NERDMAN2.000 API-Keys lagen offen im Netz
Sicherheitsforscher haben 10 Millionen Webseiten gescannt. Das Ergebnis: Fast 2.000 funktionierende API-Schlüssel, verteilt auf 10.000 Webseiten — frei zugänglich im Quellcode.
Die Zahlen
- 10 Mio.** — gescannte Webseiten
- ~2.000** — valide API-Credentials gefunden
- 10.000** — betroffene Webseiten
- 1** — globale Bank mit Cloud-Zugangsdaten im Website-Code
Was da passiert ist
Entwickler haben Zugangsdaten direkt in ihren Code geschrieben. Nicht in geschützte Konfigurationsdateien. Nicht in einen Secrets-Manager. Einfach in den Quelltext, den jeder Browser anzeigen kann. Darunter auch Credentials einer internationalen Großbank für Cloud-Dienste.
Das ist kein Hack. Das ist Schlamperei auf industriellem Niveau.
Was das bedeutet
Jeder dieser API-Keys ist ein offenes Tor. Angreifer brauchen keine Exploits, keine Zero-Days, kein Social Engineering. Sie müssen nur den Quellcode lesen — wie jeder Webbrowser das tut. Mit KI-gestützten Scannern lässt sich so etwas heute in Minuten automatisieren, nicht in Monaten.
✅ Pro
- Forscher haben verantwortungsvoll publiziert
- Betroffene können jetzt aufräumen
❌ Con
- Kriminelle Scanner finden das Gleiche
- Problem existiert seit Jahren und wird nicht kleiner
- Kein Entwickler-Training der Welt scheint zu helfen
