DigiCert-Kunden sind einem Datenpannenrisiko ausgesetzt, das sich nicht durch das Ersetzen eines Passworts beheben lässt: offengelegte Identitätsdokumente.
DigiCert, eine der weltweit renommiertesten Zertifizierungsstellen, bestätigte, dass eine unbefugte Partei auf ein internes Archivsystem für Geschäftsdaten zugegriffen und dabei Kontaktaufzeichnungen von Kunden sowie persönliche Identifikationsdokumente offengelegt hatte. Die Datenpanne ging auf eine Infrastrukturmigration im Februar 2025 zurück, durch die ein internes System versehentlich mehr als 16 Monate lang dem offenen Internet ausgesetzt war.
Nach Angaben des Unternehmens waren seine Dienste als Zertifizierungsstelle, die Anmeldedaten der Kunden und ausgestellte Zertifikate nicht betroffen. Die offengelegten Kundeninformationen könnten dennoch gezielte Phishing- oder Identitätsmissbrauchsversuche unterstützen.
Wie ein internes Archiv ins Web gelangte
Die Offenlegung begann am 4. Februar 2025, als DigiCert ein internes Geschäftsarchiv aus einem auf VPN beschränkten Netzwerksegment in eine andere Availability Zone verschob und das System dadurch unbeabsichtigt von außen zugänglich machte. Zusammen mit dem Serverumzug wurde versehentlich auch eine für andere Anwendungen vorgesehene Funktion zur Selbstregistrierung offengelegt.
Externe Nutzer konnten Konten registrieren, ohne die normalerweise für Mitarbeiter erforderliche Mehrfaktor-Authentifizierung (MFA) zu verwenden. Obwohl diesen Konten keine Anwendungsrollen zugewiesen waren, gewährte ihnen ein Berechtigungsfehler standardmäßig schreibgeschützten Zugriff auf archivierte Kundendateien.
DigiCert bemerkte am 18. Juni 2026 Konten, die nicht zum Unternehmen gehörten, und schaltete eine Web Application Firewall vor das System, um neue externe Registrierungen zu blockieren. Die Mitarbeiter kamen zunächst zu dem Schluss, dass Konten ohne zugewiesene Anwendung nicht auf Daten zugreifen könnten.
Am 21. Juni folgte eine Meldung über das verwaltete Sicherheitsforschungsprogramm des Unternehmens. DigiCert setzte am 2. Juli einen Autorisierungsfix um und bestätigte am 19. Oktober den unbefugten Zugriff auf archivierte Daten.
„Der Vorfall wurde zunächst als Problem bei der Kontoerstellung und nicht als Ereignis mit Datenzugriff behandelt“, wie DigiCert in seiner Vorfallmeldung auf Mozillas Bugzilla einräumte.
| Meilenstein des Vorfalls | Erfasstes Datum | Wichtiger operativer Aspekt |
|---|---|---|
| Beginn der Offenlegung | 4. Februar 2025 | Server aus dem VPN-Segment in eine externe Availability Zone verschoben. |
| Unbefugter Zugriff | 27. Juni bis 2. Juli 2026 | Bestätigter Zeitraum des unbefugten schreibgeschützten Datenzugriffs. |
| Fehler behoben | 2. Juli 2026 | Autorisierungspatch bereitgestellt, um den externen Zugriff zu beenden. |
| Datenpanne bestätigt | 19. Oktober 2026 | Die Untersuchung bestätigt den unbefugten Datenzugriff und stellt fest, dass der Vorfall meldepflichtig ist. |
Offengelegte Identitätsdokumente bergen anhaltende Risiken
Bei den meisten offengelegten Datensätzen handelte es sich um übliche geschäftliche Kontaktdaten:
- Namen
- Geschäftliche E-Mail-Adressen
- Telefonnummern
- Physische Geschäftsadressen
Ein kleiner Teil der Kundenakten enthielt jedoch Dokumente zur Identitätsprüfung wie Führerscheine, Reisepässe und Versorgerrechnungen, die im Rahmen der Zertifikatsprüfung eingereicht worden waren.
Wie der Cloud-Architekt Fabian Bader auf X postete und dabei auf die Mitteilung zur Datenpanne einging: „Danke @digicert, dass sich euer Datenleck ‚nur‘ auf meine vollständigen personenbezogenen Daten und möglicherweise sämtliche von mir für mein Zertifikat eingereichten Nachweisdokumente beschränkt hat.“
DigiCert erklärte, dass das Konto keine Datensätze ändern, Validierungen genehmigen oder Zertifikate ausstellen konnte.
Was Kunden und Sicherheitsteams prüfen sollten
Betroffene Kunden sollten DigiCert über einen bekannten Supportkanal kontaktieren, um festzustellen, welche Datensätze und Dokumente betroffen waren. Organisationen sollten die betroffenen Mitarbeiter oder Kundenvertreter ermitteln und ihre Reaktion auf die offengelegten Informationen abstimmen.
Seien Sie vorsichtig bei unerwarteten Aufforderungen, Identitätsnachweise erneut einzureichen, Zertifikatsänderungen zu genehmigen oder Kontodaten anzugeben. Überprüfen Sie solche Anfragen unabhängig. Dies sind Vorsichtsmaßnahmen gegen einen möglichen Missbrauch; aus der Offenlegung ergibt sich nicht, dass es zu einem anschließenden Betrug gekommen ist.
Wenn ein von einer Behörde ausgestelltes Ausweisdokument offengelegt wurde, wenden Sie sich an die ausstellende Stelle, um zu klären, wie der Vorfall gemeldet werden sollte und ob ein Ersatz sinnvoll ist. Ein Ersatzdokument kann die Dokumentnummer ändern, aber vorhandene Kopien lassen sich dadurch nicht zurückholen und auch nicht sämtliche darin enthaltenen persönlichen Angaben ändern.
Für Sicherheitsteams liefert der Vorfall außerdem konkrete Prüfpunkte für interne Archive:
Zu prüfender Bereich | Zu überprüfender Aspekt |
|---|---|
| Anwendungsberechtigungen | Konten ohne genehmigte Rolle können keine Datensätze oder Dateien abrufen. |
| Registrierungsfunktionen | Interne Systeme dürfen keine unnötigen öffentlichen Registrierungsfunktionen übernehmen. |
| Infrastrukturänderungen | Migrationsprüfungen umfassen die externe Erreichbarkeit und Zugriffskontrollen der Anwendung. |
| Überwachung | Unerwartete Kontoerstellungen und ungewöhnlich hohe Dateizugriffe lösen eine Untersuchung aus. |
| Datenaufbewahrung | Für Identitätsdokumente gibt es eine dokumentierte Aufbewahrungsfrist und einen Löschprozess. |
Testen Sie Berechtigungen mit neu erstellten Konten und Konten ohne zugewiesene Rollen. Beziehen Sie direkte Anfragen an Dateiendpunkte ein: Eine eingeschränkte Benutzeroberfläche ist kein Beleg dafür, dass die zugrunde liegenden Datensätze geschützt sind.
Auch die Leitlinien zur Reaktion auf die Zeabur-Datenpanne unterstreichen, wie wichtig es ist, die Wiederherstellung über alle betroffenen Systeme hinweg zu überprüfen. Bevor Sie die Behebung einer Archivoffenlegung abschließen, stellen Sie fest, welche Konten auf welche Datensätze zugreifen konnten, sichern Sie relevante Protokolle und bestätigen Sie, dass die korrigierten Kontrollen unbefugten Zugriff verwehren.
Weiterlesen: Die Reaktion auf eine Datenpanne hängt davon ab, welche Informationen offengelegt wurden. Der mSecure-Vorfall zeigt, welche Konten und gespeicherten Anmeldedaten Kunden vorrangig schützen sollten.