DigiCert informiert Kunden nach Datenpanne im Archiv mit Ausweisdokumenten

DigiCert beginnt mit der Benachrichtigung

Laut Mitteilung beschränkten sich die offengelegten Daten auf Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Geschäftsadressen. Hatte ein Kunde einen Identitätsnachweis eingereicht, konnte darunter auch ein Führerschein, ein Reisepass, eine Stromrechnung oder ein anderes Dokument mit Name und Adresse sein. Der Cloud-Architekt Fabian Bader veröffentlichte eine Kopie auf X.

Damit betrifft die Panne eine eng umrissene Gruppe: Menschen, die ein Zertifikat gekauft und für die Prüfungen von DigiCert Ausweispapiere hochgeladen haben. Das Unternehmen prüft diese Dokumente nach eigenen Angaben noch, um festzustellen, wer betroffen ist, und will die Betroffenen nach Abschluss der Prüfung informieren. Wie viele Personen, Organisationen oder Dokumente betroffen sind, teilt es nicht mit und bezeichnet den betroffenen Teil des Archivs nur als klein.

Baders Beitrag war deutlich. „Danke @digicert, dass euer Datenleck sich auf genau meine vollständigen personenbezogenen Daten und möglicherweise alle Verifizierungsdokumente beschränkte, die ich für mein Zertifikat eingereicht habe“, schrieb er.

DigiCert bestätigte den unbefugten Zugriff am 19. Oktober 2026 und reichte am Folgetag den vorläufigen Vorfallbericht ein. Das Konto hatte nach Angaben des Unternehmens nur Lesezugriff und konnte Datensätze weder ändern noch Zertifikatsprüfungen freigeben oder Zertifikate ausstellen.

Wie ein Serverumzug ein Archiv öffnete

Auslöser war ein Serverumzug am 4. Februar 2025. Bei einer Infrastrukturmigration geriet ein internes Geschäftssystem aus einem Netzsegment, das nur über ein VPN erreichbar war, in eine Availability Zone, die aus dem Internet erreichbar war.

Das System enthielt eine Selbstregistrierungsfunktion, die für andere Anwendungen gebaut worden war, sodass Außenstehende Konten anlegen konnten. Diesen Konten war keine Anwendung zugewiesen, und sie fielen nicht unter die Multifaktor-Authentifizierung, die DigiCert von Mitarbeitern verlangte. Ein Fehler in der Autorisierung erlaubte es ihnen dennoch, archivierte Informationen zu lesen.

Mitarbeiter bemerkten am 18. Juni 2026 Konten, die nicht zu DigiCert gehörten. Eine erste Prüfung kam jedoch zu dem falschen Schluss, dass Konten ohne zugewiesene Anwendung keine Daten erreichen könnten. Am 21. Juni ging ein Bericht aus dem Managed-Security-Research-Programm des Unternehmens ein. Die Entwickler lieferten am 2. Juli eine Korrektur der Autorisierung aus, und die Ermittler ordneten den unbefugten Zugriff später dem Zeitraum vom 27. Juni bis 2. Juli zu. DigiCert vermutete erst am 12. Oktober, dass archivierte Daten gelesen worden waren, und bestätigte am 19. Oktober einen meldepflichtigen Vorfall. Der Bericht räumt den Punkt ein: „Der Vorfall wurde zunächst als Problem der Kontoerstellung behandelt, nicht als Datenzugriff“.

Das System war von Februar 2025 bis zu den Korrekturen im Juli aus dem Internet erreichbar. DigiCert legt einen bestätigten Datenzugriff jedoch nur in das Fenster vom 27. Juni bis 2. Juli. Rescana trifft dieselbe Unterscheidung und merkt an, dass das Unternehmen nicht sage, Kundendaten seien ab Februar 2025 gelesen worden.

Was offenlag und was nicht

Der Bericht von DigiCert beschreibt diese Gruppe als Konten, die „zusätzliche personenbezogene Daten in Form eines vom Kunden bereitgestellten Dokuments“ enthielten.

Die Grenzen sind für jeden wichtig, der ein Zertifikat im Produktivbetrieb hat. DigiCert erklärt, seine Zertifizierungsdienste, CertCentral und DigiCert ONE seien nicht kompromittiert, und die Anmeldedaten der Kunden sowie ausgestellte Zertifikate blieben sicher. Die Ermittler fanden keine Zertifikatsausstellung, keine geänderten Validierungen und keine Widerrufsaktivität, die mit dem Konto zusammenhingen. Kunden müssen aktive Zertifikate daher nicht ersetzen. Rescana, das am 6. November eine Einschätzung zum Vorfall veröffentlichte, stuft das Ereignis als mittelschwer mit großer Reichweite ein und erklärt, ein Notaustausch von Zertifikaten lasse sich aus dem Bericht von DigiCert nicht ableiten.

Was DigiCert geändert hat und wie es weitergeht

DigiCert beschränkte den Zugang zum betroffenen System, deaktivierte die Selbstregistrierung und ergänzte Zugriffskontrollen. Außerdem setzte das Unternehmen Passwörter für Geschäftssysteme zurück, verlegte die verbleibenden offenen Endpunkte hinter private Netzwerkinfrastruktur und verstärkte die Überwachung.

Warnungen auf Anwendungsebene für Dateizugriffe und Anfragevolumen gingen am 15. Oktober in Betrieb.

Der Bericht nennt drei beitragende Faktoren: eine Netzwerkänderung ohne angemessene Sicherheitsprüfung, eine Überwachung, die die Kontoaktivität in Geschäftssystemen nicht abdeckte, und ein Autorisierungsmodell, das Selbstregistrierung nicht vorsah. Die Lehre formuliert er so: „Die Autorisierung für ein Geschäftssystem darf nicht an seine Netzwerkposition delegiert werden“.

Zwei Maßnahmen zur Behebung, die Prüfung der Exposition von Origin-Servern und die Überprüfung automatischer Kontowarnungen, sollten am 6. November abgeschlossen sein. DigiCert hat erklärt, auf Anfrage zusammenfassende Zahlen an Browser-Root-Programme weitergeben zu können. Auf diesem Weg könnte eine Zahl irgendwann öffentlich werden.