Ein scheinbar harmloser Lernkarten-Dienst wurde zur unfreiwilligen Leckagestelle für Sicherheitscodes einer US-Bundesbehörde. Der Vorfall offenbart ein strukturelles Problem, das Unternehmen und Behörden weltweit betrifft – und das keine Firewall der Welt allein lösen kann.
Sicherheitscodes der US-Grenzschutzbehörde wohl über Lernkarten-Plattform aufgetaucht
Lernkarten mit Behördendaten
Auf der Plattform Quizlet, die weltweit für das Erstellen und Teilen digitaler Lernkarten genutzt wird, sind offenbar Facility Codes des US Customs and Border Protection (CBP) aufgetaucht. Diese Codes dienen der Zugangskontrolle an gesicherten Einrichtungen der Grenz- und Zollbehörde, die dem Department of Homeland Security untersteht. Ersten Berichten zufolge enthielten die öffentlich abrufbaren Karten Informationen über Gate-Sicherheitssysteme an CBP-Standorten.
Die Daten scheinen nicht von externen Angreifern gestohlen worden zu sein – stattdessen deutet alles darauf hin, dass Mitarbeitende oder Auszubildende die Codes selbst in Lernkarten eingetragen haben, um sich auf interne Prüfungen oder Schulungen vorzubereiten. Das Ergebnis: potenziell sicherheitskritische Informationen lagen öffentlich im Netz, abrufbar für jeden mit einem Internetzugang.
Die größte Sicherheitslücke sitzt oft nicht im System – sondern im Arbeitsalltag.
Das eigentliche Problem: Schatten-IT im Lernalltag
Der Vorfall illustriert ein strukturelles Problem, das weit über Behörden hinausgeht. Mitarbeitende nutzen regelmäßig externe, kostenlose Tools für berufliche Aufgaben – ob Cloud-Speicher, Kommunikations-Apps oder eben Lernplattformen. Dabei fehlt häufig das Bewusstsein dafür, welche Inhalte als sensibel einzustufen sind und welche Plattformen dafür nicht geeignet sind.
Quizlet selbst ist kein Sicherheitstool und erhebt keinen Anspruch darauf. Die Plattform ist auf das Teilen von Lerninhalten ausgelegt – öffentliche Sichtbarkeit ist oft der Standard, nicht die Ausnahme. Wer dort Inhalte ablegt, ohne die Datenschutzeinstellungen aktiv zu konfigurieren, stellt diese im Zweifel der gesamten Öffentlichkeit zur Verfügung.
Kein Einzelfall
Ähnliche Vorfälle sind in der Vergangenheit wiederholt dokumentiert worden:
- Fitness-Apps zeichneten Trainingsrouten von Soldaten auf – und machten dabei militärische Standortdaten sichtbar.
- LinkedIn-Profile ermöglichten die Rekonstruktion interner Unternehmensstrukturen.
- Lernplattformen wie im aktuellen Fall werden zur unbeabsichtigten Veröffentlichungsplattform für interne Daten.
Die Gemeinsamkeit: In keinem dieser Fälle war ein klassischer Cyberangriff der Ausgangspunkt. Die Information gelangte durch menschliches Verhalten nach außen – durch Unachtsamkeit, nicht durch böse Absicht.
Technische Abwehrmaßnahmen allein greifen hier nicht. Firewalls und Verschlüsselung schützen nicht davor, dass ein Mitarbeiter sensible Inhalte in ein externes System eingibt.
Einordnung für deutsche Unternehmen
Für Unternehmen im deutschsprachigen Raum ist der Vorfall ein konkreter Anlass zur Überprüfung interner Richtlinien. Besonders in Bereichen, in denen Mitarbeitende mit Zugangsdaten, Sicherheitsprotokollen oder internen Kennzahlen umgehen, sollte klar geregelt sein, welche Tools für welche Informationsklassen zulässig sind.
Die Datenschutz-Grundverordnung (DSGVO) verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten – doch das Prinzip lässt sich auf alle schutzbedürftigen Informationen übertragen. Praktische Schutzmaßnahmen umfassen dabei:
- Awareness-Trainings für Mitarbeitende auf allen Ebenen
- Klare Klassifizierungsschemata für unterschiedliche Datenkategorien
- Gepflegte Listen genehmigter Tools (Allow-Lists) für den Arbeitsalltag
Diese Maßnahmen sind keine bürokratischen Zusatzlasten – sie sind der einzige wirksame Schutz gegen Lecks, die nicht aus Angriffslust, sondern aus dem ganz normalen Arbeitsalltag entstehen.
Quelle: Ars Technica – CBP facility codes sure seem to have leaked via online flashcards
