Sicherheitsforscher haben auf Tausenden öffentlich zugänglichen Websites versehentlich eingebettete API-Keys, Passwörter und Authentifizierungsdaten entdeckt. Die Schwachstellen öffnen Angreifern Tür und Tor zu Cloud-Diensten, Datenbanken und sensiblen Unternehmensdaten – und die Betroffenen wissen oft monatelang nichts davon.
Tausende Websites exponieren API-Keys und Zugangsdaten – Sicherheitsforscher schlagen Alarm
Weitverbreitetes Problem durch fahrlässige Entwicklungspraktiken
Die Untersuchung, über die New Scientist berichtet, legt ein strukturelles Problem in der modernen Webentwicklung offen: Entwickler hinterlassen Zugangsdaten häufig direkt im Frontend-Code von Websites – sei es aus Nachlässigkeit, Zeitdruck oder mangelndem Sicherheitsbewusstsein. Solche Credentials sind dann für jeden sichtbar, der den Quelltext einer Seite öffnet oder Browser-Entwicklertools nutzt.
Betroffen sind unter anderem Keys für bekannte Cloud-Plattformen wie AWS, Google Cloud und Azure, aber auch Zugangsdaten für Zahlungsdienstleister, Datenbanken und Kommunikations-APIs. Einmal kompromittiert, können diese Credentials genutzt werden, um Datenbankabfragen durchzuführen, Cloud-Ressourcen auf Kosten des Unternehmens zu betreiben oder vertrauliche Kundendaten abzugreifen.
Automatisiertes Scanning macht Angriffe skalierbar
Das Zeitfenster zwischen Veröffentlichung und Missbrauch eines leakenden API-Keys beträgt teilweise nur wenige Minuten.
Die manuelle Suche nach solchen Schwachstellen ist längst nicht mehr notwendig. Automatisierte Tools durchsuchen kontinuierlich das öffentliche Web sowie Code-Repositories wie GitHub nach exponierten Credentials. Angreifer können mit minimalem Aufwand systematisch und in großem Maßstab vorgehen.
Erschwerend kommt hinzu, dass viele betroffene Unternehmen von der Exposition ihrer Zugangsdaten gar nichts wissen. Ohne aktives Monitoring von Logs und API-Aktivitäten bleiben unbefugte Zugriffe oft über Wochen oder Monate unentdeckt.
Typische Einfallstore und technische Ursachen
In vielen Fällen werden API-Keys direkt in JavaScript-Dateien eingebettet, die der Browser des Endnutzers lädt – und damit öffentlich zugänglich sind. Weitere häufige Fehlerquellen:
- Fehlkonfigurierte Build-Prozesse, bei denen Umgebungsvariablen aus
.env-Dateien fälschlicherweise in den öffentlichen Code-Bundle gelangen - Copy-Paste-Fehler beim Übernehmen von Code aus Tutorials oder Dokumentationen, die Platzhalter-Credentials enthalten
- Veraltete Repositories und Branches, in denen Zugangsdaten nie rotiert wurden
Gegenmaßnahmen: Technisch und organisatorisch
Auf technischer Ebene empfehlen Sicherheitsexperten den Einsatz dedizierter Secret-Management-Lösungen wie HashiCorp Vault, AWS Secrets Manager oder Azure Key Vault. API-Keys sollten grundsätzlich serverseitig verwaltet und nie in clientseitigem Code exponiert werden.
Regelmäßige automatisierte Scans des eigenen Codes – etwa über Tools wie GitGuardian oder TruffleHog – helfen, Leaks frühzeitig zu identifizieren, bevor Angreifer sie ausnutzen können.
Organisatorisch ist die Einführung verpflichtender Code-Reviews mit Security-Fokus sowie die Schulung von Entwicklungsteams im sicheren Umgang mit Zugangsdaten essenziell.
Einordnung für deutsche Unternehmen: Auch eine DSGVO-Frage
Für Unternehmen in Deutschland und der EU ist das Thema auch rechtlich brisant: Exponierte Zugangsdaten, die zu einem Datenschutzverstoß führen, sind nach DSGVO meldepflichtig – mit potenziellen Bußgeldern bei verzögerter oder unterlassener Meldung an die zuständige Aufsichtsbehörde.
IT-Verantwortliche sollten den eigenen Webauftritt und öffentlich zugängliche Code-Repositories zeitnah auf exponierte Credentials prüfen und Prozesse etablieren, die solche Schwachstellen systematisch verhindern.
Quelle: New Scientist Tech
