Folge 11 von 13 · Anatomie eines Hacks
Der Freigabe-Link wäre bis 2051 gültig gewesen.
Kein Angriff, kein Einbruch. Jemand hatte beim Teilen einen Haken falsch gesetzt.
Ein Forschungsteam bei einem der größten Softwarekonzerne der Welt will Trainingsdaten bereitstellen. Ganz normale Arbeit. Jemand erzeugt dafür einen Freigabe-Link auf einen Cloud-Speicher.
- Der Link war weiter gefasst als beabsichtigt: Statt auf den einen Ordner gab er Zugriff auf den gesamten Speicher.
- Und er war nicht auf Lesen beschränkt. Wer ihn hatte, konnte Dateien auch ändern und löschen.
- In diesem Speicher lagen unter anderem die Sicherungen zweier Arbeitsrechner – mit Passwörtern, privaten Schlüsseln und über 30.000 internen Chat-Nachrichten.
- Der Link ging im Oktober 2021 online. Bemerkt hat ihn im Juni 2023 ein externes Sicherheitsteam. Als Ablaufdatum war das Jahr 2051 eingetragen.
Die Folgen
- rund 38 Terabyte interne Daten frei zugänglich
- etwa 20 Monate lang, ohne dass es intern jemandem auffiel
- die Rechte erlaubten nicht nur Lesen, sondern auch Ändern und Löschen
Warum ich diese Geschichte teile
Weil in dieser Serie bisher zehnmal jemand eingebrochen ist. Hier nicht. Hier stand die Tür offen – und niemand hat es gemerkt, weil eine falsche Freigabe nichts kaputt macht. Alles funktioniert weiter. Genau das ist das Tückische. Drei Punkte:
- Freigabe-Links brauchen ein Ablaufdatum. Wer ohne teilt, teilt auf unbestimmte Zeit. 30 Tage als Standard kosten nichts und sind im Zweifel schnell verlängert.
- Teilen Sie nur, was gemeint ist. Die Datei statt des Ordners, Lesen statt Bearbeiten. Jeweils ein Klick Unterschied – und im Ernstfall der ganze Schaden.
- Sehen Sie einmal im Jahr nach, was noch offen ist. Die gängigen Dienste können bestehende Freigaben auflisten. Erfahrungsgemäß ein unangenehmer Nachmittag.
Das ist übrigens kein Argument gegen die Cloud. Der betroffene Konzern hat mehr Sicherheitsleute als fast jedes andere Unternehmen. Es war keine Schwäche der Technik, sondern eine Einstellung.
Die gute Nachricht: Offene Freigaben lassen sich finden – von außen leichter, als vielen lieb ist. Bei einem Penetrationstest gehört genau das dazu: Was ist von Ihrem Unternehmen erreichbar, ohne dass jemand auch nur ein Passwort braucht?
Ehrliche Frage: Wüssten Sie, wie viele Freigabe-Links in Ihrem Unternehmen gerade aktiv sind – und wann der älteste davon erstellt wurde?
Quelle: öffentlich dokumentiert (versehentlich offene Cloud-Freigabe bei Microsoft, 2023; u. a. Bericht des entdeckenden Sicherheitsunternehmens, Stellungnahme des Microsoft Security Response Center, heise online).