Identität als Angriffspfad: Cloud-Sicherheitsrisiko

Ein zwischengespeicherter Zugriffsschlüssel auf einem Windows-Rechner öffnete einem Angreifer die Tür zu 98% der Cloud-Entitäten. Ohne Fehlkonfiguration…

Wie ein einzelner Schlüssel fast das ganze Unternehmen gefährdete

Stell dir vor, ein Angreifer erlangt Zugriff auf einen ganz normalen Windows-Rechner. Kein Admin-Rechner, kein Server mit sensiblen Daten. Einfach nur ein Arbeitsplatz. Doch dort findet er einen zwischengespeicherten AWS-Zugriffsschlüssel. Automatisch gespeichert, als ein Benutzer sich anmeldete. Standardverhalten. Niemand hat etwas falsch gemacht. Und doch: Mit diesem einen Schlüssel konnte der Angreifer auf 98% aller Entitäten in der Cloud-Umgebung des Unternehmens zugreifen.

Das Problem: Identität ist der neue Angriffspfad

Wir alle denken bei Sicherheitsverletzungen an Firewalls, Patches oder Fehlkonfigurationen. Aber was, wenn der Angriff gar nicht über eine Schwachstelle kommt, sondern über eine legitime Identität? Genau das passiert hier. Der Schlüssel war gültig, autorisiert – und völlig ungeschützt.

Die Zahl 98% ist kein Zufall. Sie zeigt: Sobald ein Identitätsnachweis im Spiel ist, sind traditionelle Grenzen wie Netzwerksegmente oder Zugriffskontrollen oft wirkungslos. Der Schlüssel gewährt Zugriff auf nahezu alles. Warum? Weil Cloud-Umgebungen auf Identität vertrauen. Und wenn diese Identität kompromittiert ist, hilft dir keine Firewall mehr.

Warum gängige Sicherheitsmaßnahmen versagen

Du denkst vielleicht: „Wir haben doch Multi-Faktor-Authentifizierung und Richtlinien!“ Das ist gut, aber nicht genug. Der zwischengespeicherte Schlüssel umgeht MFA, weil er bereits authentifiziert ist. Er ist wie ein gestohlener Haustürschlüssel – du brauchst keinen Schlüsseldienst, wenn du den Schlüssel hast.

Ein weiteres Problem: Diese Schlüssel sind oft langlebig. Sie laufen nicht ab, werden nicht rotiert. Ein Schlüssel von vor zwei Jahren funktioniert heute noch. Und weil sie automatisch gespeichert werden, vergessen die Benutzer sie. Sie liegen in Skripten, Konfigurationsdateien, Umgebungsvariablen – überall.

Und dann ist da noch die AWS-Architektur selbst. In der Cloud ist Identität die Grenze. Wenn du einmal drin bist, kannst du dich seitwärts bewegen. Der Angreifer mit dem Schlüssel kann Rollen annehmen, andere Dienste aufrufen, Daten exfiltrieren. Alles im Rahmen der Berechtigungen – die aber viel zu weit gefasst sind.

Was du jetzt tun kannst

Die gute Nachricht: Du kannst dich schützen. Aber nicht mit traditionellen Methoden. Hier sind drei Ansätze, die wirklich helfen:

1. Kurzlebige Anmeldeinformationen – AWS STS (Security Token Service) erzeugt temporäre Schlüssel, die nach 15 Minuten bis 36 Stunden ablaufen. Selbst wenn ein Angreifer einen solchen Schlüssel findet, ist er schnell wertlos. Setze überall dort, wo möglich, STS statt langfristiger Schlüssel ein.

2. Kontinuierliche Überwachung von Identitäten – Du musst wissen, wer welche Schlüssel hat, wo sie gespeichert sind und ob sie noch benötigt werden. Tools wie AWS IAM Access Analyzer oder Drittanbieter-Lösungen können ungenutzte oder übermäßig berechtigte Schlüssel identifizieren.

3. Least Privilege konsequent umsetzen – Der Schlüssel im Beispiel hatte viel zu weitreichende Rechte. Frage bei jeder Richtlinie: „Braucht diese Rolle wirklich Zugriff auf 98% der Entitäten?“ Oft reicht ein Bruchteil. Reduziere Berechtigungen auf das absolute Minimum.

Eine unbequeme Wahrheit

Die größte Schwachstelle in der Cloud bist nicht du oder dein Team. Es ist die Art und Weise, wie wir Identität behandeln. Wir vertrauen auf etwas (den Schlüssel), das wir nicht kontrollieren können, sobald es den Benutzer verlassen hat. Ein Schlüssel ist wie ein Passwort – nur dass er oft tausendmal mächtiger ist.

Also: Hör auf, nur auf Perimeter-Sicherheit zu setzen. Identität ist der neue Perimeter. Und wenn du den nicht schützt, bist du verwundbar. Egal, wie stark deine Firewall ist.

Mehr zum Thema Cloud-Sicherheit und Identitätsmanagement findest du in unseren Beiträgen unter Cloud-Sicherheit und Identitätsmanagement.