Der Fall zeigt in seltener Deutlichkeit, dass Verschlüsselung wirkungslos bleibt, wenn der Schlüssel denselben Weg nimmt wie die geschützten Daten. Nach Darstellung des Ministeriums für KMU und Startups war der Verschlüsselungsschlüssel Bestandteil der API. Ein externer Akteur sammelte die API-Daten unter anderem per Web-Crawling ein – und erhielt damit auch den Schlüssel.
Besonders bemerkenswert ist ein Detail aus der Untersuchung: E-Mail-Adressen, die als privat konfiguriert waren und auf der öffentlich sichtbaren Oberfläche nicht angezeigt wurden, konnten den Ermittlern zufolge dennoch über KI-gestütztes Web-Crawling erlangt werden. Insgesamt betrifft der Abfluss E-Mail-Adressen, Bewertungskommentare und Ideenzusammenfassungen von etwa 5.000 erfolgreichen Bewerbern.
Die Behörden identifizierten 39 IP-Adressen, über die auf die abgeflossenen Informationen zugegriffen wurde. Sämtliche Adressen stammen aus Südkorea. Die Ermittlungen zu weiteren Einzelheiten dauern an, darunter zu möglichen Verbindungen zu Anbietern von KI-Lösungen.
Strukturell verweist der Vorfall auf ein bekanntes Muster: das Hartkodieren von Verschlüsselungsschlüsseln als feste Werte in Anwendungscode, Konfigurationsdateien, Datenbanken oder vergleichbaren Umgebungen. Wer so verfährt, riskiert, dass die Schlüssel gemeinsam mit genau jenen Systemen und Daten offengelegt werden, die sie schützen sollen. Die eigentliche Ursache lässt sich damit als Sicherheitsarchitektur beschreiben, in der ein geordnetes Schlüsselmanagement schlicht nicht vorgesehen war.
Ein kompromittierter Schlüssel ist zudem nicht mit einem einfachen Austausch erledigt. Neben dem Zurückziehen des betroffenen Schlüssels und der Ausgabe eines neuen müssen alle bislang damit geschützten Bestände neu verschlüsselt werden. Hinzu kommt die Auswertung der Zugriffsprotokolle des Schlüssels, um den tatsächlichen Umfang des Vorfalls zu bestimmen, die Neubewertung der Zugriffsrechte über APIs, Server und interne Speichersysteme hinweg, die Benachrichtigung der betroffenen Personen sowie eine fortlaufende Überwachung. In der Summe kann die Neuauslegung der Sicherheitsarchitektur erheblichen Zeit- und Ressourceneinsatz erfordern.
Die Konsequenzen eines offengelegten Schlüssels reichen dabei über den reinen Datenabfluss hinaus: Ein Angreifer kann in Echtzeit auf Daten im System zugreifen, sich als legitimer Nutzer ausgeben und im Extremfall die Kontrolle über das System erlangen. Die Wirksamkeit einer Verschlüsselung hängt damit unmittelbar von der Sicherheit ihres Schlüsselmanagements ab.
Als fachlicher Gegenentwurf gilt die Aufbewahrung der Schlüssel in einem dedizierten Key Management System (KMS), das physisch oder logisch von Datenbanken und Anwendungen getrennt bleibt. Anwendungen sollten einen Schlüssel erst dann beim KMS anfordern, wenn geschützte Daten gelesen oder verarbeitet werden müssen – und ihn nicht selbst vorhalten.
Relevanz hat das auch für regulatorische Anforderungen: Verschlüsselung ist unter anderem für DSGVO, Cyber Resilience Act (CRA) und HIPAA vorgesehen. Ein unzureichendes Schlüsselmanagement erlaubt jedoch die sofortige Entschlüsselung, sobald ein Schlüssel kompromittiert ist – und untergräbt damit sowohl den Schutzeffekt als auch das angestrebte Compliance-Niveau.
Der Beitrag der Quelle ist gesponsert und wurde von Penta Security verfasst, dessen Datensicherheitsplattform D.AMO Verschlüsselung, Schlüsselverwaltung und Zugriffskontrolle bündelt und nach Anbieterangaben bei mehr als 10.000 Kunden aus Finanzwesen, Verwaltung und Privatwirtschaft im Einsatz ist.