Mobile-Menu

GitHub-Repositories Offengelegte Zugangsdaten bleiben jahrelang nutzbar

Von Marvin Djondo-Pacham 3 min Lesedauer

Truffle Security hat in öffentlichen GitHub-Repositories mehr als 543.000 gültige Zugangsdaten gefunden. Viele der Schlüssel und Tokens seien bereits seit Jahren öffentlich zugänglich gewesen.

Offengelegte API-Schlüssel und Zugriffstoken sind ein hohes Sicherheitsrisiko. Ihr Widerruf ist deshalb ebenso wichtig wie der Schutz vor einer Veröffentlichung.(Bild: KI-generiert)
Offengelegte API-Schlüssel und Zugriffstoken sind ein hohes Sicherheitsrisiko. Ihr Widerruf ist deshalb ebenso wichtig wie der Schutz vor einer Veröffentlichung.
(Bild: KI-generiert)

Eine Untersuchung von Truffle Security zeigt, wie lange offengelegte Zugangsdaten nutzbar bleiben und wo technische Schutzmaßnahmen gegen Secret-Leaks an ihre Grenzen stoßen. Die Sicherheitsforscher analysierten eigenen Angaben nach einen Datenbestand mit 224 Millionen GitHub-Repositories und mehr als 58 Milliarden Dateien. Der zugrunde liegende Crawl erfasste öffentlich zugänglichen Code bis zum 7. August 2025. Bei einer Überprüfung am 27. und 28. Juli 2026 funktionierten noch 543.699 einzigartige Zugangsdaten aus diesem Bestand.

Offengelegt, aber nicht ungültig gemacht

Im Median waren die gefundenen Zugangsdaten laut Untersuchung 784 Tage öffentlich zugänglich. Rund zehn Prozent waren älter als 6,3 Jahre. Das älteste gefundene Secret stammte aus dem Jahr 2009.

Damit liegt das Problem nicht allein in der Veröffentlichung sensibler Daten. Auch der anschließende Widerruf beziehungsweise Austausch bleibt offenbar häufig aus. Ein einmal offengelegter Schlüssel kann deshalb noch lange ein Zugriffsrisiko darstellen.

Push Protection reduziert Leaks

Als eine Möglichkeit, die verhindern soll, dass Entwickler bestimmte API-Schlüssel und Zugriffstoken versehentlich veröffentlichen, nennt Truffle GitHubs Push Protection. Die Funktion prüft Inhalte beim Hochladen und kann den Vorgang blockieren, wenn sie ein unterstütztes Secret-Muster erkennt. Seit Februar 2024 ist sie standardmäßig für öffentliche Pushes aktiviert.

In den von der Funktion unterstützten Kategorien sank die Rate offengelegter Zugangsdaten nach der standardmäßigen Aktivierung laut Truffle um 53 Prozent. Die Ergebnisse sprechen damit für die Wirksamkeit des Schutzes innerhalb seiner Abdeckung. Allerdings gehörten 51,8 Prozent der gefundenen gültigen Zugangsdaten zu Kategorien, die GitHubs standardmäßige Push Protection laut Untersuchung nicht blockiert. Dazu zählen Datenbank-Verbindungszeichenfolgen und Google-API-Schlüssel.

Insgesamt wurden 199.843 der später als gültig identifizierten Secrets nach der standardmäßigen Aktivierung offengelegt. Das entspricht 36,8 Prozent aller Funde. Diese Zahl allein ist den Experten nach jedoch kein Beleg für ein Versagen der Funktion. Entscheidend ist auch, ob der jeweilige Secret-Typ überhaupt zu den unterstützten Kategorien gehört. Bereits veröffentlichte Zugangsdaten macht Push Protection zudem nicht nachträglich ungültig.

Cloud-Zugangsdaten besonders häufig noch nutzbar

Deutliche Unterschiede zeigten sich zwischen einzelnen Diensten. Von 101.886 offengelegten npm-Tokens funktionierte zum Zeitpunkt der Prüfung nur noch eines. Bei Google-Cloud-Dienstkonten war der Anteil wesentlich höher. Von 126.963 gefundenen Zugangsdaten waren noch 69.041 gültig, also rund 54 Prozent. Welche Zugriffe damit möglich waren, hängt unter anderem von den zugewiesenen Berechtigungen und weiteren Sicherheitskontrollen ab.

Die Untersuchung belegt nicht, dass Angreifer die gefundenen Zugangsdaten tatsächlich genutzt haben. Auch konkrete Schadenssummen oder die Zahl kompromittierter Unternehmen lassen sich daraus nicht ableiten. Öffentliche Verfügbarkeit und fortbestehende Gültigkeit zeigen ein Risiko, sind aber nicht mit einem nachgewiesenen Einbruch gleichzusetzen.

Widerruf hat Vorrang vor der Repository-Bereinigung

Für betroffene Unternehmen ist der wichtigste Schritt, offengelegte Schlüssel und Tokens beim jeweiligen Dienst zu widerrufen oder zu ersetzen. Das Löschen aus der aktuellen Dateiversion genügt nicht. Secrets können weiterhin in der Git-Historie, in Forks oder in bereits heruntergeladenen Kopien vorhanden sein.

Truffle empfiehlt deshalb, Zugangsdaten unverzüglich zu erneuern, Repositories einschließlich ihrer Historie zu prüfen und automatische Ablaufzeiten einzurichten. Ergänzend können kurzlebige Zugangsdaten, restriktive Berechtigungen und Secret-Scans in Entwicklungs- und CI/CD-Prozessen das Risiko begrenzen. Zugriffsprotokolle sollten außerdem auf Hinweise auf unbefugte Nutzung geprüft werden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die Befunde unterstreichen damit eine zentrale Anforderung an das Secret-Management: Die Veröffentlichung zu verhindern ist nur eine Schutzebene. Ebenso wichtig ist ein verlässlicher Prozess, der offengelegte Zugangsdaten schnell ungültig macht.

(ID:50979321)

Weiterführende Inhalte