*Auf tausenden öffentlich zugänglichen Websites liegen sensible Zugangsdaten offen – meist unbemerkt von den Betreibern selbst. Ein strukturelles Problem, das die gesamte IT-Infrastruktur von Unternehmen gefährden kann.*
## Tausende Websites haben versehentlich Zugangsdaten öffentlich exponiert
Sicherheitsrelevante Zugangsdaten – darunter **API-Schlüssel**, **Passwörter** und **Authentifizierungstoken** – wurden auf tausenden öffentlich zugänglichen Websites unbeabsichtigt offengelegt. Das Problem betrifft Betreiber unterschiedlichster Branchen und Unternehmensgrößen.
---
### Wie es zur Exposition kommt
Der Ursprung des Problems liegt häufig in der Entwicklungspraxis: Zugangsdaten werden im Quellcode oder in Konfigurationsdateien hinterlegt, die eigentlich nur für den internen Gebrauch gedacht sind – dann aber im Produktivsystem öffentlich erreichbar bleiben. Solche Fehler entstehen etwa durch:
- unzureichende **Versionskontrolle**
- fehlerhafte **Deployment-Prozesse**
- mangelnde Trennung von Entwicklungs- und Produktionsumgebungen
> Besonders kritisch ist, dass betroffene Website-Betreiber das Leck in vielen Fällen nicht bemerken, solange keine aktive Sicherheitsüberprüfung stattfindet.
---
### Welche Daten betroffen sind
Im Mittelpunkt stehen sogenannte **Credentials** – also Schlüssel und Token, die den Zugang zu Backend-Systemen, Cloud-Diensten oder Drittanbieter-APIs ermöglichen. Werden solche Daten von Angreifern gefunden und ausgenutzt, können diese im schlimmsten Fall auf Datenbanken, Cloud-Speicher oder interne Systeme zugreifen, ohne dass dies unmittelbar auffällt.
> Der Schaden beschränkt sich dabei selten auf die betroffene Website selbst – oft dienen exponierte Credentials als Einstiegspunkt für weitergehende Angriffe auf die gesamte IT-Infrastruktur eines Unternehmens.
---
### Systematisches Problem, keine Einzelfälle
Sicherheitsforschern zufolge handelt es sich nicht um isolierte Vorfälle, sondern um ein **strukturelles Problem** im Umgang mit sensitiven Konfigurationsdaten. Automatisierte Scanning-Tools durchsuchen das Internet kontinuierlich nach öffentlich zugänglichen Repositories, Konfigurationsdateien und JavaScript-Bundles – und finden dabei regelmäßig verwertbare Credentials.
**GitHub** und ähnliche Plattformen haben zwar eigene Mechanismen eingeführt, um versehentlich hochgeladene Secrets zu erkennen und zu melden. Dennoch bleibt die Dunkelziffer hoch, da viele Leaks außerhalb dieser Plattformen stattfinden – direkt auf produktiven Webservern.
---
### Gegenmaßnahmen für Betreiber
Sicherheitsexperten empfehlen eine Reihe konkreter Maßnahmen:
- **Keine Zugangsdaten im Quellcode** – stattdessen Umgebungsvariablen oder dedizierte Secret-Management-Systeme wie **HashiCorp Vault** oder die Cloud-Lösungen von **AWS**, **Azure** oder **Google Cloud** nutzen
- **Regelmäßige automatisierte Scans** des eigenen Codes und der öffentlich erreichbaren Webinhalte
- Credentials grundsätzlich mit **minimalen Berechtigungen** ausstatten
- Zugangsdaten **regelmäßig rotieren**, um den potenziellen Schaden im Ernstfall zu begrenzen
---
### Relevanz für deutsche Unternehmen
Für deutsche Unternehmen ist der Befund ein erneuter Hinweis darauf, dass technische Sicherheitsmaßnahmen nicht beim Perimeterschutz enden dürfen. Gerade **mittelständische Betriebe**, die Webprojekte mit externen Dienstleistern oder kleineren Entwicklungsteams umsetzen, sollten **Credential-Management als festen Bestandteil ihrer Sicherheitsrichtlinien** verankern.
> Im Kontext der **NIS2-Richtlinie**, die seit Oktober 2024 für viele Unternehmen in der EU verbindlich gilt, können solche Versäumnisse zudem regulatorische Konsequenzen nach sich ziehen.
---
*Quelle: [New Scientist Tech](https://www.newscientist.com/article/2520143-security-credentials-inadvertently-leaked-on-thousands-of-websites/?utm_campaign=RSS%7CNSNS&utm_source=NSNS&utm_medium=RSS&utm_content=technology)*
Tausende Websites haben versehentlich Zugangsdaten öffentlich preisgegeben
