Ein einziger versehentlich veröffentlichter API-Schlüssel genügt, um Ihre gesamte Infrastruktur zu kapern. Roboter durchsuchen die öffentlichen Ablagen wenige Minuten nach jedem neuen Commit.

Erste Prüfung anfragen Die vier Flächen

Auszug aus einem Bericht, fiktive Daten

Schritt	Ereignis	Frist
Öffentlicher Commit	versehentlich gepushte .env-Datei	T+0
Scan-Bot	Schlüssel entdeckt und getestet	T+4 Min.
Cloud-Konto	auf Ihre Kosten erzeugte Instanzen	T+2 Std.
Kundenstamm	Exfiltration	T+4 Std.

Eine .env-Datei außerhalb der .gitignore, und die ganze Infrastruktur hängt mit dran.

Die betroffenen Secrets

Diese Kategorie bündelt die gefährlichsten Geheimnisse: API-Schlüssel für AWS, GCP und Azure, Token für GitHub und GitLab, Schlüssel für Stripe und Twilio, Datenbankzugänge (MySQL, PostgreSQL, MongoDB), Umgebungsvariablen (.env), SSH-Schlüssel, private Zertifikate und Zugangscodes zu kritischer Infrastruktur.

Wie es dazu kommt

Die Hauptursache ist der versehentliche Commit: Eine Entwicklerin veröffentlicht eine .env-Datei oder schreibt einen Schlüssel fest in den Code. Auch nach der Löschung bleiben diese Daten in der Git-Historie und werden von spezialisierten Robotern archiviert. Man findet sie außerdem auf Textablageseiten, in öffentlichen Protokollen der fortlaufenden Integration, in Containerabbildern und in Technikforen.

Die Kettenreaktion

Ein offen liegender Cloud-Schlüssel kann binnen Stunden Hunderte Instanzen und eine Rechnung über Zehntausende Euro auslösen. Ein Zahlungstoken erlaubt betrügerische Erstattungen. Ein Datenbankzugang legt Ihren gesamten Kundenbestand offen. Solche Vorfälle können zu Erpressungssoftware, zum vollständigen Abfluss der Daten oder zu einem langen Ausfall führen.

Was wir tun

Wir durchsuchen die öffentlichen Ablagen auf GitHub, GitLab und Bitbucket, die zu Ihrer Organisation gehören, dazu Textablageseiten, Technikforen und einschlägige Leckbestände. Jedes gefundene Geheimnis löst eine Warnung samt Vorgehen aus: widerrufen, austauschen und die Zugriffe durchsehen, die vor der Entdeckung womöglich stattfanden.

Wie wir vorgehen

Schritt 01
Die Erhebung der Repositories
Durchsicht aller öffentlichen Repositories Ihrer Organisation, Historie eingeschlossen.
Schritt 02
Die Überwachung
Jede Woche eine Prüfung neuer Commits und Veröffentlichungen, und eine Warnung, wenn ein Secret auftaucht.
Schritt 03
Der Schlüsselwechsel
Widerrufsverfahren für jede Art von Secret, samt Prüfung der Zugriffe vor der Entdeckung.

Liegen Secrets in Ihren Repositories herum?

Eine Aufstellung Ihrer Organisationen auf GitHub und GitLab, beim ersten Audit kostenlos.

Erste Prüfung anfragen Stufen ansehen