SAN FRANCISCO / LONDON (IT BOLTWISE) – Salesforce hat die App-Integration von Klue Battlecards vorerst deaktiviert, nachdem ein Missbrauch von OAuth-Tokens ungewöhnliche Aktivitäten ausgelöst haben soll. Betroffen ist nach Angaben des Unternehmens ausschließlich die Verbindung über die Klue-App zu Salesforce, nicht aber eine Schwachstelle in der Salesforce-Plattform selbst. Parallel berichtet Klue von Zugriffen über eine kompromittierte Alt-Zugangsdaten-Variante und setzt auf Rückruf von Tokens, Entfernung unautorisierter Codes und eine umfassende Untersuchung. Für Unternehmen bedeutet das: Drittanbieter-Integrationen gelten zunehmend als ein zentraler Angriffspfad in CRM-Ökosystemen.
Salesforce zieht nach einem kompromittierenden Sicherheitsvorfall eine klare Linie: Die Integration der Klue Battlecards-App ist innerhalb der Salesforce-Plattform vorerst deaktiviert. Hintergrund ist ein OAuth-Token-Missbrauch, der am 11. Juni 2026 erkannt wurde und nach Einschätzung der Sicherheitsverantwortlichen zu einem unautorisierten Zugriff auf eine Teilmenge von Kundendaten über die App-Verbindung geführt haben könnte. Salesforce betont dabei, dass die Maßnahme nicht aus einer Schwachstelle in der eigenen Plattform resultiert, sondern aus „ungewöhnlicher Aktivität“ rund um die Klue-App. Damit stellt sich der Vorfall weniger als klassischer Softwarefehler, sondern als Risiko durch Vertrauensketten in Drittanbieter-Integrationen dar.
Technisch ist der Mechanismus diesmal besonders aussagekräftig, weil OAuth-Token und nicht primär Passwörter im Mittelpunkt stehen. In Klues Schilderung setzte der Angriff bei einer kompromittierten Legacy-Credential an, die einst für ein Prototyping einer Drittanbieter-Integration erstellt und später aufgegeben worden war. Mit dieser Alt-Identität konnten Angreifer Zugriff auf OAuth-Tokens erlangen, die Klue zur Kopplung an externe Plattformen nutzt – darunter auch Salesforce. Anschließend nutzten sie diese Tokens, um innerhalb mehrerer verbundener Kundenumgebungen zu operieren. Zentral ist: Selbst wenn Integrationen „vertrauenswürdig“ wirken, sind persistente Identitäten und Tokens häufig weiter offen als Mitarbeiterkonten, deren Verhalten stärker überwacht wird.
Die Folgen zeigen sich in den Datenarten, die in den betroffenen Salesforce-Konten kopiert worden sein sollen. Berichten zufolge umfasste die Exfiltration Business-Contacts, Preisangebote sowie weitere vertriebsbezogene Informationen und Nachrichten. Gleichzeitig hebt Huntress hervor, dass keine „Threat Data“, keine Passwörter, keine Zahlungsdaten und keine Engineering- oder Agent-bezogenen Telemetriedaten betroffen gewesen seien. Dieses Muster passt zu einem Angriffsziel, das primär wertvolle Go-to-Market-Informationen und Kontext für Erpressung oder gezielte Manipulation priorisiert. Besonders brisant ist die Kommunikation, die spätere Opfer per E-Mail erhielt, unter anderem mit dem Betreff „top secret email“ und einer Frist von 48 Stunden zur Kontaktaufnahme. Solche Droh-Szenarien erhöhen den Druck auf Security- und Sales-Operations-Teams, ohne dass die technische Ursache allein schon daraus ableitbar ist.
Der Angreifer wird als Erpressungsgruppe „Icarus“ beschrieben, die laut Berichten seit Ende April 2026 aktiv sei und bisher zwei Opfer beansprucht. In der Analyse wird jedoch deutlich, dass das Vorgehen kein Einzelfall ist: Die Kampagne soll in Teilen an frühere Angriffswellen erinnern, bei denen u. a. ShinyHunters und UNC6395 im Kontext von OAuth-orientiertem Missbrauch genannt wurden. Relevant ist außerdem der Vergleich zu vergangenen Salesforce-Angriffen, etwa im Umfeld der kompromittierten Salesloft-Drift- und Gainsight-Umgebungen. ReliaQuest beschreibt dabei ein wiederkehrendes Playbook: Erst erfolgt die Authentifizierung über ein kompromittiertes Integrations-Servicekonto, anschließend werden OAuth-Tokens generiert und per automatisierten Skripten Massendaten abgefragt. Damit wird der Markttrend bestätigt, dass nicht menschliche Accounts, sondern Maschinen-Identitäten die neue Angriffsfläche bilden.
ReliaQuest-Forschende Thassanai McCabe und Alexa Feminella ordnen das beobachtete Verhalten als Muster ein, das sich stark an den REST-API-Abrufmechanismen von Salesforce orientiert. In ihren Beobachtungen wurden u. a. Objektkataloge über GET-Endpunkte enumeriert und anschließend Abfragen gegen den Query-Endpunkt ausgeführt, dabei paginiert über QueryMore-Cursor. Auffällig ist die dabei beobachtete Automatisierung mit Python-typischen Signaturen, die auf „urllib“-User-Agents hindeuten. Die Kampagne sei von einer langen Extraktionsphase begleitet gewesen: In einem Fall kam es zu einem dichten Burst von nahezu 1.000 Queries innerhalb von 15 Minuten, in einem anderen blieb das Datenabziehen über mehr als sechs Stunden bestehen. Genau diese Kombination aus Persistenz, Token-Nutzung und API-Loop erklärt, warum Security-Teams den Unterschied zwischen „normaler Integration“ und „Scraping/Exfiltration“ schwerer erkennen, wenn sie nicht speziell für Machine-Identities optimiert sind.
Für die Enterprise-Praxis ergibt sich daraus eine klare Priorisierung: OAuth-Integrationen müssen wie „hochprivilegierte Schnittstellen“ behandelt werden. Der Kern liegt in der Vergleichbarkeit zu Cloud- und API-Security: Wer Tokens ausgibt, muss auch deren Lebenszyklus, Scope und Revocation-Strategie beherrschen. Klue berichtet, Maßnahmen ergriffen zu haben, darunter das Zurücksetzen betroffener Credentials und Tokens, das Entfernen unautorisierter Logik, das Stoppen von Remote Access sowie das Deaktivieren potenziell kompromittierter Integrationen. Salesforce blockiert derweil die Verbindung über Klue Battlecards bis zur weiteren Klärung. In der Praxis bedeutet das für Kunden, dass nicht nur das betroffene Drittanbieter-Tool, sondern auch die angrenzenden CRM-Workflows und Datenflüsse neu bewertet werden müssen.
Der Markt bekommt damit eine weitere Bestätigung für eine Entwicklung, die seit Jahren in der Security-Industrie diskutiert wird: Angriffe verlagern sich vom Perimeter in die Integrationsschicht. Während traditionelle Alarmierungen oft auf menschliche Konten und „untypisches Login-Verhalten“ fokussieren, sind API-Last, Cursor-Pagination und breit skalierte Query-Schleifen manchmal weniger eindeutig als kompromittierte Benutzeranmeldungen. Der Vorfall zeigt außerdem, wie derartige Angriffe durch „vertraute“ Vendor-Identitäten profitieren: Diese verfügen über persistente, teils weitreichende Rechte, werden aber häufig weniger intensiv überwacht als Mitarbeiterkonten. Als technische Gegenmaßnahme gilt deshalb, Integrations-Scopes zu minimieren, Token-Generierung zu härten, und Monitoring eng an REST-Patterns zu koppeln, nicht nur an Auth-Events.
Mit Blick auf die Zukunft werden Unternehmen mehrere Konsequenzen abwägen müssen. Erstens wird die Nachfrage nach granularen OAuth-Policies und schnelleren, standardisierten Revocation-Prozessen steigen, weil Token-Missbrauch häufig innerhalb kurzer Zeiträume große Datenmengen berühren kann. Zweitens dürften Anbieter ihre Integrations- und Credential-Hygiene verschärfen: Legacy-Zugänge, die „abgeschaltet“ wirken, müssen technisch wirklich inaktiv sein, sonst bleiben sie als Eintrittstor bestehen. Drittens ist die Wahrscheinlichkeit hoch, dass Salesforce- und CRM-Ökosysteme ihre Sicherheitskontrollen weiter an das OAuth- und API-Verhalten anpassen, ähnlich wie es in der Vergangenheit bei anderen Integrationskompromissen diskutiert wurde. Für Entwickler ergibt sich daraus ein klarer Auftrag: Security-Logging, Rate-Limits, Least-Privilege und die Entkopplung sensibler CRM-Objekte sollten in Roadmaps und Architekturentscheidungen fest verankert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Salesforce sperrt Klue-Integration nach OAuth-Token-Missbrauch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Salesforce sperrt Klue-Integration nach OAuth-Token-Missbrauch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Salesforce sperrt Klue-Integration nach OAuth-Token-Missbrauch« bei Google Deutschland suchen, bei Bing oder Google News!