Secret-Scanner

Software braucht oft Zugangsdaten, um mit anderen Diensten zu sprechen. Das sind zum Beispiel Passwörter, digitale Schlüssel oder lange Zeichenketten, mit denen sich ein Programm bei einem Anbieter ausweist. Solche Zugangsdaten nennt man im Englischen „Secrets“, also Geheimnisse. Sie gehören eigentlich in einen geschützten Speicher, landen aber sehr häufig direkt im geschriebenen Programmtext. Ein Secret-Scanner ist ein Werkzeug, das genau danach sucht: Es durchkämmt Dateien und meldet jede Stelle, an der so ein Geheimnis offen sichtbar herumliegt.

Warum ein vergessener Schlüssel teuer wird

Ein offen liegender Zugangsschlüssel ist wie ein Haustürschlüssel, der außen im Schloss steckt. Wer ihn findet, kann ihn sofort benutzen. Besonders heikel wird es, wenn der Programmtext öffentlich im Internet steht, etwa auf Plattformen wie GitHub. Dort suchen automatisierte Programme rund um die Uhr nach genau solchen Funden.

Wie schnell das geht, überrascht viele. Untersuchungen zeigen, dass veröffentlichte Cloud-Schlüssel oft schon nach wenigen Minuten ausprobiert werden. Angreifer starten damit dann teure Rechenaufträge, meist zum Schürfen von Kryptowährung. Die Rechnung geht an den Eigentümer des Kontos und kann fünfstellige Beträge erreichen.

Dazu kommt ein zweites Problem. Programmtext wird meist in einer Versionsverwaltung gespeichert, die jede Änderung dauerhaft archiviert. Löscht man den Schlüssel später einfach heraus, steht er trotzdem noch in der Historie. Ein Secret-Scanner findet solche Altlasten und macht klar, dass der betroffene Schlüssel ausgetauscht werden muss.

Muster, Prüfsummen und falscher Alarm

Die einfachste Methode arbeitet mit festen Suchmustern. Viele Anbieter geben ihren Schlüsseln ein erkennbares Format, etwa einen festen Anfang und eine bestimmte Länge. Der Scanner kennt hunderte solcher Muster und meldet jeden Treffer. Zusätzlich prüft er, ob eine gefundene Zeichenkette rechnerisch stimmig ist, denn viele Schlüssel enthalten eine eingebaute Prüfziffer.

Schwieriger sind Geheimnisse ohne festes Format, zum Beispiel ein selbst gewähltes Datenbankpasswort. Hier hilft eine statistische Messung: Eine zufällig erzeugte Zeichenkette wirkt viel ungeordneter als ein normales Wort. Fachleute sprechen von hoher Entropie. Neuere Werkzeuge lassen zusätzlich ein Sprachmodell mitlesen, das den Zusammenhang bewertet und Testdaten von echten Schlüsseln unterscheidet.

Jeder Scanner steht dabei vor einem Zielkonflikt. Sucht er zu streng, meldet er ständig harmlose Beispieldaten, und das Team ignoriert die Warnungen irgendwann. Sucht er zu locker, rutscht ein echter Schlüssel durch. Gute Werkzeuge fragen deshalb beim jeweiligen Anbieter nach, ob ein gefundener Schlüssel überhaupt noch gültig ist.

Vom Entwickler-Laptop bis in die Schlagzeilen

Im Alltag von Softwarefirmen laufen Secret-Scanner an zwei Stellen. Zum einen direkt auf dem Rechner der Entwicklerin, kurz bevor eine Änderung abgeschickt wird. Zum anderen auf dem Server, der jede eingehende Änderung automatisch prüft. Findet er etwas, wird die Änderung blockiert, bis das Geheimnis entfernt ist.

GitHub betreibt einen solchen Scanner für alle öffentlichen Projekte kostenlos und informiert bei einem Fund direkt den betroffenen Anbieter. Der kann den Schlüssel dann sperren, oft bevor Schaden entsteht. Daneben gibt es freie Werkzeuge wie Gitleaks oder TruffleHog und kommerzielle Anbieter wie GitGuardian.

In den Nachrichten taucht das Thema meist nach einem Datenleck auf. Sehr oft war der Einstiegspunkt kein raffinierter Angriff, sondern ein vergessener Schlüssel in einem alten Projekt. Mit dem Aufstieg von KI-Programmierassistenten ist das Risiko eher gestiegen, denn diese Systeme erzeugen sehr schnell sehr viel Programmtext. Ein Secret-Scanner ersetzt keinen sicheren Passwortspeicher, er ist das Sicherheitsnetz darunter.