CISA-Nachbericht zeigt Verzögerungen und Meldelücken nach Offenlegung von GitHub-Zugangsdaten

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine Untersuchung zu einem Datenleck veröffentlicht, bei dem ein öffentliches GitHub-Repository eines Auftragnehmers fast sechs Monate lang interne Zugangsdaten und anderes sensibles Material enthielt.

Das als „Private CISA“ identifizierte Repository enthielt etwa 844 Megabyte an CISA-bezogenen Daten. Dem Incident-Bericht zufolge umfassten die Inhalte administrative AWS-GovCloud-Schlüssel sowie eine CSV-Datei mit Benutzernamen und Passwörtern im Klartext, die zahlreichen internen Systemen zugeordnet waren. Das Sicherheitsunternehmen GitGuardian entdeckte das Material und bat am 15. Mai 2026 um Unterstützung bei der Benachrichtigung der CISA.

CISA bestätigte den Eingang der Meldung, erklärte jedoch, dass es mehr als zwei Tage dauerte, die offengelegten AWS-Schlüssel und anderen Geheimnisse zu widerrufen. Die Behörde führte die Verzögerung teilweise auf die Komplexität ihrer Systeme und deren Verbindungen zu Partnern aus Regierung und Wirtschaft zurück. CISA erklärte, dass inzwischen alle betroffenen Geheimnisse ausgetauscht und die Zugriffsrechte des Auftragnehmers entzogen worden seien.

Lehren aus Meldung und Reaktion

In ihrem Nachbericht erklärte CISA, dass ihre Verfahren für Meldungen zur eigenen Infrastruktur nicht ausreichend klar gewesen seien. Sicherheitsforscher versuchten mehrere Wege, darunter die Kontaktaufnahme mit dem Auftragnehmer und die Nutzung der Schwachstellen-Meldeplattform der Behörde. Diese Plattform war in erster Linie für Schwachstellen in Produkten und Diensten vorgesehen und nicht für Vorfälle, die CISA direkt betrafen.

Die Behörde erklärte, dass sie ihre Meldekanäle überarbeitet, und empfahl Organisationen, Anweisungen an mehreren gut sichtbaren Stellen zu veröffentlichen, anstatt sich ausschließlich auf eine security.txt-Datei zu verlassen. Der GitGuardian-Forscher Guillaume Valadon sagte, das Unternehmen habe neun automatische Warnungen verschickt, bevor der Vorfall eskaliert wurde. Unbeantwortete Benachrichtigungen könnten dazu führen, dass eine begrenzte Offenlegung fortbestehe, so seine Argumentation.

CISA stellte außerdem Schwächen in ihrer Dokumentation zur Reaktion auf Vorfälle fest. Obwohl die Behörde über ein allgemeines Playbook für Cybersicherheitsvorfälle verfügte, deckte dieses keine Leaks mit GitHub und anderen Cloud-Diensten angemessen ab. Der überarbeitete Aktionsplan umfasst ein stärkeres Management von Entwicklergeheimnissen und eine kontinuierliche Überwachung öffentlich zugänglicher Code-Repositories.

Maßnahmen, die die Auswirkungen begrenzten

CISA erklärte, dass eine erweiterte Protokollierung und Zero-Trust-Maßnahmen den Ermittlern dabei geholfen hätten, das Ausmaß des Vorfalls zu bestimmen. Auf Grundlage ihrer Untersuchung meldete die Behörde keine Hinweise darauf, dass Kunden- oder missionsbezogene Daten offengelegt oder die Zugangsdaten außerhalb der CISA-Umgebungen verwendet wurden. Der Nachbericht stellt den Vorfall als Argument für eine schnelle Rotation von Geheimnissen, kontinuierliches Scannen und gut zugängliche externe Meldeprozesse dar.