Geleakte AWS-Schlüssel gefährden Unternehmenskonten

(Source: Johnnii / stock.adobe.com)

(Source: Johnnii / stock.adobe.com)

Mehr als 9300 zwischen August 2022 und August 2026 öffentlich aufgetauchte Zugriffsschlüssel von Amazon Web Services (AWS) sind nach wie vor aktiv und gültig, wie "Bleepingcomputer" berichtet. Das US-amerikanische Cybersecurity-Unternehmen Truffle Security verfolgte solche Leaks über einen Zeitraum von vier Jahren, so der Bericht.

Truffle Security ordnete 817 der offengelegten AWS-Schlüssel Unternehmen zu. 526 davon waren Root-Zugriffsschlüssel. Weitere 242 gehörten IAM-Usern (Identity and Access Management) mit der Richtlinie "AdministratorAccess", die vollständigen Zugriff auf AWS-Dienste und -Ressourcen gewährt.

Jeder dieser insgesamt 768 aktiven Schlüssel ermöglicht laut Truffle Security die vollständige Kontrolle über das AWS-Konto eines Unternehmens. Angreifer könnten damit auf in der Cloud gehostete Daten zugreifen, Server und Anwendungen kontrollieren oder Kryptominer betreiben, schreibt "BleepingComputer".

Kritik an AWS-Quarantänerichtlinie

Die Forscher von Truffle Security empfehlen demnach, alle Root-Zugriffsschlüssel zu löschen, die IAM-Zugangsdaten nach ihrem Alter zu überprüfen, offengelegte Schlüssel zu rotieren oder zu widerrufen sowie Budgetwarnungen einzurichten. Ausserdem empfehlen sie, alle Zugangsdaten, die in einer öffentlichen Quelle auftauchen, als kompromittiert zu behandeln.

Ein Amazon-Sprecher erklärte gegenüber "BleepingComputer", AWS benachrichtige betroffene Kunden, untersuche Meldungen über offengelegte Schlüssel eingehend und wende Quarantänerichtlinien an, um Risiken für Kunden zu reduzieren.

"The Register" kritisiert indes, dass Amazons Quarantänerichtlinie für geleakte Zugangsdaten zu kurz greife. AWS wolle mit der Richtlinie mögliche Schäden begrenzen, ohne bestehende Kundenumgebungen zu beeinträchtigen. Laut "The Register" lässt die Richtlinie jedoch weiterhin Aktionen zu, mit denen Angreifer erheblichen Schaden anrichten könnten.

So erlaubt die Quarantänerichtlinie dem Bericht zufolge weiterhin die Befehle "ssm" und "ssm", über die sich auf EC2-Instanzen Befehle mit Root-Rechten ausführen lassen. Auch "sts" blockiert die Richtlinie nicht. Damit könnten Angreifer unter entsprechenden Voraussetzungen andere Rollen innerhalb eines Kontos übernehmen und deren Berechtigungen erhalten. Die vorgesehenen Einschränkungen liessen sich dadurch unter Umständen umgehen.

Übrigens: Im Dezember 2025 hat ein interner KI-Agent den Dienst von Amazon Web Services für 13 Stunden lahmgelegt. Lesen Sie hier, was dabei geschah. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.