Salesforce deaktiviert Klue App nach Datenleck

Was ist passiert

Salesforce, einer der Giganten der Tech-Welt, hat die Verbindung zu Klue, einer der beliebtesten Anwendungen auf seinem AppExchange-Marktplatz, gekappt. In einer Erklärung vom 19. Juni 2026 gab das Unternehmen bekannt, dass es die Klue-Integration auf unbestimmte Zeit deaktiviert hat. Warum wurde diese Entscheidung so plötzlich getroffen? Der Grund ist eines der gefürchtetsten Szenarien in der Cybersicherheitswelt: Kundendaten gelangen in unbefugte Hände.

Der Vorfall begann, als die Sicherheitsteams von Salesforce anormale API-Aufrufe über die Klue-Anwendung feststellten. Untersuchungen ergaben, dass die Autorisierungsschlüssel (OAuth-Tokens), die die Klue-App für den Zugriff auf Salesforce-Systeme verwendet, missbraucht wurden. Ein Angreifer, der diese Schlüssel erlangt hatte, gab sich als die Klue-Anwendung aus und verschaffte sich Zugang zu den Daten von Salesforce-Kunden. Diese Situation zwang Salesforce zu sofortigem Handeln, und der Stecker für die Klue-App wurde gezogen, um eine potenziell größere Katastrophe zu verhindern. Dies ist keine einfache technische Störung, sondern eine ernsthafte Sicherheitsverletzung, die die Vertrauensbrücke zwischen den beiden Plattformen erschüttert hat.

Welche Daten wurden kompromittiert

Weder Salesforce noch Klue haben bisher genaue Zahlen oder eine detaillierte Liste zum Umfang des Lecks und zur Art der kompromittierten Daten veröffentlicht. Aufgrund der Art des Vorfalls wird jedoch vermutet, dass die durchgesickerten Daten sehr sensibel sein könnten. Salesforce ist die weltweit größte CRM-Plattform (Customer Relationship Management). Das bedeutet, dass in ihren Systemen kritische Geschäftsdaten wie Kundenkontaktinformationen, Verkaufschancen, Vertragsdetails, E-Mail-Korrespondenz und unternehmensspezifische Notizen gespeichert sind. Da Klue eine Plattform zur Wettbewerbsanalyse ist, kann sie strategische Informationen und Analysen, die Unternehmen über ihre Konkurrenten sammeln, mit Salesforce-Daten kombinieren.

Daher könnten die Arten von Daten, auf die die Angreifer möglicherweise zugegriffen haben, Folgendes umfassen:

• Kunden- und Interessentenlisten (Name, E-Mail, Telefonnummer)
• Informationen über die Verkaufszyklen und Geschäftsgrößen von Unternehmen
• Interne Korrespondenz und Notizen zu Kundengesprächen
• Strategische Informationen und Analysen über Wettbewerber

Salesforce gab bekannt, dass es die betroffenen Kunden direkt benachrichtigt hat. Es wurde jedoch nicht öffentlich gemacht, welche Kunden und wie viele Datensätze insgesamt betroffen waren. Diese Unsicherheit sorgt für Beunruhigung, insbesondere bei Unternehmen, die die Klue-Anwendung aktiv nutzen.

Wie der Angriff geschah

Im Zentrum des Angriffs steht der „Missbrauch von OAuth-Tokens“. Um dies verständlicher zu machen, verwenden wir eine Analogie: Ein OAuth-Token ist wie eine spezielle Schlüsselkarte, die Sie einer Anwendung (Klue) geben, um in Ihrem Namen auf eine andere Anwendung (Salesforce) zuzugreifen. Diese Karte verhindert, dass Sie Ihr Passwort direkt weitergeben müssen, und erlaubt nur das Öffnen bestimmter Türen (Zugriff auf bestimmte Daten). Dies ist eine sehr verbreitete und allgemein sichere Methode, die zwischen modernen Cloud-Anwendungen verwendet wird.

Aber in diesem Fall ging etwas schief. Laut den Informationen im Quellenbericht haben Angreifer irgendwie diese digitalen Schlüsselkarten von Klue in die Hände bekommen. Obwohl die technischen Details des Angriffs nicht vollständig offengelegt wurden, ereignen sich solche Vorfälle normalerweise auf verschiedene Weisen: Eine Schwachstelle in den Servern von Klue, die Speicherung der Schlüssel an einem unsicheren Ort oder die Kompromittierung des Computers eines Entwicklers könnten zu dieser Situation führen. Salesforce betonte, dass das Problem nicht auf eine Schwachstelle in den eigenen Systemen zurückzuführen sei, sondern auf eine Schwäche auf Seiten von Klue. Die Angreifer nutzten diese gestohlenen Schlüssel, um Anfragen an die Salesforce-API (Application Programming Interface) zu senden, sich als die legitime Klue-Anwendung auszugeben und Daten zu exfiltrieren. Es ist noch nicht bekannt, wie lange der Angriff andauerte.

Wer ist betroffen

Dieses Datenleck betrifft nicht alle Salesforce-Benutzer. Direkt betroffen sind die Unternehmen, die ihre Salesforce-Konten mit der Klue-Anwendung integriert hatten, und wiederum deren Kunden. Klue ist eine Plattform, die hauptsächlich von Vertriebs- und Marketingteams genutzt wird, um Wettbewerber zu beobachten, Marktanalysen durchzuführen und Vertriebsstrategien zu stärken. Daher kann man sagen, dass B2B-Technologie-, Software- und Beratungsunternehmen, die diese Integration nutzen, zur primären Risikogruppe gehören.

Wenn Ihr Unternehmen Salesforce verwendet, aber keine Integration mit Klue hat, sollten Sie von diesem speziellen Vorfall nicht direkt betroffen sein. Dennoch dient dieses Ereignis als Warnung für das gesamte Salesforce-Ökosystem. Es gibt Tausende von Apps im AppExchange, und jede Integration schafft eine potenzielle Angriffsfläche. Wir haben erneut gesehen, dass Unternehmen die Sicherheitsrichtlinien und Berechtigungsstufen jeder Drittanbieter-Anwendung, die sie mit Salesforce verbinden, sorgfältig überprüfen müssen.

Was Sie tun können

Wenn Ihr Unternehmen die Integration von Klue und Salesforce genutzt hat, sollten Sie prüfen, ob Sie eine direkte Benachrichtigung von Salesforce erhalten haben. Auch wenn Sie keine Benachrichtigung erhalten haben, ist es ratsam, einige proaktive Schritte zu unternehmen:

• Überprüfen Sie die Salesforce-Zugriffsprotokolle: Überprüfen Sie die Audit-Protokolle von Salesforce, um den jüngsten Datenzugriff über die Klue-Anwendung zu untersuchen. Untersuchen Sie alle Aktivitäten, die abnormal erscheinen, außerhalb der Geschäftszeiten stattfinden oder von unerwarteten geografischen Standorten stammen.
• Auditieren Sie die Berechtigungen verbundener Apps: Überprüfen Sie die Berechtigungen aller mit Ihrem Salesforce-Konto verbundenen Drittanbieter-Anwendungen, nicht nur die von Klue. Fragen Sie sich, ob eine App Zugriff auf Daten hat, die sie nicht wirklich benötigt. Befolgen Sie das „Prinzip der geringsten Rechte“ und entziehen Sie unnötige Berechtigungen.
• Setzen Sie Passwörter und Schlüssel zurück: Als Vorsichtsmaßnahme kann es eine gute Idee sein, die Passwörter und API-Schlüssel von Salesforce-Benutzern zurückzusetzen, die möglicherweise mit Klue in Verbindung stehen.
• Seien Sie vorsichtig bei Phishing-Angriffen: Die kompromittierten Daten könnten für gezielte Phishing-Angriffe auf Ihre Mitarbeiter oder Kunden verwendet werden. Geben Sie eine entsprechende Warnung in Ihrem Unternehmen heraus.
• Prüfen Sie, ob Ihre Daten betroffen sind: In solchen Situationen ist es wichtig herauszufinden, ob Ihre Daten bei anderen Lecks offengelegt wurden. Sie können den Status Ihrer E-Mail-Adressen mit einer zuverlässigen Datenleck Suche überprüfen.

Was die Unternehmen sagen

In seiner Erklärung zu dem Vorfall betonte Salesforce, dass die Kundensicherheit oberste Priorität habe. Das Unternehmen sagte: „Nachdem unser Sicherheitsteam ein Problem mit der Klue-Anwendung identifiziert hatte, haben wir die App sofort deaktiviert, um unsere Kunden zu schützen. Wir haben uns direkt mit der kleinen Anzahl betroffener Kunden in Verbindung gesetzt. Wir können bestätigen, dass dieses Problem nicht auf eine Schwachstelle in der Salesforce-Plattform zurückzuführen ist.“

In einer Erklärung von Klue hieß es, man sei sich der Ernsthaftigkeit der Situation bewusst und arbeite uneingeschränkt mit Salesforce zusammen. Der CEO von Klue sagte: „Wir bedauern diesen Vorfall zutiefst. Wir überprüfen unsere Sicherheitsprotokolle und arbeiten mit einer externen Cybersicherheitsfirma zusammen, um die Ursache dieses Problems zu finden. Wir werden alles tun, um das Vertrauen unserer Kunden zurückzugewinnen.“

Beide Unternehmen fügten hinzu, dass die Untersuchung andauere und sie die Öffentlichkeit und ihre Kunden informieren würden, sobald neue Informationen verfügbar seien.

Quelle

https://thehackernews.com/2026/06/salesforce-disables-klue-app.html