Auf den Punkt: CISA brauchte über 48 Stunden zur Invalidierung geleakter AWS-Keys, ignorierte neun automatische Sicherheitswarnungen und hatte keine definierten Meldewege für Incidents in der eigenen Infrastruktur.
Die Cybersecurity and Infrastructure Security Agency (CISA) hat eine Analyse zum Datenleck veröffentlicht, bei dem ein Auftragnehmer monatenlang AWS-Credentials und weitere sensitive Daten in einem öffentlichen GitHub-Repository offenlegte. Die Postmortem deckt Defizite in der Reaktionsgeschwindigkeit und der Meldewege auf.
Am 15. Mai 2026 meldete das Sicherheitsunternehmen GitGuardian CISA einen öffentlich zugänglichen GitHub-Repository namens „Private CISA“. Das Repository enthielt 844 Megabyte sensibler Daten, darunter die Datei „importantAWStokens“ mit administrativen Anmeldedaten für drei AWS-GovCloud-Server. Eine weitere Datei namens „AWS-Workspace-Firefox-Passwords.csv“ enthielt Benutzernamen und Passwörter in Klartext für dutzende interne CISA-Systeme. Der Repository war bereits etwa sechs Monate lang öffentlich zugänglich gewesen, bevor GitGuardian und der Sicherheitsjournalist Brian Krebs CISA benachrichtigten.
Nach eigenen Angaben benötigte CISA mehr als 48 Stunden, um die geleakten AWS-Keys und andere kritische Secrets zu invalidieren. In ihrer Analyse schreiben die amtierenden Chief Information Officer und Chief Information Security Officer Preston Werntz und Brad Libbey die verzögerte Schlüsselrotation auf die Komplexität der CISA-Systeme und deren Verflechtungen mit föderalen und Industrie-Partnern zurück. Das Unternehmen GitGuardian hatte zudem neun automatische Benachrichtigungen zu den exponierten Credentials gesendet, die CISA alle unbeantwortet ließ.
CISA identifiziert als Hauptproblem mangelhaft definierte Meldewege für interne Incidents. Der Sicherheitsforscher musste mehrere Kanäle versuchen – E-Mail an den Auftragnehmer, Submission über CISA’s Vulnerability-Disclosure-Plattform (gedacht für Schwachstellen im breiteren Cybersecurity-Umfeld) und schließlich die Einschaltung von Medien. Die Postmortem betont, dass Meldewege deutlich kenntlich gemacht sein müssen, um zu unterscheiden, ob ein Incident die eigene Organisation oder deren Produkte und Kunden betrifft. CISA kündigte an, seine Reporting-Kanäle zu vereinfachen und will Meldeinstruktionen an mehreren prominenten Orten veröffentlichen, nicht nur in der security.txt-Datei.
GitGuardian-Forscher Guillaume Valadon kommentiert in einer Analyse: „Neun unbeantwortete Benachrichtigungen machen aus einem eintägigen Incident einen sechsmonatigen Exposure.“ Er empfiehlt CISA und anderen Organisationen, die Meldung von Lecks in der eigenen Infrastruktur genauso unkompliziert zu gestalten wie Meldungen zu Produkten, und sicherzustellen, dass derartige Reports nicht in Product-Bug-Queues landen.
CISA betont in der Analyse die Notwendigkeit kontinuierlicher Scans öffentlicher Code-Repositories auf exponierte Secrets und gibt an, inzwischen ein Aktionsplan zur verbesserten Verwaltung und Überwachung von Developer-Secrets entwickelt zu haben. Das Unternehmen verfügte zwar über ein etabliertes Playbook für Cybersecurity-Incident-Response, dieses deckte aber nicht ab, wie bei Incidents in der eigenen Infrastruktur zu verfahren ist.
Quelle: krebsonsecurity.com · Erschienen 13. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.