Domains einsammeln: Startup-Pleiten sind ein Sicherheitsproblem

Wenn Startups pleite gehen, erfolgt die Abwicklung oft genug nicht sauber. Dadurch können vor allem für die Mitarbeiter, aber auch Kunden eklatante Sicherheits-Probleme entstehen, wie eine aktuelle Analyse mit Fokus auf Google zeigt.

Google Workspace im Fokus

Denn viele Startups nutzen Google Workspace für E-Mails, Dokumente und andere geschäftliche Aufgaben. Doch ein Sicherheitsrisiko entsteht, wenn die Firmen ihre Domains nach der Pleite und der folgenden Schließung unzureichend absichern. Laut des Berichts von Dylan Ayrey, Sicherheitsexperte bei Truffle Security, kann der Kauf einer Domain eines gescheiterten Startups den Zugang zu sensiblen Daten ermöglichen.

Ayrey zeigte, dass Google Workspace-Konten mit diesen verlassene Domains reaktiviert werden können, wodurch teils auch Zugänge zu Drittanbieter-Apps wie Slack, Zoom oder auch ganzen Personalverwaltungssystemen möglich sind. Mit einer testweise gekauften Domain erhielt der Sicherheitsforscher unter anderem Einblicke in Steuerunterlagen, private Nachrichten und Details aus Bewerbungsgesprächen.


Ayreys Analyse zeigt, dass rund 50 Prozent aller Startups Google Workspace verwenden. Bei einer hohen Ausfallrate von 90 Prozent entstehen zahlreiche ungesicherte Domains. Das Hauptproblem: Die Nutzerkonten bleiben aktiv, auch wenn ein Google Workspace-Konto gekündigt wird.

Google selbst bestätigt die Problematik und verweist auf Empfehlungen, wie Unternehmen ihre Domains ordnungsgemäß schließen können. Ayrey hatte seine Erkenntnisse im September 2024 an Google gemeldet, doch zunächst wurde das Problem nicht als Sicherheitslücke anerkannt. Erst nach einem öffentlichen Vortrag auf der Shmoocon-Konferenz änderte Google seine Haltung, zahlte eine Bug-Bounty-Belohnung und versprach, die Vorfälle weiter zu untersuchen.

OAuth kaputt

Ein Kern-Problem dabei: Ein zentraler Schutzmechanismus in Googles OAuth-System, der sogenannte "sub"-Identifier, sollte eigentlich verhindern, dass reaktivierte Konten zusätzlich Zugriff auf Drittanbieter-Dienste gewähren. Doch laut Ayrey funktioniert dieser Mechanismus bei einer signifikanten Anzahl von Logins nicht zuverlässig. Seine Tests zeigten, dass er bei allen getesteten Diensten Zugriff erlangte, was auf fehlende oder fehlerhafte Implementierungen hindeutet.

Ayrey schlug vor, Googles System um zwei neue unveränderliche Identifikatoren zu erweitern: einen für Nutzer und einen für Domains. Bislang hat Google keine weiteren Maßnahmen angekündigt.


Siehe auch: