Immer mehr Unternehmen speichern Kundendaten, Finanzinformationen und interne Dokumente in SaaS- und Cloud-Umgebungen. Das ist verständlich: Es lässt sich schnell bereitstellen, skaliert gut und ist von überall erreichbar. Doch genau hier reicht oft ein einzelnes falsches Häkchen in der Konfiguration, damit sensible Inhalte unbeabsichtigt für Dritte erreichbar werden. Angreifer scannen das Internet automatisiert nach genau solchen Fehlern und greifen dann auf Daten zu, die eigentlich geschützt sein sollten.
Wichtig ist dabei: Es geht meist nicht um eine „klassische“ Schwachstelle, die man einfach per Patch schließen kann. Stattdessen entsteht eine Angriffsfläche durch fehlerhafte Zugriffseinstellungen und unpassende Rollen. In diesem Artikel zeigen wir, warum Misconfigurations sensible Daten gefährden, wie Angriffe typischerweise ablaufen und welche Maßnahmen Ihnen wirklich helfen, die offene Tür zu schließen.
Warum Misconfigurations statt Patch ein echtes Problem sind
Bei einer Fehlkonfiguration existiert in vielen Fällen keine technische Schwachstelle, die sofort durch einen Software-Fix behoben werden könnte. Die Plattform funktioniert oft exakt so, wie sie konzipiert ist – nur ist die Berechtigung falsch eingestellt. Dadurch können Nutzer (oder Angreifer) mehr sehen, abfragen oder anfordern als beabsichtigt.
Typische Beispiele sind zu großzügige Rechte für Gast-Accounts, APIs, die ohne ausreichende Authentifizierung erreichbar sind, oder eine Standardkonfiguration, die nach der Einrichtung nie konsequent gehärtet wurde. Solche Einstellungen können schnell große Auswirkungen haben, weil sie im Alltag unbemerkt bleiben.
So entsteht die Angriffsfläche in SaaS und Low-Code
Viele Organisationen setzen auf SaaS-Plattformen und nutzen Low-Code-Umgebungen, um Anwendungen zügig zu entwickeln oder zu erweitern. Low-Code erlaubt es, Funktionen über visuelle Bausteine zu kombinieren – ohne dass jedes Team tief in Programmiersprachen einsteigen muss. Das beschleunigt Prozesse, kann aber auch dazu führen, dass Zugriffs- und Autorisierungslogik nicht ausreichend geprüft oder dauerhaft nachgebessert wird.
Laut einer Untersuchung der Cloud Security Alliance kämpfen viele Unternehmen weiterhin damit, Zugriffe und Berechtigungen in SaaS-Anwendungen korrekt einzurichten. Gleichzeitig werden im Schnitt mehr als 100 SaaS-Anwendungen eingesetzt – das bedeutet auch: mehr Systeme, mehr Konfigurationen, mehr potenzielle Fehlerquellen. Wer hier keine klare Übersicht und Governance hat, riskiert, dass Misconfigurations sensible Daten übersehen werden.
Beobachtete Vorfälle: Wenn Konfigurationen den Zugang freigeben
In den Monaten Ende 2025 bis Anfang 2026 wurden Fälle bekannt, in denen Angreifer fehlkonfigurierte Salesforce Experience Cloud-Umgebungen missbrauchten. Dabei ging es nicht um eine Schwäche im Kernprodukt, sondern um Konfigurationsfehler auf Kundenseite. Besonders kritisch waren Szenarien, in denen Gastnutzer zu weitreichende Rechte erhielten.
In einem beschriebenen Muster konnten Daten ohne ausreichende Authentifizierung über eine Salesforce Aura API abgefragt werden. Salesforce bestätigte, dass die Ursache Konfigurationsfehler bei Kunden waren. Zusätzlich wurde eine Analyse- bzw. Prüflösung (AuraInspector) veröffentlicht, um solche Fehlkonfigurationen zu finden. Kurz danach tauchte Berichterstattung auf, dass Angreifer eine angepasste Version dieser Prüfung einsetzten und dabei offenbar eine Vielzahl von Organisationen betrafen.
Auch bei Anwendungen auf dem Mendix Low-Code-Plattformumfeld untersuchte eine niederländische Initiative (DIVD) Autorisierungsfehler in der Praxis. Im Rahmen eines umfangreichen Scans wurden dabei mehrere falsch konfigurierte Anwendungen entdeckt. Berichten zufolge waren anonyme Nutzer oder neu registrierte Benutzer zu weit berechtigt, sodass unter anderem personenbezogene Daten, Kontaktinformationen, Adressdaten, Kundeninformationen sowie Dokumente mit Identitätsbezug sichtbar sein konnten.
Wie Angreifer typischerweise vorgehen
Das Vorgehen folgt häufig einem wiedererkennbaren Ablauf. Zunächst setzen Angreifer automatisierte Verfahren ein, um das Internet nach Fehlkonfigurationen zu durchsuchen. Oft reicht bereits ein einzelnes HTTP-Anfrage-Muster, um festzustellen, ob eine Umgebung falsch eingerichtet ist.
Ist die Lücke identifiziert, können Angreifer häufig auf sensible Informationen zugreifen, ohne eine echte Schwachstelle ausnutzen zu müssen. Sie nutzen dafür die standardmäßigen Funktionen des jeweiligen Systems oder die vorhandenen API-Endpunkte. Da die Anfragen „legitim“ wirken können, ist das Verhalten nicht immer leicht von normaler Nutzung zu unterscheiden – und damit auch schwieriger zu detektieren.
Ein typischer Ablauf lässt sich in fünf Phasen beschreiben:
- Verkundung/Reconnaissance: Angreifer scannen automatisiert nach erreichbaren Systemen.
- Identifikation: Sie prüfen, ob eine Umgebung falsch konfiguriert ist.
- Zugang verschaffen: Über Standardfunktionen oder APIs fordern sie Daten an oder erweitern (Admin-)Rechte.
- Daten sammeln: Authentifizierungs- oder andere sensible Informationen werden gesammelt und abgegriffen.
- Missbrauch: Die gestohlenen Daten werden anschließend für Erpressung, Weiterverkauf, Phishing oder Folgemaßnahmen genutzt.
Vom Datenabgriff zur Erpressung: Warum es oft finanziell endet
Nach dem Datendiebstahl verfolgt ein Angriff häufig ein finanzielles Ziel. Organisationen geraten unter Druck, Zahlungen zu leisten, um die Veröffentlichung gestohlener Informationen zu verhindern. In Berichten wird beschrieben, dass Erpressung auch mit der Rolle der Medien verstärkt werden kann: Angreifer nehmen teils selbst Kontakt zu Journalisten auf oder veröffentlichen Details in öffentlichen Kanälen, um den Druck zu erhöhen.
Darüber hinaus können exfiltrierte Daten wie Namen, Telefonnummern, E-Mail-Adressen oder interne Notizen für gezielte Angriffe genutzt werden. Beispiele sind Phishing-Kampagnen, Betrug oder eine gezielte Ansprache von Mitarbeitenden und Kundinnen und Kunden. Solche Informationen werden außerdem regelmäßig in Untergrund-Märkten gehandelt.
Maßnahmen: So schließen Sie die offene Tür nachhaltig
Der wirksamste Schutz beginnt mit Prävention. Ziel ist, unsichere Konfigurationen zu verhindern, bevor Angreifer sie ausnutzen können. Dazu gehört, dass Sie eine aktuelle Übersicht über alle relevanten Plattformen, Cloud-Umgebungen und Anwendungen aufbauen und Konfigurationen sowie Zugriffsrechte systematisch dokumentieren.
Least Privilege ist dabei zentral: Trennen Sie Administrator- und Benutzerkonten, deaktivieren Sie anonyme Zugriffe, wenn sie nicht zwingend benötigt werden, und achten Sie besonders auf Gast-Accounts sowie Berechtigungen auf Anwendungsebene. Für Admin-Konten sollte Multi-Factor Authentication (MFA) verpflichtend sein.
Ebenso wichtig ist, unsichere Standardeinstellungen zu ändern, bevor ein System produktiv geht. Nutzen Sie bewährte Härtungsleitlinien wie CIS Benchmarks oder Empfehlungen aus dem NIST-Umfeld, damit Konfigurationen nicht „aus Bequemlichkeit“ lange unverändert bleiben.
Erkennung verbessern, auch wenn der Angriff „wie normal“ wirkt
Da Angreifer häufig legale Plattformfunktionen verwenden, kann Erkennung schwierig sein. Setzen Sie daher auf Hinweise, die über reine Signaturen hinausgehen: Auffälligkeiten im Verhalten, ungewöhnliche Datenmengen (Volumen) und Kontextindikatoren. Schalten Sie Audit-Logging ein und sorgen Sie dafür, dass Logs zentral gesammelt und regelmäßig ausgewertet werden.
Falls es dennoch zu einem Vorfall kommt, sollten Sie in der Reaktion davon ausgehen, dass die als sichtbar erkannten Daten sehr wahrscheinlich auch tatsächlich entwendet wurden. Außerdem gilt: Je länger eine Fehlkonfiguration besteht, desto größer wird die Wahrscheinlichkeit, dass sie irgendwann ausgenutzt wird.
Wenn personenbezogene Daten betroffen sein könnten, orientieren Sie sich an den geltenden Vorgaben zur Benachrichtigung der betroffenen Personen. Für den deutschen Kontext gibt es hierzu Richtlinien der zuständigen Datenschutzaufsichtsbehörde auf ihrer Website.
Strukturelle Routine statt einmaliger Sicherheitscheck
Misconfigurations sind nicht neu. Gerade weil sie entstehen, wenn Systeme schnell eingerichtet oder unter Zeitdruck verändert werden, brauchen sie kontinuierliche Aufmerksamkeit statt rein „reaktiver“ Checks. Eine hilfreiche Orientierung liefert ein Top-Ansatz aus dem Umfeld von NSA- und CISA-Empfehlungen, der in niederländischer Praxis in eine Top-10-Liste übersetzt und mit konkreten Hinweisen versehen wurde. So können Sie systematisch prüfen, welche Fehlkonfigurationen bei Ihnen besonders wahrscheinlich sind.
Praktisch bedeutet das: Überprüfen Sie nicht nur einzelne Dienste, sondern etablieren Sie einen Prozess, der Änderungen an Rollen, Gastzugängen, API-Berechtigungen und Standardkonfigurationen überprüfbar macht. So wird aus einem Risiko ein beherrschbares Betriebsmerkmal.
Fazit
Misconfigurations sensible Daten sind häufig die Folge von falsch eingerichteten Zugriffen und Berechtigungen – und damit eine Gefahr, die sich nicht einfach „wegpatchen“ lässt. Angreifer scannen automatisiert das Internet, identifizieren diese offenen Türen und greifen dann oft über legitime Funktionen auf Informationen zu. Umso wichtiger sind ein vollständiger Überblick über Ihre Systeme, konsequentes Least Privilege, MFA für Administratoren, sichere Standards sowie Logging und proaktive Erkennung.
Die Tür wirklich dicht zu halten beginnt damit, dass Sie wissen, dass sie überhaupt offen sein kann – und dass Sie Konfigurationen regelmäßig prüfen, bevor es zu spät ist.
Quelle: https://www.ncsc.nl/expertblogs/misconfiguraties-bieden-open-deur-tot-gevoelige-gegevens
