Wer hat noch Ihren Cloud-Schlüssel? Was das AWS-Key-Leak für Unternehmen bedeutet
„Wissen Sie eigentlich, wer Ihren Cloud-Schlüssel noch alles hat?“ Hunderte geleakte Zugangsschlüssel geben Angreifern die volle Kontrolle über Unternehmenskonten — und die Ursache liegt selten in der Cloud selbst.
Sicherheitsforscher berichten regelmäßig von hunderten offen auffindbaren Cloud-Zugangsschlüsseln, mit denen sich Angreifer volle Kontrolle über Firmenkonten verschaffen können. Das Erschreckende daran: Es ist kein exotischer Hack, sondern ein Alltagsproblem. Zugangsdaten landen in öffentlichen Code-Repositories, in Log-Dateien, in vergessenen Testumgebungen — und werden von automatisierten Scannern binnen Minuten gefunden.
Das Problem sitzt nicht in der Cloud, sondern davor
Die großen Cloud-Plattformen sind in der Regel gut abgesichert. Die Schwachstelle ist der Umgang mit Zugangsschlüsseln und Geheimnissen (Secrets): hartkodierte Keys im Quellcode, geteilte Passwörter, Schlüssel ohne Ablaufdatum, fehlende Rechteschranken. Ein einziger geleakter Schlüssel mit weitreichenden Rechten genügt, um Daten abzuziehen, Ressourcen zu kapern oder Lösegeld zu fordern.
Was jetzt zu tun ist
- Secrets zentral verwalten: Schlüssel gehören in einen Secrets-Manager, nicht in den Code.
- Least Privilege: Jeder Schlüssel bekommt nur die Rechte, die er wirklich braucht.
- Rotation & Ablauf: Schlüssel regelmäßig automatisch erneuern und alte deaktivieren.
- Leak-Scanning: Repositories und Logs automatisiert auf offengelegte Secrets prüfen.
- Notfallplan: Wer merkt, dass ein Schlüssel abhandengekommen ist, muss ihn in Minuten sperren können — nicht in Tagen.
Cloud-Sicherheit ist zu 90 Prozent Hausaufgabe des Kunden, nicht des Anbieters. Wer seine Schlüssel im Griff hat, hat die Cloud im Griff. Alles andere ist eine offene Tür mit „Bitte eintreten“-Schild.