Kundendatenbank gehackt:
OneLogin entfleucht ein AWS-Schlüssel

Der US-Passwort-Verwalter OneLogin hat in dieser Woche einen unerlaubten Zugriff auf seine Datenbanken registriert. Derzeit steht noch nicht fest, ob Kundendaten bereits in Hände von Dritten gelangen und genutzt werden können. Der Anbieter ist vor allem durch die Single-Sign-In-Option für Web-Anwendungen bei Unternehmen beliebt. OneLogin hat die Verletzung ihres Sicherheitssystems laut eigenen Angaben am Mittwoch bemerkt und konnte den Zugriff auf die Datenbanken stoppen. Der Dienst hat anschließend einen Bericht im hauseigenen Blog veröffentlicht und seine Kunden vor einer möglichen Einsicht in sensible Daten gewarnt. Ein Unbekannter konnte, soweit bisher bekannt ist, die AWS-API von OneLogin kompromittieren. Das soll über einen "kleineren Dienstanbieter in den USA" erfolgt sein, den das Unternehmen als Host verwendet, erklärt OneLogin. Betroffene AWS-Schlüssel wurden dann mit allen betroffenen Instanzen heruntergefahren und abgeschaltet. Infografik: Alles rund ums Passwort

Teils in Klartext

Was in der Zwischenzeit durch den Angreifer genau erreicht werden konnte, ist nicht klar. Es sei aber denkbar, dass der Angreifer nicht nur den Zugriff auf die Datenbanken hatte, sondern auch die Fähigkeit hat, die Daten, die von OneLogin verschlüsselt werden wieder zu entschlüsseln. Zudem werden von OneLogin nicht alle Kundendaten in der Datenbank verschlüsselt, so dass einige Details damit im Klartext für den Hacker zur Einsicht standen. Was man mit den Daten anstellen könnte ist nicht bekannt, da das Unternehmen zumindest öffentlich keine Angaben dazu macht, was unverschlüsselt vorlag.

In diesem Fall könnte der Angreifer die gespeicherten Kunden-Login-Daten bei Fremdanbietern auch tatsächlich nutzen. OneLogin empfiehlt daher seinen Kunden zur Vorsicht ihr Master-Passwort zu ändern und für die verwalteten Accounts neue Passwörter, Tokens oder Schlüssel zu generieren.

In Deutschland ist das Angebot unter anderem durch eine Partnerschaft mit T-Systems bei Konzernen weit verbreitet.

Download 1Password: Umfassender Passwortmanager Download KeePass Professional - Passwort-Sammlungs-Tool