LONDON (IT BOLTWISE) – Laut einer Untersuchung liegen rund 19,6 Milliarden Dateien in öffentlich listbaren Cloud-Buckets offen, oft ohne Login und ohne jede Ausnutzung von Schwachstellen. Betroffen sind nicht nur harmlose Artefakte wie Logs, sondern auch hochkritische Daten wie Credential-Dateien und Datenbank-Exports. Die Studie zeigt, wie ein einzelner falscher Schalter in zentralisierten Umgebungen zu kompletten Angriffswegen werden kann. Für Unternehmen wird damit vor allem eines klar: Cloud-Security ist weniger ein „Patch“-Thema als ein Disziplin- und Governance-Thema.
Die neue Studie trifft einen Nerv, weil sie ein verbreitetes Sicherheitsgefühl zerlegt: dass Unternehmensdaten in der Cloud „irgendwo sicher eingeschlossen“ seien. Laut den Auswertungen von Mysterium VPN waren über 535.480 öffentlich auffindbare Storage-Buckets auf mehreren großen Plattformen so konfiguriert, dass Dateien ohne Authentifizierung erreichbar bzw. listenbar sind – allein über Browser und URL. Das Entscheidende ist dabei nicht die Zahl allein, sondern die Art der Dateien: Neben gewöhnlichen Dokumenten, Bildern und Logdaten tauchen auch Schlüssel- und Geheimnisdateien sowie Datenbank-Exports auf. Damit verwandelt sich Fehlkonfiguration in eine direkte Angriffsfläche.
Technisch betrachtet ist dieses Szenario weniger spektakulär als es wirkt: Bei vielen Cloud-Objekt-Storage-Systemen steuert eine Kombination aus Bucket-Policies, Objekt-ACLs, „Public Access“-Einstellungen und Sichtbarkeit der Metadaten, ob ein Objekt nur intern oder auch extern abrufbar ist. Die Forschenden haben nach eigenen Angaben die Metadaten solcher Buckets analysiert, ohne Inhalte aktiv herunterzuladen. Schon das reicht, um Dateitypen und -namen als Indikatoren für Risiko-Potenziale zu nutzen: .env-Dateien als Ablage für Passwörter, API-Keys und Tokens, .kdbx-Dateien als Passwortmanager-Vaults sowie SQL- und Backup-Dateien (.sql, .bak). Der methodische Punkt ist wichtig, weil er zeigt: Schon die „sichtbare Form“ von Daten verrät Angriffswege.
Wenn solche Artefakte zusammen auftreten, entsteht aus einzelnen Leaks ein strukturiertes Angriffsszenario. Ein Angreifer, der offene Buckets automatisiert durchsucht, kann zuerst ein Credential-Artefakt identifizieren, anschließend gezielt auf Datenbank-Exports im selben Storage verweisen und die enthaltenen Datensätze offline auswerten. Aus Sicht der Angriffsökonomie ist das besonders wirksam, weil es „keinen Einbruch“ im klassischen Sinne braucht: keine Zero-Day-Logik, kein Exploit, sondern nur das konsequente Nutzen von fehlerhafter Sichtbarkeit. Historisch kennt die Branche dieses Muster – von falsch gesetzten S3-Objekten bis zu Public-Share-Links in anderen Diensten – doch die Größenordnung demonstriert heute, wie stark Zentralsysteme Fehler vervielfachen.
Marktseitig wirkt die Studie wie ein Spiegel der Cloud-Landschaft. Mehr als zwei Drittel der exponierten Storage-Daten sollen bei AWS liegen. Das ist dabei nicht zwangsläufig ein Qualitätsurteil über einzelne Services, sondern folgt einem zweiten, oft unterschätzten Mechanismus: Defaults skalieren. Wenn AWS für den Großteil der globalen Workloads die Standardwahl ist, dann konzentrieren sich auch die Fehlkonfigurationen auf diesen Ökosystemanteil. Gleichzeitig ist der Wettbewerbsvergleich relevant: Auch Microsoft Azure und Google Cloud sind in der Studie indirekt über die Mehr-Plattform-Erfassung präsent. Für CIOs und CISO-Teams bedeutet das, dass „Plattformwechsel“ allein keine Lösung ist, solange Governance und Freigabeprozesse nicht an dieselben Sicherheitslogiken gekoppelt werden.
Branchenexperten sehen in solchen Befunden meist weniger ein technisches „Bug“-Problem als ein organisatorisches. In der Studie wird die Grundbotschaft sinngemäß zugespitzt: Offene Buckets sammeln sich schneller an, als sie bereinigt werden; die verantwortlichen Organisationen sollten Misconfiguration als strukturelles Versagen behandeln. Diese Perspektive passt zu typischen Ursachenmustern aus der Praxis: ein Entwickler legt ein .env versehentlich in Objekt-Storage ab, ein Backup-Skript zeigt auf den falschen Pfad, oder ein Team setzt „list“ anstatt „private“. Der entscheidende Unterschied zu früheren Datenschutzvorfällen ist die Kombination aus zentralisiertem Storage und maschinell skalierbarer Auffindbarkeit – dadurch werden aus menschlichen Ausrutschern massive Expositionsmengen.
Für die technische Gegenstrategie lässt sich das Problem ziemlich konkret abbilden. Erstens sollten Buckets standardmäßig „private“ sein, inklusive restriktiver Bucket-Policies und möglichst keiner öffentlichen List- oder Read-Rechte für Objekte. Zweitens sollten Secrets niemals in Objekt-Storage liegen, selbst wenn sie als „nur Metadaten“ gelten; stattdessen gehören sie in Secret-Management-Systeme mit Rotations- und Zugriffskonzept. Drittens benötigen Backups und Dumps eigene Schutzmechanismen: Verschlüsselung „at rest“ und nach Möglichkeit „end-to-end“ über Pipeline-Schritte hinweg, plus Zugriffsbeschränkungen und regelmäßige Scans. Als Vergleich lohnt sich die Gegenüberstellung Cloud-typischer Implementierung: Während ein Web-App-Server Authentifizierung und Rate-Limits ausführt, werden Daten in offen listbaren Buckets zu einer „dum-men“ Rohdatenquelle, die Schutzmechanismen der Anwendung umgeht.
Der Blick nach vorn ist weniger beruhigend, aber steuerbar. Wenn öffentlich auffindbare Buckets automatisch weiter wachsen, verschiebt sich das Risiko von „Einmalvorfall“ zu „laufendem Betriebsrisiko“. Deshalb sollten Unternehmen ihre Exposure-Footprints wie ein Angreifer monitoren: externe Sichtbarkeit testen, Bucket-Konfigurationen als Teil der Compliance behandeln und Deployments gegen Sicherheits-Gates laufen lassen. Auf Nutzerseite bleibt ebenfalls Handlungsbedarf: Da betroffene Daten oft aus Kundenbeziehungen stammen, helfen nur konsequente Einzelpasswörter, Multi-Faktor-Authentifizierung für relevante Konten sowie die Minimierung von Datenfreigaben über viele Dienste hinweg. Am Ende ist das keine „Sicherheitsphilosophie“, sondern Arithmetik: Daten, die nicht gesammelt werden, können nicht leaken – und Daten, die nicht öffentlich liegen, können nicht direkt ausgenutzt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "19,6 Milliarden Dateien öffentlich in Cloud-Buckets: Fehlkonfiguration ohne Login" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "19,6 Milliarden Dateien öffentlich in Cloud-Buckets: Fehlkonfiguration ohne Login" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »19,6 Milliarden Dateien öffentlich in Cloud-Buckets: Fehlkonfiguration ohne Login« bei Google Deutschland suchen, bei Bing oder Google News!