Zuruck zum Blog
Cloud-SicherheitCyberabwehr

Das CISA-GitHub-Leck ist eine Erinnerung daran, dass Geheimnisverwaltung Kultur ist

KrebsOnSecurity berichtete, dass Gesetzgeber Antworten verlangten, nachdem ein CISA-Auftragnehmer angeblich AWS GovCloud-Schlüssel und andere Agenturgeheimnisse auf einem öffentlichen GitHub-Konto veröffentlicht hatte.

Autorin
ECEvolving Cyber
Veröffentlicht
22. Mai 2026
Lesezeit
6 Min. Lesezeit

DevOps- und CI/CD-Pipeline-Automatisierungskonzept Unterstützendes Bild: DevOps, CI/CD-Pipeline und Cloud-Bereitstellungskonzept, Adobe Stock-Datei #1747170611.

Am 22. Mai 2026 berichtete KrebsOnSecurity, dass US-Gesetzgeber Antworten von CISA forderten, nachdem Krebs berichtet hatte, dass ein Auftragnehmer AWS GovCloud-Schlüssel und andere interne Agenturgeheimnisse auf einem öffentlichen GitHub-Konto veröffentlicht hatte. Später berichtete Krebs, dass Experten, die das Repository überprüften, sagten, dass der integrierte Geheimnisschutz von GitHub deaktiviert gewesen sei, und dass CISA immer noch daran arbeite, die offengelegten Schlüssel ungültig zu machen und zu ersetzen.

Die weiterführende Berichterstattung von TechRadar fügte hinzu, dass Forscher das Repository als eine Sammlung sensibler interner Informationen darüber beschrieben, wie CISA Software entwickelt und einsetzt, und Axios berichtete, dass Senatorin Maggie Hassan nach der Offenlegung ein dringendes klassifiziertes Briefing vom amtierenden Direktor der CISA angefordert hat.

Dies ist eine ältere Geschichte aus den letzten zwei Monaten, aber sie gehört in den Blog, weil sie ein klares Beispiel für ein häufiges Versagen ist: Geheimnisverwaltung ist nicht nur ein Werkzeugproblem. Es ist ein Prozess- und Kulturproblem.

Warum das wichtig ist

Organisationen können Scanner, Geheimnisverwaltungssysteme und CI/CD-Kontrollen kaufen, aber die Menschen müssen sie trotzdem korrekt nutzen. Wenn Entwickler oder Auftragnehmer öffentliche Repositories wie Notizzettel behandeln, Schutzmaßnahmen deaktivieren oder Arbeitsmaterial außerhalb genehmigter Systeme synchronisieren, können die Werkzeuge dies nicht auf Dauer ausgleichen.

Das Risiko ist besonders hoch, wenn durchgesickerte Zugangsdaten Cloud-Umgebungen, GitHub-Apps, CI/CD-Runner, interne Code-Repositories oder Bereitstellungspipelines betreffen. Ein einzelner offengelegter Schlüssel kann zu Quellcode, Geheimnissen, Build-Systemen und Produktionszugriff werden.

Krebs berichtete, dass Dylan Ayrey von TruffleHog warnte, ein exponierter privater GitHub-App-Schlüssel könnte einem Angreifer ermöglichen, private Repositories zu lesen, gefälschte selbstgehostete Runner zu registrieren, CI/CD-Pipelines zu stören und Repository-Verwaltungseinstellungen zu ändern. Das ist die echte Gefahr von Geheimnissen in Code-Hosting: die Auswirkungen können von „jemand hat einen Schlüssel gesehen“ zu „jemand kann die Software-Lieferkette ändern“ übergehen.

Warum dies ein CI/CD-Vorfall ist

Wenn Geheimnisse in der Quellcodeverwaltung offengelegt werden, muss die betroffene Organisation mehr beantworten als „Wurde der Schlüssel verwendet?“ Sie muss Folgendes beantworten:

  • Auf welche Repositories konnte die Anmeldeinformation zugreifen?
  • Konnte sie Quellcode, Issues, Pull Requests oder Geheimnisse lesen?
  • Konnte sie Runner registrieren oder steuern?
  • Konnte sie Branch-Schutz, Deployment-Keys oder Webhooks ändern?
  • Konnte an den Build-Ergebnissen oder Deployment-Artefakten manipuliert werden?
  • Vertrauten irgendwelche nachgelagerten Systeme auf Artefakte, die während des Expositionszeitraums erstellt wurden?

Was Teams tun sollten

  • Blockieren Sie öffentliche Commits, die Geheimnisse auf Plattformebene enthalten.
  • Verhindern Sie, dass Benutzer die Geheimniserkennung oder den Push-Schutz ohne Genehmigung deaktivieren.
  • Verwenden Sie kurzlebige Anmeldeinformationen und Workload-Identität anstelle von langlebigen statischen Schlüsseln.
  • Drehen Sie exponierte Geheimnisse sofort und überprüfen Sie die Widerrufung.
  • Prüfen Sie GitHub-Apps, Bereitstellungsschlüssel, Webhooks, selbstgehostete Runner und CI/CD-Berechtigungen.
  • Schulen Sie Auftragnehmer und Mitarbeiter in genehmigten Workflows für temporäre Notizen, Testdaten und Konfiguration.
  • Behandeln Sie jedes Geheimnisleck als Vorfall, bis der Umfang nachgewiesen ist.

Die Quintessenz

Die Verwaltung von Geheimnissen wird nicht durch einen Tresor gelöst. Sie wird gelöst, wenn die Organisation unsicheren Umgang mit Geheimnissen erschwert, sichtbar macht und kulturell inakzeptabel macht.

Quellen