Das Ausmaß des Lecks wird immer deutlicher, je mehr Sicherheitsexperten die Vorgänge analysieren. Der Sicherheitsforscher Dylan Ayrey, Entwickler des Open-Source-Tools TruffleHog zur Aufdeckung versteckter Schlüssel in Code-Repositories, warnte vor besonders kritischen Exponierungen: Ein durchgesickerter RSA-Private-Key gewährte vollständigen Zugriff auf alle Code-Repositories der CISA-IT-Organisation. Ein Angreifer mit diesem Schlüssel könnte Quellcode aus jedem Repository auslesen, manipulierte automatisierte Prozesse (CI/CD-Pipelines) einschleusen und Repository-Einstellungen verändern.
Besonders bemerkenswert ist die Chronologie: Das GitHub-Konto wurde ursprünglich bereits im November 2025 erstellt. Die sensitivsten Daten wurden offenbar Ende April 2026 hochgeladen – ein Zeitfenster von mehreren Monaten, in dem Angreifer potenziell Zugriff hätten. Das ist kein zufälliges Versehen: Die deaktivierte Schutzfunktion gegen versehentliche Secret-Publikation deutet auf bewusste Aktion hin.
CISA bestätigt zwar, dass keine Hinweise auf tatsächliche Kompromittierungen bestehen, doch Kongressabgeordnete sehen die Sache kritischer. Senatorin Maggie Hassan (D-NH) kritisiert fundamental, dass gerade die Behörde, die andere vor Cyberangriffen schützen soll, selbst solche Sicherheitslücken aufweist. Die Besorgnis wird verschärft durch personalelle Turbulenzen: Die Trump-Administration erzwang Frühpensionierungen und Entlassungen bei CISA, die die Organisation etwa ein Drittel ihrer Belegschaft und fast aller Führungskräfte kosteten.
Das zentrale Problem liegt im menschlichen Faktor. Sicherheitsexperten betonen: Technische Kontrollen können einen Mitarbeiter nicht daran hindern, ein privates GitHub-Konto zu erstellen und Arbeitsdaten dorthin zu synchronisieren. Dies ist kein technisches, sondern ein Governance- und Sicherheitskultur-Problem.
Weiterhin problematisch: Eine Woche nach GitGuardians Benachrichtigung war CISA noch immer damit beschäftigt, durchgesickerte Zugangsdaten zu invalidieren. Dies unterstreicht, wie komplex Incident Response bei verteilten, weitverzweigten Systemen sein kann.
Für deutsche Unternehmen und Behörden ist dieser Fall lehrreich. Er illustriert, dass auch hochgradig spezialisierte Organisationen Sicherheitslücken aufbauen, wenn Governance und menschliche Faktoren vernachlässigt werden – unabhängig von technologischem Know-how.