Moderne Unternehmen entwickeln Software schneller als jemals zuvor. GitHub, GitLab und andere Code-Plattformen gehören heute zum Alltag von Entwicklern, Administratoren und DevOps-Teams. Doch genau dort entsteht ein oft unterschätztes Sicherheitsproblem: Geheimnisse landen versehentlich im Quellcode.
API-Schlüssel, Cloud-Zugangsdaten, Datenbankkennwörter oder Konfigurationsdateien werden häufig unabsichtlich veröffentlicht. Manchmal geschieht dies in öffentlichen Repositories, manchmal in vergessenen Testprojekten oder alten Entwicklungszweigen.
Für Angreifer sind solche Informationen ein wertvoller Schatz. Mit den richtigen Zugangsdaten können Cloud-Systeme übernommen, Datenbanken ausgelesen oder interne Systeme kompromittiert werden.
Genau hier kann SpiderFoot helfen.
In diesem Teil unserer SpiderFoot-Serie betrachten wir, wie das Werkzeug öffentliche Entwicklerplattformen analysiert, potenzielle Geheimnisse erkennt und Unternehmen dabei unterstützt, versehentlich veröffentlichte Zugangsdaten frühzeitig zu entdecken.
Warum GitHub und GitLab ein Sicherheitsrisiko darstellen können
Entwickler arbeiten heute häufig nach dem Prinzip „Code first“.
Neue Projekte werden erstellt, getestet und in Repository-Systemen gespeichert.
Dabei entstehen regelmäßig Situationen wie:
- API-Schlüssel werden direkt im Quellcode hinterlegt
- Zugangsdaten werden in Konfigurationsdateien gespeichert
- Testdatenbanken enthalten echte Kennwörter
- Cloud-Zugangsdaten landen in Backup-Dateien
- Alte Commits enthalten sensible Informationen
Besonders problematisch ist, dass selbst gelöschte Dateien häufig weiterhin in der Historie eines Repositories vorhanden sind.
Ein Entwickler kann also glauben, einen Fehler korrigiert zu haben, während die sensiblen Informationen weiterhin öffentlich abrufbar bleiben.
Was SpiderFoot auf Entwicklerplattformen untersucht
SpiderFoot verfügt über verschiedene Module zur Analyse öffentlich zugänglicher Entwicklerdaten.
Dabei werden Informationen aus unterschiedlichen Quellen zusammengeführt.
Mögliche Untersuchungsobjekte sind:
- GitHub-Repositories
- GitLab-Projekte
- Entwicklerprofile
- Commit-Historien
- öffentliche Code-Snippets
- veröffentlichte Konfigurationsdateien
- bekannte Datenlecks
Das Ziel besteht nicht darin, Quellcode zu analysieren, sondern Hinweise auf veröffentlichte Zugangsdaten und sicherheitsrelevante Informationen zu identifizieren.
GitHub Intelligence – Informationen aus öffentlichen Repositories gewinnen
GitHub gehört zu den größten Code-Plattformen der Welt.
Millionen Entwickler veröffentlichen dort täglich neue Projekte.
SpiderFoot kann GitHub nutzen, um Informationen über eine Organisation zu sammeln.
Dabei können beispielsweise gefunden werden:
- Entwicklerkonten
- Organisationsprofile
- Projektnamen
- Referenzen auf Domains
- veröffentlichte E-Mail-Adressen
- Infrastrukturhinweise
Für Angreifer sind solche Informationen oft der erste Schritt einer umfassenden Reconnaissance-Phase.
Bereits die Kenntnis interner Projektnamen kann Hinweise auf Technologien, Serverstrukturen oder Cloud-Dienste liefern.
Versehentlich veröffentlichte API-Keys
API-Schlüssel gehören zu den häufigsten Geheimnissen, die unbeabsichtigt veröffentlicht werden.
Typische Beispiele sind:
- OpenAI API Keys
- AWS Access Keys
- Google Cloud Credentials
- Azure Access Keys
- Stripe API Keys
- Twilio Credentials
- SendGrid Tokens
- GitHub Personal Access Tokens
Viele Entwickler speichern solche Schlüssel zunächst in Konfigurationsdateien, um schneller arbeiten zu können.
Wird das Projekt später veröffentlicht, gelangen die Zugangsdaten versehentlich ins Internet.
SpiderFoot kann Hinweise auf solche Veröffentlichungen erkennen und entsprechende Warnungen erzeugen.
AWS-Zugangsdaten als besonders kritischer Fall
Cloud-Systeme stehen heute im Zentrum vieler IT-Infrastrukturen.
Besonders gefährlich sind daher veröffentlichte AWS-Zugangsdaten.
Ein kompromittierter AWS-Schlüssel kann Angreifern unter Umständen Zugriff auf:
- virtuelle Server
- S3-Buckets
- Datenbanken
- Backup-Systeme
- Netzwerkkomponenten
ermöglichen.
Bereits mehrfach haben Unternehmen durch versehentlich veröffentlichte AWS-Credentials erhebliche finanzielle Schäden erlitten.
SpiderFoot kann helfen, solche Risiken frühzeitig sichtbar zu machen.
Credential Exposure verstehen
Der Begriff Credential Exposure beschreibt die unbeabsichtigte Offenlegung von Zugangsdaten.
Dazu gehören:
- Benutzernamen
- Passwörter
- Tokens
- Zertifikate
- API-Keys
- SSH-Schlüssel
Die Ursachen sind häufig überraschend banal:
- Entwickler kopieren Konfigurationen in öffentliche Repositories.
- Testumgebungen werden veröffentlicht.
- Backup-Dateien landen im Webserver-Verzeichnis.
- Alte Entwicklungsstände werden vergessen.
Gerade in großen Teams verlieren Unternehmen oft den Überblick darüber, welche Informationen tatsächlich öffentlich zugänglich sind.
Secret Scanning mit SpiderFoot
Secret Scanning bezeichnet die automatisierte Suche nach Geheimnissen innerhalb öffentlich verfügbarer Datenquellen.
SpiderFoot unterstützt diesen Ansatz durch die Kombination verschiedener Module.
Das Werkzeug kann Hinweise auf:
- Zugangsdaten
- API-Tokens
- Cloud-Credentials
- Entwicklerkonten
- Datenlecks
zusammenführen und zentral auswerten.
Dadurch entsteht ein deutlich vollständigeres Bild als bei einer rein manuellen Recherche.
Praxisbeispiel: Die vergessene Testanwendung
Stellen wir uns vor, ein Unternehmen entwickelt eine interne Webanwendung.
Während der Entwicklung wird ein öffentliches GitHub-Repository verwendet.
Ein Entwickler speichert versehentlich folgende Informationen:
- Datenbankkennwort
- AWS Access Key
- SMTP-Zugangsdaten
Das Projekt wird später zwar privat gestellt, jedoch wurde zuvor ein Fork erstellt.
Dieser Fork bleibt weiterhin öffentlich verfügbar.
Ein Angreifer entdeckt das Repository, analysiert die Dateien und erhält Zugriff auf die veröffentlichten Zugangsdaten.
Genau solche Situationen gehören zu den häufigsten Ursachen moderner Sicherheitsvorfälle.
SpiderFoot kann dabei helfen, diese Risiken frühzeitig zu erkennen, bevor ein Angreifer sie ausnutzt.
Grenzen der Analyse
SpiderFoot ist kein magisches Werkzeug.
Nicht alle Geheimnisse können automatisch gefunden werden.
Einige Einschränkungen sind:
- private Repositories bleiben verborgen
- verschlüsselte Daten können nicht interpretiert werden
- manche Plattformen beschränken API-Abfragen
- Ergebnisse erfordern menschliche Bewertung
SpiderFoot liefert Hinweise und Verdachtsmomente. Die eigentliche Analyse und Bewertung muss weiterhin durch Sicherheitsexperten erfolgen.
Best Practices für Unternehmen
Um Credential Exposure zu vermeiden, sollten Unternehmen einige Grundregeln beachten:
- Keine Zugangsdaten im Quellcode speichern
- Secrets in Secret-Management-Systemen verwalten
- Regelmäßige Repository-Scans durchführen
- Alte Commits überprüfen
- Entwickler sensibilisieren
- Automatische Secret-Scanning-Lösungen einsetzen
- Gefundene Zugangsdaten sofort rotieren
Je früher veröffentlichte Geheimnisse erkannt werden, desto geringer ist das Risiko eines erfolgreichen Angriffs.
GitHub, GitLab und andere Entwicklerplattformen gehören heute zu den wichtigsten Informationsquellen für Angreifer. Versehentlich veröffentlichte API-Keys, Cloud-Zugangsdaten und Konfigurationsdateien stellen ein erhebliches Sicherheitsrisiko dar.
SpiderFoot unterstützt Unternehmen dabei, solche Informationen aufzuspüren und die eigene Angriffsfläche besser zu verstehen. Durch die Analyse öffentlicher Repositories, die Suche nach Credential Exposure und die Korrelation verschiedener Datenquellen kann das Werkzeug wertvolle Hinweise auf potenzielle Sicherheitsprobleme liefern.
Wer SpiderFoot regelmäßig einsetzt, erkennt veröffentlichte Geheimnisse häufig deutlich früher – und kann reagieren, bevor aus einem kleinen Fehler ein größerer Sicherheitsvorfall wird.
