Albtraum für Amazons Clouddienst AWS (Amazon Web Services): Ein technischer Mitarbeiter der Plattform hat sensible Daten in großem Umfang auf Github veröffentlicht. In dem Paket enthalten waren unter anderem diverse Passwörter und AWS-Schlüsselpaare und private Schlüssel, über die sich Dritte Zugriff auf AWS-Dienste verschaffen könnten. Die IT-Sicherheitsfirma Upguard hat das Datenleck eigenen Angaben zufolge nach einer halben Stunde entdeckt und AWS Security alarmiert. Nach fünf Stunden waren die Daten aus dem Github-Repository gelöscht worden.

Das Datenkonvolut – die heruntergeladene Zip-Datei war laut Upguard 954 Megabyte groß – beinhaltete neben den Passwörtern und Schlüsseln auch zahlreiche AWS-Dokumente und Logfiles, über die sich Kunden des AWS-Mitarbeiters identifizieren ließen. Mit den Passwörtern und Schlüsseln hätten mögliche Angreifer wohl Root-Zugriff auf die AWS-Accounts betroffener Kunden verschaffen können. Außerdem fanden sich auch Authentifizierungstoken und API-Schlüssel für Drittanbieter, etwa für E-Mail-Konten.

Ebenfalls nicht für die Augen Dritter bestimmt waren Dokumente mit sensiblen Daten von AWS-Kunden, etwa Kontoauszügen, E-Mails oder persönliche Dokumente, darunter ein Führerschein. Upguard zufolge habe man anhand dieser Dokumente auch einen AWS-Mitarbeiter über dessen Profil bei Linkedin identifizieren können. Daher und aufgrund von ebenfalls im Github-Repository einsehbaren AWS-Schulungsunterlagen und Dokumente, die Amazon als geheim eingestuft hat, gehen die Sicherheitsforscher davon aus, dass ein AWS-Mitarbeiter hinter der Veröffentlichung steht.

Ob die kurzzeitig öffentlich zugänglichen Daten in fremde Hände geraten sind und ein möglicher Missbrauch, etwa ein Zugriff auf ein AWS-Konto, erfolgt ist, steht nicht fest. Der Vorfall hatte sich schon am 13. Januar abgespielt. Wie groß die Auswirkungen von Datendiebstählen oder versehentlichen Pannen sein kann, zeigt der Fall eines Datenskandals aus dem Sommer 2019. Damals soll sich eine ehemalige AWS-Mitarbeiterin Zugriff auf in der AWS-Cloud gespeicherte Daten von über 100 Millionen Kunden der Bank Capital One verschafft haben.