Secret-Muster
Ein Secret-Muster ist eine Suchregel, die typische Formen von Zugangsdaten wie Passwörtern oder Schlüsseln in Texten und Programmcode erkennt. Firmen nutzen solche Muster, um versehentlich veröffentlichte Zugangsdaten zu finden, bevor Angreifer sie ausnutzen.
Programme greifen ständig auf fremde Dienste zu: eine Wetter-App holt Daten von einem Wetteranbieter, ein Onlineshop bucht Geld über einen Zahlungsdienst ab. Damit der fremde Dienst weiß, wer da anfragt, braucht das Programm eine Art digitalen Ausweis. Diese Ausweise sind lange Zeichenketten aus Buchstaben und Zahlen, und sie heißen in der Fachsprache Secrets, also Geheimnisse. Ein Secret-Muster ist eine Regel, die beschreibt, wie so ein Ausweis typischerweise aussieht. Mit dieser Regel kann ein Computer riesige Textmengen durchsuchen und meldet jede Stelle, die dem Aussehen eines solchen Ausweises entspricht. So findet man Geheimnisse, die versehentlich an einer öffentlichen Stelle gelandet sind.
Ein Schlüssel im Quelltext ist ein offenes Haus
Entwickler schreiben ihren Programmcode meistens nicht allein, sondern laden ihn auf Plattformen wie GitHub hoch. Dort arbeiten Teams gemeinsam daran, und viele Projekte sind sogar für alle sichtbar. Wenn jemand dabei aus Bequemlichkeit einen Zugangsschlüssel direkt in den Code schreibt, ist dieser Schlüssel plötzlich öffentlich. Wer ihn findet, kann sich gegenüber dem fremden Dienst als das Unternehmen ausgeben.
Die Folgen reichen von teuer bis existenzbedrohend. Ein gestohlener Cloud-Schlüssel wird von Angreifern gern genutzt, um auf fremde Rechnung Kryptowährung zu berechnen. Die Rechnung kann innerhalb weniger Tage fünfstellig werden. Schlimmer ist der Fall, in dem der Schlüssel Zugriff auf eine Kundendatenbank erlaubt. Dann geht es um Namen, Adressen und Zahlungsdaten von echten Menschen.
Deshalb durchsuchen große Plattformen und Firmen ihren Code automatisch nach solchen Funden. Das Tempo ist dabei entscheidend. Untersuchungen zeigen, dass öffentlich hochgeladene Schlüssel oft schon nach wenigen Minuten von automatisierten Programmen entdeckt und ausprobiert werden. Ein Mensch, der einmal pro Woche nachschaut, kommt viel zu spät.
Vom Präfix zur Prüfsumme
Die einfachste Form eines Secret-Musters ist ein Suchtext mit Platzhaltern, technisch ein regulärer Ausdruck. Er beschreibt zum Beispiel: erst die feste Buchstabenfolge sk-, dann 48 beliebige Buchstaben oder Ziffern. Viele Anbieter helfen absichtlich mit, indem sie ihren Schlüsseln einen festen Anfang geben. Solche Präfixe sind unverwechselbar und machen die Suche sehr treffsicher.
Schwieriger wird es bei Geheimnissen ohne festes Erkennungszeichen, etwa reinen Zufallszeichenketten oder Passwörtern. Hier arbeiten Werkzeuge zusätzlich mit dem Umfeld: Steht in der Zeile davor das Wort password oder token? Und sie messen die Unordnung der Zeichenfolge, die sogenannte Entropie. Ein echtes Passwort sieht chaotischer aus als ein normales englisches Wort. Beides zusammen ergibt eine Wahrscheinlichkeit, keine Gewissheit.
Genau darin liegt der typische Irrtum. Ein Treffer bedeutet nicht automatisch, dass ein echtes Geheimnis gefunden wurde. Beispielcode in Anleitungen enthält oft erfundene Schlüssel, die genauso aussehen. Solche Fehlalarme heißen False Positives, und zu viele davon führen dazu, dass Entwickler Warnungen ignorieren. Bessere Werkzeuge prüfen deshalb bei einem Treffer direkt beim Anbieter nach, ob der gefundene Schlüssel überhaupt noch gültig ist.
Wo Secret-Muster im Arbeitsalltag auftauchen
Am häufigsten laufen sie unsichtbar im Hintergrund von Entwicklungsplattformen. GitHub prüft hochgeladenen Code automatisch und informiert bei einem Fund sowohl das Team als auch den betroffenen Anbieter. Der sperrt den Schlüssel dann oft von sich aus. Zusätzlich gibt es Prüfungen direkt auf dem Rechner des Entwicklers, die einen Upload blockieren, bevor er passiert.
Durch KI hat das Thema an Schärfe gewonnen. Chatbots, die beim Programmieren helfen, bekommen ganze Dateien vorgelegt und geben Code zurück. Damit können Geheimnisse in Systeme wandern, die niemand dafür vorgesehen hat. Viele Unternehmen schalten Secret-Muster deshalb vor die Schnittstelle zum KI-Modell und schwärzen erkannte Zugangsdaten vorher.
In Nachrichten begegnet dir der Begriff meist nach einem Datenleck. Wenn dort steht, ein Angreifer habe sich über einen offengelegten API-Schlüssel Zugang verschafft, dann hat entweder kein Muster gegriffen oder niemand hat die Meldung ernst genommen. Abgrenzen sollte man Secret-Muster von der eigentlichen Geheimnisverwaltung: Das Muster findet Fehler im Nachhinein, ein Secrets-Manager verhindert sie, indem er Zugangsdaten getrennt vom Code aufbewahrt.