Lieferanten & Softwareentwicklung · SUP-03
Zugangsdaten oder Secrets veröffentlicht
Ein Passwort, ein API-Schlüssel, ein Token oder ein privater Schlüssel ist an einer Stelle gelandet, die andere einsehen können. Typisch sind ein Commit im Repository, ein Ticket, ein Chatverlauf oder eine Konfigurationsdatei in einem geteilten Ordner.
Erste 15 Minuten
Sofortmaßnahmen.
- API-Schlüssel versehentlich ins Repository committet
- Zugangsdaten in einem Ticket oder Chat gepostet
- Konfigurationsdatei mit Passwörtern geteilt
- Warnung eines Dienstes über einen gefundenen Schlüssel
- 01
Den Schlüssel oder das Passwort sofort widerrufen oder wechseln, wenn du dazu berechtigt bist. Das Löschen der Fundstelle allein reicht nicht.
- 02
Ohne Berechtigung sofort die Person erreichen, die den Schlüssel sperren kann. Bis dahin hat das Vorrang vor allem anderen.
- 03
Fundstelle, Zeitpunkt der Veröffentlichung und betroffenen Dienst notieren.
- 04
Den Commit oder Beitrag nicht eigenmächtig aus der Historie entfernen, bevor die IT den Stand gesichert hat.
- 05
Melden, auch wenn der Schlüssel bereits gewechselt ist.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister und die Verantwortlichen für den betroffenen Dienst. Bei Zugang zu Kunden- oder Produktivsystemen zusätzlich die Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Den Schlüssel selbst nicht in die Meldung kopieren, nur Fundstelle und Dienst nennen.
Was bereithalten
- Welcher Schlüssel für welchen Dienst betroffen ist
- Wo und seit wann er sichtbar war
- Wer die Fundstelle einsehen konnte
- Ob der Schlüssel bereits widerrufen oder gewechselt ist
- Welche Rechte der Schlüssel hatte
Häufige Fehler
Nicht tun.
-
Nur den Commit löschen oder die Historie umschreiben und den Schlüssel weiter verwenden.
-
Den Schlüssel per Mail oder Chat weitergeben, um den Fall zu erklären.
-
Abwarten, weil die Fundstelle nur intern sichtbar ist. Auch intern erreicht sie mehr Personen als nötig.
-
Den neuen Schlüssel wieder an derselben Stelle ablegen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT prüft die Protokolle des Dienstes auf Zugriffe mit dem Schlüssel seit dem Zeitpunkt der Veröffentlichung.
-
Abhängige Systeme werden auf den neuen Schlüssel umgestellt, der alte bleibt dauerhaft gesperrt.
-
Die Fundstelle wird bereinigt. Secrets werden künftig in einem dafür vorgesehenen Tresor verwaltet.
-
Wesentliche und wichtige Einrichtungen nach NISG 2026 prüfen, ob ein erheblicher Cybersicherheitsvorfall vorliegt, der nach § 34 zu melden ist.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Löschen macht einen Schlüssel nicht wieder geheim
Ein Commit lässt sich entfernen, eine Nachricht im Chat ebenso. Der Schlüssel darin ist trotzdem verbrannt. Versionsverwaltungen behalten ältere Stände, Forks und lokale Klone bestehen weiter, Benachrichtigungen und Backups haben den Inhalt längst kopiert. Öffentliche Repositories werden zudem laufend automatisiert nach Zugangsschlüsseln durchsucht, oft innerhalb von Minuten nach dem Hochladen.
Die einzige Maßnahme, die den Schlüssel tatsächlich entwertet, ist der Widerruf beim Dienst selbst. Deshalb steht er an erster Stelle, vor dem Aufräumen der Fundstelle.
Die Rechte des Schlüssels bestimmen den Schaden
Ein Lesezugriff auf ein Testsystem und ein Administratorschlüssel für die Cloud-Umgebung sind sehr unterschiedliche Fälle. Für die Bewertung braucht die IT deshalb drei Angaben: wofür der Schlüssel gilt, welche Rechte er hat und wie lange er sichtbar war.
Aus diesen Angaben folgt, welche Protokolle zu prüfen sind. Ein Zugriff mit einem gültigen Schlüssel sieht in den Protokollen aus wie normaler Betrieb. Erst der Abgleich mit dem Zeitfenster der Veröffentlichung macht ihn auffällig.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.