Lieferanten & Softwareentwicklung · SUP-04
Repository versehentlich veröffentlicht
Ein internes Code-Repository war oder ist öffentlich einsehbar, etwa nach einer geänderten Sichtbarkeit, durch einen öffentlichen Fork oder eine Kopie auf einer privaten Plattform. Damit können Quellcode, Konfiguration und darin enthaltene Zugangsdaten für Unbefugte sichtbar sein.
Erste 15 Minuten
Sofortmaßnahmen.
- Sichtbarkeit eines Repositorys auf öffentlich gestellt
- Interner Code in ein privates Konto kopiert
- Öffentlicher Fork eines internen Projekts
- Hinweis von außen auf auffindbaren Firmencode
- 01
Wenn du berechtigt bist, die Sichtbarkeit sofort auf privat stellen und den Zeitpunkt notieren. Gleichzeitig melden, nicht stillschweigend.
- 02
Festhalten, seit wann das Repository öffentlich war, soweit das erkennbar ist.
- 03
Alle Zugangsdaten und Schlüssel, die im Repository oder seiner Historie stehen, als bekannt behandeln.
- 04
Nichts aus der Historie löschen und keine Commits umschreiben, bevor die IT den Stand gesichert hat.
- 05
Sofort melden, auch wenn das Repository nur kurz öffentlich war.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister und die Leitung der Softwareentwicklung. Bei personenbezogenen Daten oder Kundencode zusätzlich Datenschutz-Ansprechperson und Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Repository und Plattform genau benennen.
Was bereithalten
- Welches Repository auf welcher Plattform betroffen ist
- Seit wann und wie lange es öffentlich war
- Ob es Zugangsdaten, Schlüssel oder Konfiguration enthält
- Ob personenbezogene Daten oder Kundencode enthalten sind
- Ob Forks oder Kopien entstanden sind
Häufige Fehler
Nicht tun.
-
Das Repository still wieder auf privat stellen und den Fall für erledigt halten.
-
Die Historie bereinigen, bevor die enthaltenen Schlüssel gewechselt sind.
-
Personen, die einen Fork erstellt haben, eigenständig anschreiben.
-
Das Repository löschen, um die Spuren zu beseitigen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT wechselt alle Zugangsdaten und Schlüssel, die im Repository oder seiner Historie enthalten waren.
-
Die Protokolle der Plattform werden auf Zugriffe, Klone und Forks während der öffentlichen Phase geprüft.
-
Sind personenbezogene Daten betroffen, folgt die Bewertung nach Art. 33 DSGVO durch die Datenschutz-Ansprechperson.
-
Die Geschäftsführung entscheidet, ob Kunden oder Partner zu informieren sind, deren Code oder Daten betroffen waren.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Die Historie veröffentlicht mehr als der aktuelle Stand
Wer ein Repository öffentlich macht, veröffentlicht seine gesamte Historie. Darin stehen Zugangsdaten, die vor Jahren eingecheckt und später entfernt wurden, interne Hostnamen, Kommentare zu bekannten Schwachstellen und gelegentlich Testdaten mit echten Kundendatensätzen. Der aktuelle Stand sieht oft unverdächtig aus. Die Historie ist es selten.
Deshalb gilt nach einer Veröffentlichung jeder Schlüssel als bekannt, der jemals im Repository stand. Die Rotation dieser Schlüssel ist die wichtigste Maßnahme, wichtiger als die Frage, wer das Repository tatsächlich angesehen hat.
Zurückstellen ja, verschweigen nein
Die Sichtbarkeit sofort zurückzunehmen ist richtig, weil es die weitere Verbreitung begrenzt. Den Vorfall beendet es nicht. Klone und Forks aus der öffentlichen Phase bleiben bestehen, und Suchmaschinen oder Code-Archive können Inhalte bereits erfasst haben.
Darum gehört zur Rücknahme die Meldung mit dem Zeitpunkt. Ohne diese Angabe kann die IT das Zeitfenster für die Protokollprüfung nicht bestimmen, und die Datenschutz-Ansprechperson kann die 72-Stunden-Frist nach Art. 33 DSGVO nicht verlässlich einhalten, falls personenbezogene Daten im Repository lagen.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.