Sicherheitsfirma APIsec Leakt Eigene Kundendaten

Was ist passiert

An Ironie mangelt es in der Welt der Cybersicherheit nicht, aber dieser jüngste Vorfall ist wirklich ein Lehrstück. Ein Sicherheitsunternehmen, das mit dem Schutz seiner Kunden beauftragt ist, verletzt eines der grundlegendsten Sicherheitsprinzipien und lässt die Daten seiner eigenen Kunden ungeschützt im Internet zurück. Ja, genau das ist passiert. In einem am 1. Juni 2026 veröffentlichten Bericht gab das Sicherheitsforschungsunternehmen UpGuard bekannt, eine öffentlich zugängliche Elasticsearch-Datenbank von APIsec.ai, einem Anbieter von API-Sicherheitslösungen, entdeckt zu haben. Und das war nicht irgendeine Datenbank. Sie enthielt eine riesige Menge sensibler Informationen, die den Kunden von APIsec gehören könnten.

Die Geschichte ist eigentlich recht bekannt. Ein Unternehmen richtet Elasticsearch ein, ein leistungsstarkes Werkzeug zur Datenanalyse und Protokollierung. Es wird schnell bereitgestellt, vielleicht hat es ein Entwickler zu Testzwecken eingerichtet, wer weiß. Aber in der Eile wird der wichtigste Schritt übersprungen: das Setzen eines Passworts. Das Ergebnis? Ein riesiger Datenschatz mit den intimsten technischen Details von millionenschweren Unternehmen wird für jeden im Internet zugänglich, der die richtige Adresse kennt. Genau das hat das Cyber-Risiko-Team von UpGuard getan. Bei routinemäßigen Scans des Internets nach solchen offenen und anfälligen Systemen stießen sie auf diesen Server von APIsec.ai. Sobald sie die Situation erkannten, kontaktierte UpGuard APIsec, und glücklicherweise wurde die Datenbank schnell gesichert. Aber wie lange war sie offen? Wer hat darauf zugegriffen? Das sind die Fragen, die jetzt sowohl APIsec als auch seine Kunden quälen.

Dieser Vorfall ist das deutlichste Äquivalent in der Cybersicherheit für das alte Sprichwort „Die Kinder des Schusters haben die schlechtesten Schuhe.“ APIsec.ai ist ein Unternehmen, das auf seiner Website stolz verkündet, 80 % der größten Unternehmen der Welt zu bedienen. Sie sind auf ein sehr spezielles und technisches Gebiet spezialisiert: die Sicherheit von APIs (Application Programming Interfaces). Mit anderen Worten, ihre Aufgabe ist es, die digitalen Türen und Fenster der modernen Welt zu schützen. Dass sie vergessen haben, ihre eigene Haustür abzuschließen, ist ein Fehler, der ernsthafte Fragen zur Vertrauenswürdigkeit des gesamten Sektors aufwirft.

Welche Daten wurden preisgegeben

Was befand sich also hinter dieser weit geöffneten digitalen Tür? Laut dem Bericht von UpGuard sind die durchgesickerten Daten der Stoff, aus dem die Träume eines Hackers sind. Die Datenbank enthielt einen reichen Datensatz im Zusammenhang mit den eigenen Operationen von APIsec und den Interaktionen mit Kunden. Eine Auflistung verdeutlicht den Ernst der Lage:

• Kundeninformationen: Firmennamen, E-Mail-Adressen von Mitarbeitern, Benutzernamen und Kontaktdaten. Diese Informationen sind perfekt für gezielte Spear-Phishing-Angriffe.
• API-Schlüssel und Tokens: Dies ist vielleicht der gefährlichste Teil. API-Schlüssel sind digitale Schlüssel, die es verschiedenen Systemen ermöglichen, miteinander zu kommunizieren. Wenn diese Schlüssel den Kunden von APIsec gehören, könnte ein Angreifer sie nutzen, um direkt in die Systeme dieser Unternehmen einzudringen und sich als autorisierter Benutzer auszugeben. Das ist, als würde man den Generalschlüssel zum Haupttresor einer Bank stehlen.
• Interne Systemprotokolle: Server-IP-Adressen, Informationen über die von Benutzern verwendeten Browser (User-Agent-Strings), Systemfehlermeldungen und andere technische Protokolle. Diese Daten können verwendet werden, um das interne Netzwerk eines Unternehmens zu kartieren, Schwachstellen zu identifizieren und komplexere Angriffe zu planen.
• Ergebnisse von Sicherheitsscans (potenziell): Obwohl der Bericht von UpGuard dieses Detail nicht bestätigt, ist es sehr wahrscheinlich, dass ein Unternehmen wie APIsec die Ergebnisse oder Rohdaten von Sicherheitsscans, die es für seine Kunden durchführt, in einer solchen Datenbank speichern würde. Wäre dies der Fall, hätte dieses Leck den Angreifern eine Liste aller bekannten Sicherheitslücken in den betroffenen Unternehmen geliefert. Das ist, als würde man einem Einbrecher eine Liste geben, welche Häuser keine Alarmanlage haben und welche Fenster kaputt sind.

Die Kombination dieser Daten birgt das Potenzial für eine Kettenreaktionskatastrophe. Ein Angreifer könnte die geleakten E-Mail-Adressen für einen Phishing-Angriff nutzen und das Passwort eines Mitarbeiters stehlen. Mit diesem Passwort könnte er sich in ein System einloggen und die geleakten API-Schlüssel verwenden, um auf andere Systeme überzugreifen. Und während er all dies tut, könnte er die Informationen aus den geleakten Systemprotokollen nutzen, um seine Spuren effektiver zu verwischen. Kurz gesagt, dies ist nicht nur ein Datenleck; es ist ein potenzielles Starter-Kit für Cyberangriffe auf Dutzende großer Unternehmen.

Wie der Angriff geschah

Hinter diesem Vorfall steckte keine komplexe Hacking-Operation, keine monatelange Planung oder eine staatlich geförderte Cyber-Armee. Im Gegenteil, der Vorfall beruht auf einem peinlich einfachen Fehler. Der Bericht von UpGuard besagt, dass die Quelle des Lecks eine Elasticsearch-Datenbank war, die ohne Passwortschutz im Internet offengelassen wurde.

Was bedeutet das? Elasticsearch ist eine beliebte Open-Source-Datenbanktechnologie, die verwendet wird, um riesige Datenmengen sehr schnell zu durchsuchen und zu analysieren. Unternehmen nutzen sie oft, um Anwendungsprotokolle, Benutzeraktivitäten oder Systemmetriken zu sammeln. Es ist ein mächtiges Werkzeug, aber auch ein großes Risiko, wenn es nicht richtig konfiguriert wird. Bei der Installation mit den Standardeinstellungen läuft es oft ohne jeglichen Authentifizierungsmechanismus. Das bedeutet, jeder, der die IP-Adresse des Servers kennt, kann vollen Zugriff auf alle darin enthaltenen Daten erhalten. Genau wie ein Lagerhaus ohne Schloss an der Tür.

Für Angreifer oder Forscher ist es nicht schwer, solche offenen Datenbanken zu finden. Es gibt spezialisierte Suchmaschinen wie Shodan oder Censys, die jedes mit dem Internet verbundene Gerät (Server, Kameras, Kühlschränke, was auch immer) scannen. Eine einfache Abfrage in diesen Suchmaschinen nach so etwas wie „ungeschützte Elasticsearch-Server“ listet innerhalb von Sekunden Tausende von anfälligen Systemen weltweit auf. Es ist wahrscheinlich, dass der Server von APIsec auf diese Weise entdeckt wurde. Jemand suchte entweder absichtlich nach einem solchen Server, oder ein gutmeinendes Forschungsteam wie UpGuard stieß bei seinen routinemäßigen Scans darauf.

Im Grunde war der Vorfall also nicht einmal ein „Angriff“. Es ist eher so, als würde man eine Tasche voller Wertsachen auf einer Parkbank liegen lassen und weggehen. Wer die Tasche zuerst findet, ist reiner Zufall. Dass UpGuard sie gefunden hat, ist in diesem Szenario der beste Fall.

Wer ist betroffen

Das Hauptopfer dieses Lecks ist ohne Zweifel APIsec.ai selbst. Sie stehen vor einer der größten Reputationskrisen, die ein Sicherheitsunternehmen erleben kann. Die eigenen Daten nicht schützen zu können, während man Sicherheit an Kunden verkauft, ist ein schwer zu verzeihender Fehler. Diejenigen, die jedoch dem größten Risiko ausgesetzt sind, sind die Kunden von APIsec.

APIsec behauptet auf seiner Website, dass es „von 80 % der Fortune-100-Unternehmen genutzt wird“. Wenn diese Behauptung zutrifft, ist das potenzielle Ausmaß des Lecks enorm. Wer könnten diese Unternehmen sein? Finanzgiganten, Technologiekonzerne, Gesundheitsdienstleister, Einzelhandelsketten... kurz gesagt, genau die Organisationen, die das Rückgrat der Weltwirtschaft bilden. Obwohl die Namen dieser Unternehmen im Bericht nicht genannt wurden, könnte das Vorhandensein von Kundenlisten in den durchgesickerten Daten klar aufzeigen, wer betroffen war.

Die Betroffenen sind nicht nur diese großen Konzerne. Denken Sie an den Dominoeffekt. Die Millionen von Endnutzern, die von diesen großen Unternehmen bedient werden, sind ebenfalls indirekt gefährdet. Wenn die API-Schlüssel einer Bank durchgesickert sind, könnten auch die Kundendaten dieser Bank kompromittiert werden. Wenn die Systeme eines großen E-Commerce-Riesen kompromittiert werden, könnten die Kreditkarteninformationen von Millionen von Nutzern gefährdet sein. Daher könnten die kaskadierenden Auswirkungen des Lecks viel weitreichender sein, als es auf den ersten Blick scheint.

Was Sie tun können

An dieser Stelle sind allgemeine Ratschläge sinnlos. Zu sagen „Ändern Sie Ihr Passwort“ ist, als würde man versuchen, ein Feuer im Ozean mit einem Glas Wasser zu löschen. Die Situation erfordert viel spezifischere und ernsthaftere Schritte. Wenn Sie von dieser Nachricht betroffen sind, sollten Sie Folgendes tun:

Wenn Sie ein Kunde von APIsec.ai sind (oder vermuten, einer zu sein):

• Handeln Sie sofort: Verlieren Sie keine Zeit. Gehen Sie für einen Moment davon aus, dass alle Ihre Integrationen mit APIsec und alle Informationen, die Sie mit ihnen geteilt haben, „kompromittiert“ wurden. Dies ist keine Hypothese; es ist der Ausgangspunkt für einen Notfallplan.
• Rotieren Sie alle API-Schlüssel: Widerrufen und ersetzen Sie sofort alle API-Schlüssel, Tokens und andere Anmeldeinformationen, die mit APIsec-Systemen interagieren oder für die Sie APIsec Zugriff gewährt haben. Dies ist das digitale Äquivalent zum Austauschen der Schlösser, wenn Ihr Hausschlüssel gestohlen wurde.
• Fordern Sie eine offizielle Erklärung an: Kontaktieren Sie Ihre Ansprechpartner bei APIsec und fordern Sie einen klaren, schriftlichen Bericht darüber an, wie Ihr Unternehmen von diesem Vorfall betroffen ist. Verlangen Sie zu wissen, welche Ihrer spezifischen Daten offengelegt wurden, wie lange die Datenbank offen war und welche Informationen sie darüber haben, wer möglicherweise darauf zugegriffen hat.
• Initiieren Sie eine interne Prüfung: Starten Sie eine Notfallprüfung Ihrer eigenen Systeme, um auf verdächtige Aktivitäten an den mit APIsec verbundenen Stellen zu prüfen. Suchen Sie nach anormalen API-Aufrufen, unbefugten Zugriffsversuchen oder unerwarteten Datenübertragungen.

Wenn Sie ein Cybersicherheitsexperte oder IT-Manager sind:

• Nutzen Sie dies als Lehrstück: Dieser Vorfall zeigt einmal mehr, wie entscheidend das Risikomanagement von Drittanbietern ist. Überprüfen Sie die Sicherheitsrichtlinien und -praktiken all Ihrer Lieferanten (insbesondere Ihrer Sicherheitsanbieter). Stellen Sie ihnen die Frage: „Wie schützen Sie unsere Daten?“
• Scannen Sie Ihre eigenen Ressourcen: Führen Sie regelmäßige Scans Ihrer eigenen Cloud-Infrastruktur und Ihres Unternehmensnetzwerks durch, um nach ungeschützten Datenbanken, offenen Speicherbereichen (wie S3-Buckets) oder falsch konfigurierten Servern zu suchen. Manchmal kommt die größte Bedrohung nicht von außen, sondern von einem einfachen internen Fehler.

Was das Unternehmen sagt

Laut dem Bericht von UpGuard, der die Quelle der Nachricht ist, verhielt sich APIsec.ai nach der Benachrichtigung über das Leck kooperativ und sicherte die betreffende Datenbank schnell. Dies ist der richtige erste Schritt in einer Krise. Zum Zeitpunkt der Erstellung dieses Artikels hat APIsec.ai jedoch noch keine umfassende öffentliche Erklärung oder einen Blogbeitrag zu dem Vorfall veröffentlicht.

Auf der Website des Unternehmens und in den sozialen Medien herrscht derzeit Schweigen. Typischerweise führen Unternehmen in solchen Situationen eine interne Untersuchung durch, um den vollen Umfang des Vorfalls zu verstehen, ihre rechtlichen Verpflichtungen zu ermitteln und direkt mit ihren Kunden zu kommunizieren. Während dieses Prozesses können sie von sofortigen öffentlichen Erklärungen absehen. Für ein Unternehmen, das jedoch behauptet, 80 % der Fortune-100-Unternehmen zu bedienen, kann dieses Schweigen die Unsicherheit und Besorgnis bei den betroffenen Kunden erhöhen. Es wird erwartet, dass APIsec in den kommenden Tagen oder Stunden eine detaillierte Erklärung, eine Entschuldigung und einen Fahrplan mit den Schritten vorlegen wird, die sie ergreifen werden, um den Schaden für ihre Kunden zu minimieren. Sobald diese Erklärung veröffentlicht wird, werden wir ein klareres Bild vom wahren Ausmaß und den Auswirkungen des Lecks haben.

Quelle

https://www.upguard.com/breaches/data-leak-apisec