Cloud-Sicherheit: 64.024 aktive AWS-Keys mit Admin-Rechten gefunden
Veröffentlicht am: 26.08.2026 um 00:01 Uhr | Redaktion boerse-global.de
Ein folgenschwerer Fehler im Umgang mit Cloud-Dokumenten hat beim Unternehmen Pageloot zur Offenlegung sensibler Zugangsdaten geführt. Wie aktuelle Berichte zeigen, hatte ein externer Auftragnehmer Staging-Zugangsdaten in einem Google Doc gespeichert und die Freigabeoption „Jeder mit dem Link“ aktiviert. Da Google Search das Dokument indexierte, wurden die sensiblen Informationen über die Autocomplete-Funktion der Suchmaschine für Dritte sichtbar.
Nach Bekanntwerden des Vorfalls reagierte das Unternehmen umgehend. Der Zugriff auf das betroffene Dokument wurde gesperrt und sämtliche darin enthaltenen Passwörter wurden rotiert. Als Konsequenz aus dem Datenleck führte Pageloot eine neue Sicherheitsrichtlinie ein: Die Speicherung von Passwörtern in Plattformen wie Google Docs, Slack oder Notion ist fortan untersagt.
Google Docs ist zwar standardmäßig in seinen Zugriffsrechten eingeschränkt, doch öffentliche Links können durch Suchmaschinen erfasst werden, sobald sie an öffentlich zugänglichen Stellen geteilt werden.
Physische und interne Sicherheitsrisiken im Fokus
Der Vorfall bei Pageloot steht in einer Reihe von Sicherheitsmängeln, die den menschlichen Faktor als zentrale Schwachstelle identifizieren. Das Unternehmen berichtete zudem von einem ehemaligen Mitarbeiter, dessen Zugriffsrechte nicht rechtzeitig widerrufen worden waren. Dieser nutzte den verbliebenen Zugang, um QR-Codes eines Einzelhändlers auf die Webpräsenz eines Konkurrenten umzuleiten.
Ein ähnliches Muster mangelnder Vorsicht zeigte sich bei Wytlabs. Dort hatte die IT-Abteilung Haftnotizen mit Zugangsdaten direkt auf Laptops in einem Konferenzraum platziert. Ein Auftragnehmer fotografierte diese Notizen ab und verschaffte sich anschließend per Fernzugriff unberechtigten Zugang zu proprietären Daten.
Wer sich mit der Sicherheit digitaler Zugänge befasst, sollte den Browser oder einfache Textdateien als Speicherort meiden. Dieser kostenlose Guide erklärt Schritt für Schritt, wie Sie alle Ihre Passwörter sicher und verschlüsselt auf Ihrem eigenen Computer verwalten. KeePassXC-Anleitung jetzt gratis herunterladen
Experten werteten diesen Vorfall als Beleg für die dringende Notwendigkeit, Zugangsdaten ausschließlich verschlüsselt zu übermitteln und Zugriffsberechtigungen konsequent zu entziehen.
Massive Gefährdung von Cloud-Infrastrukturen
Die Dimensionen von Identitätsdiebstahl und unsicheren Zugangsdaten gehen jedoch weit über Einzelfälle hinaus. Eine Analyse von Truffle Security verdeutlicht das Ausmaß: In 431.875 Funden konnten 64.024 verifizierte AWS-Keys identifiziert werden.
Davon waren 88 Prozent zum Zeitpunkt der Untersuchung noch aktiv. Besonders kritisch bewerten Analysten das Alter dieser Schlüssel, das im Mittel bei fünf Jahren liegt. Lediglich 14 Prozent der Schlüssel wurden bisher rotiert.
Die Untersuchung ergab zudem, dass 84 Prozent dieser Schlüssel über Administrator-Berechtigungen verfügen und jeder sechste ein Root-Key ist. Selbst von jenen Schlüsseln, die sich bereits in der AWS-Quarantäne befanden, blieben 929 weiterhin aktiv. Allein bei Hugging Face wurden 3.343 aktive AWS-Keys identifiziert, wobei über 900 einen S3-Zugriff ermöglichten, der potenziell 51,7 Terabyte an privaten Daten gefährdete.
Der Schutz vor Identitätsdiebstahl und Datenklau erfordert moderne Sicherheitslösungen, die Passwörter überflüssig machen. Ein kostenloser Report zeigt, wie Sie die neue Passkey-Technologie bei Diensten wie Amazon oder WhatsApp sofort einrichten. Gratis-Report: Sicher und passwortlos mit Passkeys
Technologische Wettrüsten bei Authentifizierungsmethoden
Die Bedrohungslage wird durch die Kommerzialisierung von Cyberkriminalität verschärft. Seit April 2026 wird eine „Phishing-as-a-Service“-Plattform namens Kali365 beobachtet, die gezielt OAuth-Tokens für Microsoft 365 entwendet.
Ein weiteres Toolkit, iAuthFlow v2, wird in einschlägigen Foren für einen Basispreis von 10.000 US-dollar gehandelt. Es ermöglicht Angreifern, nach der Kompromittierung einer Sitzung eigene Passkeys zu registrieren, wodurch der Zugriff selbst nach einem Passwort-Reset durch den rechtmäßigen Nutzer erhalten bleibt.
Gleichzeitig gewinnt die passwortlose Authentifizierung an Bedeutung. Die FIDO Alliance meldete im Mai 2026, dass weltweit bereits 5 Milliarden Passkeys existieren. Während 93 Prozent der untersuchten Konten diese Technologie unterstützen, nutzen bisher erst 26 Prozent der Anwender diese aktiv für Logins. In der Unternehmenswelt haben bereits 68 Prozent der Betriebe Passkeys adoptiert.
Inmitten dieser hochtechnologischen Entwicklung setzt Australia Post auf einen analogen Gegenentwurf: Das Unternehmen verkauft derzeit Passwort-Notizbücher für 4,90 beziehungsweise 5,90 US-Dollar, was in Fachkreisen eine Debatte über die Vorzüge der Offline-Speicherung gegenüber digitalem Identitätsdiebstahl durch Infostealer auslöste.
