Unternehmen setzen bei der Suche nach offengelegten Zugangsdaten meist auf den Quellcode und ihre CI/CD-Pipelines. Doch Beispiele aus der Praxis zeigen, dass auch Kollaborationstools zu gefährlichen Sicherheitsrisiken werden können.
Foto: Cycode
Jochen Koehler, Vice President of EMEA Sales bei Cycode
Die Arbeit mit sogenannten Secrets gehört zum Alltag in der Softwareentwicklung. Ob Passwörter, API-Keys oder Zertifikate – sie erleichtern Anwendungen den Zugriff auf Datenbanken, Services oder Cloud-Ressourcen. Häufig landen diese Informationen unbedacht im Quellcode und werden beim Einchecken in Repositories übersehen. Doch Secrets Exposure beschränkt sich nicht auf Source Code Management oder CI/CD-Umgebungen. Wie drei konkrete Vorfälle zeigen, reicht die Gefahr deutlich weiter.
Ein Fintech-Startup bemerkte eine Kompromittierung seiner Cloud-Umgebung. Die Ursache lag nicht im Code, sondern in einem Slack-Channel: Ein Entwickler hatte AWS-Zugangsdaten gepostet. Über eine Webhook-Integration wurden diese Nachrichten in einem externen Service protokolliert – und damit auch Dritten zugänglich.
Ein SaaS-Unternehmen nutzte Jira zur Bearbeitung von IT-Incidents. Bei einem Ticket hängte ein Entwickler eine Konfigurationsdatei an, die sensible Daten für die Datenbankverbindung enthielt. Da Jira solche Dateien langfristig speichert und breit zugänglich macht, lagen die Informationen monatelang offen – entdeckt erst durch eine Sicherheitsübung.
Ein Anbieter von Enterprise-Software setzte Teams für automatisierte DevOps-Benachrichtigungen ein. Zur Analyse fehlerhafter Builds posteten Entwickler API-Keys in den Chat. Da Teams Nachrichten unbegrenzt speichert und keine integrierte Secrets-Erkennung besitzt, blieben diese Daten für alle mit Zugriff auf die Historie einsehbar.
Die Beispiele machen deutlich, dass klassische Ansätze zur Secrets Detection nicht ausreichen. Systeme, die nur mit regulären Ausdrücken nach bekannten Mustern suchen, stoßen bei generischen Secrets schnell an Grenzen. Zudem drohen zahlreiche False Positives, die Ressourcen binden.
Eine moderne Application Security Platform (ASP) müsse daher auch Non-Code-Tools wie Slack, Teams oder Jira überwachen und Secrets in Echtzeit identifizieren. Kontextinformationen wie Speicherort, Autor und Metadaten seien entscheidend, um Vorfälle effizient zu beheben.
Die KI-native Application Security Platform von Cycode erkennt und markiert Secrets im Code mit hoher Genauigkeit und Zuverlässigkeit. (Quelle: Cycode)
„Unternehmen müssen sich im Klaren darüber sein, dass nicht nur Anwendungen selbst anfällig für die Secrets Exposure sind“, warnt Jochen Koehler, Vice President of EMEA Sales bei Cycode. „Durch die immer größere Tool-Landschaft und die extensive Nutzung von Kollaborations-Apps lauert die Gefahr einer Offenlegung sensibler Daten quasi überall. Daher benötigen sie eine intelligente Lösung, die sämtliche, innerhalb des Software Development Lifecycles eingesetzte Applikationen durchforstet. Nur so bleiben Geheimnisse auch wirklich geheim.“
