GitHub-Sicherheitslücke: Private und gelöschte Repos bleiben sichtbar

Sie befinden sich: Home > News Archiv > Webmaster > GitHub-Sicherheitslü...

GitHub hat ein erhebliches Sicherheitsproblem: Gelöschte und private Repositorys bleiben einsehbar. Diese Schwachstelle kann schwerwiegende Konsequenzen haben, sowohl für Unternehmen als auch für Privatpersonen. Erfahren Sie hier, wie die Sicherheitslücke funktioniert und wie Sie Ihre Daten schützen können.

Warum private und gelöschte GitHub-Quellcodes öffentlich einsehbar bleiben - und wie Sie sich schützen

GitHub ist eine der beliebtesten Plattformen zur Verwaltung und Speicherung von Quellcode. Nutzer:innen speichern ihren Code in sogenannten Repositorys, die alle wichtigen Daten und vorhergehenden Versionen enthalten. Doch eine gravierende Sicherheitslücke ermöglicht es, dass gelöschte und private Repositorys weiterhin von anderen eingesehen werden können. Diese Lücke stellt ein erhebliches Risiko dar und verlangt nach wirksamen Schutzmaßnahmen.

Wie gelöschte und private Daten auf GitHub einsehbar bleiben

Die Sicherheitslücke auf GitHub wurde von den Sicherheitsexpert:innen von Truffle Security entdeckt. Sie fanden heraus, dass gelöschte Forks und private Repositories mittels der Hash-Nummern der Commits weiterhin zugänglich sind. Dieser Mechanismus stellt ein ernsthaftes Risiko dar, da vertrauliche Informationen ungewollt offengelegt werden können.

Einsehbare gelöschte Forks

Wenn Nutzer:innen einen Fork eines öffentlichen Repositorys erstellen, Änderungen daran vornehmen und diesen Fork anschließend löschen, bleibt dieser Fork zugänglich. Alle, die die Commit-Hash-Nummer kennen, können weiterhin auf den gelöschten Fork zugreifen. Truffle Security veranschaulichte dies eindrucksvoll in einem Video, das zeigt, wie leicht diese Daten zugänglich bleiben können.

Sicherheitsprobleme bei privaten Repositories

Private Repositories sind ebenfalls betroffen. Wenn Nutzer:innen ein privates Repository erstellen und einen privaten Fork davon machen, erwarten sie, dass beide privat bleiben. Doch sobald das ursprüngliche Repository veröffentlicht wird, werden alle Änderungen des privaten Forks ebenfalls öffentlich zugänglich. Diese Offenlegung kann schwerwiegende Folgen haben, da vertrauliche Daten preisgegeben werden.

Forks von öffentlichen Repositories

Auch bei öffentlichen Repositories gibt es erhebliche Risiken. Andere Nutzer:innen können Forks von einem öffentlichen Repository erstellen. Selbst wenn das ursprüngliche Repository gelöscht wird, bleiben diese Forks zugänglich. Die Änderungen können weiterhin durch die Commit-Hashes eingesehen werden, selbst nach der Löschung des ursprünglichen Repositories. Diese Hashes sind zufällige Zeichenfolgen, die Änderungen eindeutig zuordnen. Sie können durch Brute-Force-Angriffe entdeckt werden, wenn sie nur aus wenigen Zeichen bestehen.

Warum diese Sicherheitslücke problematisch ist

Stellen Sie sich vor, ein Unternehmen nutzt GitHub zur Veröffentlichung seiner quelloffenen Software. Entwickler:innen des Unternehmens könnten Forks erstellen, um Änderungen mit sensiblen Informationen wie API-Token zu testen. Nach dem Löschen dieser Forks erwarten die Entwickler:innen, dass die Daten verschwunden sind. Tatsächlich bleiben diese Informationen jedoch zugänglich und können potenziell von Angreifer:innen ausgenutzt werden. Dies betrifft nicht nur Unternehmen, sondern auch Privatpersonen, die sensible Daten in ihren Repositories gespeichert haben.

Sensible Informationen, die in diesen Repositories gespeichert sind, können API-Keys, Zugangsdaten oder proprietären Code enthalten. Wenn solche Informationen in die falschen Hände geraten, können Unternehmen finanziellen Schaden erleiden, und Privatpersonen könnten Opfer von Identitätsdiebstahl oder anderen Cyberangriffen werden.

Schutzmaßnahmen auf GitHub

Mehrere GitHub-Nutzer:innen haben bereits 2018 auf dieses Problem hingewiesen, jedoch erklärte GitHub, dass diese Sicherheitslücke ein geringes Risiko darstelle. Daher wurde entschieden, die Lücke nicht zu schließen. Nutzer:innen müssen daher selbst aktiv werden, um ihre Daten zu schützen.

Regelmäßiger Austausch von API-Keys

Eine Empfehlung von Truffle Security ist der regelmäßige Austausch von API-Keys, die in den Repositorys hinterlegt sind. Durch die Verwendung neuer API-Keys kann der Zugang mit alten Keys verweigert werden, wodurch Dritte keinen Zugriff erlangen können. Es ist ratsam, API-Keys regelmäßig zu aktualisieren und sofort zu deaktivieren, wenn sie nicht mehr benötigt werden.

Nutzung von Geheimnis-Scannern

Eine weitere effektive Maßnahme ist die Nutzung von Geheimnis-Scannern wie GitGuardian oder TruffleHog. Diese Tools durchsuchen Repositorys nach vertraulichen Informationen und helfen dabei, diese zu identifizieren und zu entfernen, bevor sie öffentlich zugänglich werden.

Einschränkung des Zugriffs auf Repositories

Nutzer:innen sollten den Zugriff auf ihre Repositories streng kontrollieren und nur vertrauenswürdigen Personen Zugang gewähren. Es ist wichtig, regelmäßig die Zugriffsrechte zu überprüfen und sicherzustellen, dass nur autorisierte Nutzer:innen Zugriff auf sensible Daten haben.

Verwendung von Verschlüsselung

Wo immer möglich, sollten vertrauliche Daten verschlüsselt gespeichert werden. Dies stellt sicher, dass selbst wenn die Daten kompromittiert werden, sie für unbefugte Personen unlesbar bleiben.

Regelmäßige Überprüfung der Sicherheitsrichtlinien

Unternehmen und Einzelpersonen sollten ihre Sicherheitsrichtlinien regelmäßig überprüfen und anpassen, um sicherzustellen, dass sie den aktuellen Bedrohungen und Sicherheitsanforderungen entsprechen. Es ist wichtig, sich über die neuesten Sicherheitspraktiken und Bedrohungen auf dem Laufenden zu halten und entsprechende Maßnahmen zu ergreifen.

Ihre Sicherheit liegt in Ihren Händen

Die Sicherheitslücke auf GitHub zeigt, dass es entscheidend ist, proaktiv zu handeln und geeignete Schutzmaßnahmen zu ergreifen. Durch regelmäßige Überprüfung und Aktualisierung der Sicherheitsrichtlinien, den Austausch von API-Keys und die Nutzung von Sicherheits-Tools können Sie das Risiko minimieren, dass Ihre Daten in falsche Hände geraten.

Haben Sie eigene Erfahrungen mit GitHub-Sicherheitsproblemen gemacht oder weitere Tipps zur Sicherung Ihrer Repositorys? Teilen Sie Ihre Gedanken und Erfahrungen in den Kommentaren unten!

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• KI und Urheberrecht: wem gehören KI-Bilder wirklich? KI-Bilder sind in Deutschland urheberrechtlich ungeschützt. Wer sie ei...

• Website-Texte schreiben: guter Text statt Floskeln Von den Wörtern auf einer Seite werden höchstens 28 Prozent gelesen. W...

• Newsletter DSGVO: der rechtssichere Praxisleitfaden Eine einzige Werbemail ohne Einwilligung reicht für eine Abmahnung. We...

• Mehrsprachige Website erstellen: WordPress, SEO, Kosten 76 Prozent der Online-Käufer wollen Produktinfos in ihrer Muttersprach...

• DNS-Einträge erklärt: von DNS über A-Record bis MX Eine falsche Signatur legte am 5. Mai 2026 das halbe deutsche Netz lah...

• Google Maps DSGVO: Karte einbinden oder besser ersetzen Eine Google-Karte auf der Kontaktseite lädt Daten von Google, bevor je...

• Online-Terminbuchung DSGVO-konform: Calendly und Co. 64 Prozent der Deutschen haben schon online einen Arzttermin gebucht. ...

• PHP Sicherheitslücke: Notfallupdate gegen PHP2Shell Zwei kritische Sicherheitslücken im PHP-Kern lassen Angreifer ohne Pas...

• Bilder rechtssicher verwenden: Abmahnungen vermeiden Fast jedes Foto im Netz ist geschützt, auch der Handy-Schnappschuss. W...

• Zahlungsarten im Onlineshop: Kosten, Recht, Auswahl Ohne PayPal und Kauf auf Rechnung fehlt über die Hälfte der gewohnten ...