet diese an die andere Seite weiter.

Das Vorgehen

Im McDonald's-Fall hieß dies aber auch, dass die drei Informatiker die Informationen beliebig manipulieren konnten. Dafür gaben sie einen generierten Gutscheincode in der McDonald's-App auf dem Smartphone ein, erhielten also ein Getränk für null Euro. Danach wählten sie stattdessen Gerichte für 17 Euro aus: Curly Fries, dreimal Pommes und Chicken Nuggets.

Via Proxy-Server konnten sie die Rechnung auf dem Laptop einsehen. Den Code der Rechnung kopierte einer der Informatiker in ein eigens programmiertes Tool. Dort sah er nun das Getränk für null Euro und das Essen für 17 Euro. Mittels der Tools konnte er nun das Essen mit dem Teil des Rechnungscodes unterschieben, der das Getränk auf null setzte. Voilà, plötzlich war alles gratis. Diese Info schickte das Tool zurück an die App. Die Anzeige "Abschließen und 0,00 Euro bezahlen" bestätigte den Coup.

Kein böser Hintergedanke

Die drei Informatiker haben den Trick zwar in der Praxis ausprobiert, wollten daraus aber keinen finanziellen Nutzen ziehen. In einem Fall haben sie der Filialleiterin Bescheid gegeben, bevor sie 15 Burger auf diese Methode bestellten. In einem anderen haben sie das Essen verschenkt. Die drei haben McDonald's auch über die Sicherheitslücke informiert. Der Fastfoodgigant schloss sie mit Ende Dezember und gab den drei Freunden eine Belohnung.

Es war nicht das erste Mal, dass McDonald's aufgrund einer technischen Lücke im Gespräch ist. Erst im April haben sich zwei Jugendliche elf Hamburger kostenlos erschlichen. Dafür nutzten sie einen Fehler bei Selbstbedienungsautomaten des Unternehmens aus. (red, 13.1.2020)