Es geht nicht darum, dass er eigentlich Legitimierung/Zugriff auf beides hat. Das Problem scheint darin zu bestehen, dass das seitens von BF nicht geprüft wurde, ob die Anfrage legitim ist.